システムインテグレータにおけるIPv4アドレス在庫枯渇に向けた取り組み

Size: px

Start display at page:

Download "システムインテグレータにおけるIPv4アドレス在庫枯渇に向けた取り組み"

ありさふじた
5 years ago
Views:

1 Internet Week 2009 ~v4 枯渇時代のシステムインテグレーション ~ システムインテグレータにおけるアドレス在庫枯渇に向けた取り組み 2009 年 11 月 25 日株式会社 NTTデータビジネスソリューション事業本部ネットワークソリューションBU 馬場達也

2 への取り組みの必要性

3 アドレス枯渇問題の概要グローバルアドレス枯渇の時期 IANA(Internet Assigned Numbers Authority) の在庫が枯渇するのは2011 年 9 月頃 RIR( 地域インターネットレジストリ ) の在庫が枯渇するのは2012 年 10 月頃と予測されている (2009 年 11 月 5 日現在 ) 参考 : 根本的な対策はへの対応 ( ただしとは互換性がない!) グローバルアドレス枯渇の影響自社が提供するサービスのお客様が他社に逃げてしまう 2011 年以降でしかアクセスできないユーザがでてくるそのユーザはサービスがに対応していない場合は利用することができないために対応している他社サービスに乗り換えてしまうインターネット上のサービスが使えなくなる 2011 年以降新規に立ち上げるサービスはでしかサービスがされない可能性がある自社ネットワークがに対応していない場合はでしかアクセスできないサービスが利用できなくなる自社のビジネスを守るためにを導入しなければならないという認識が必要

4 アドレス枯渇問題の影響を受けるシステム影響を受けるシステム ( 対策の必要があるシステム ) インターネットを介して不特定多数のユーザに対してサービスを提供しているシステム (EC サイトインターネットバンキングサイト ASP/SaaS など ) 将来影響を受ける可能性のあるシステム ( 対策の判断の必要があるシステム ) インターネットを介してサービスを提供しているシステムであってサービス提供側またはサービス利用側が今後の拡張に十分なグローバルアドレスを保有していないシステム影響を受けないシステム ( 対策の必要がないシステム ) 直接インターネットを介して通信していないシステムインターネットを利用していても既にグローバルアドレスを十分確保している組織のみに対してサービスを提供しているシステム

5 製品 / サービスの対応状況

6 NTT データにおける /デュアルスタック環境の検証擬似データセンタ OCN / Router L2SW FW FW L2SW L2SW VPN Router VPN Router VPN Router VPN Router L2SW L3SW 業務系サーバ L2SW L2SW 情報系サーバ L3SW L3SW L3SW L3SW L2SW IPS L2SW ロードバランサ L2SW L2SW L2SW L2SW VPN Router VPN Router プロキシ帯域制御装置帯域制御装置 DNS/NTP DNS/NTP WWW 擬似業務系 WAN 擬似情報系 WAN Router 監視マネージャ VPN Router VPN Router VPN Router VPN Router L2SW L2SW 擬似センタ擬似監視センタ擬似拠点

7 OS/ ミドルウェアの対応 OS Windows XP SP1/Windows Server 2003 一部対応 ( デフォルト無効 ) Windows Vista/Windows Server 2008 完全対応 ( デフォルト有効 ) Windows 7/Windows Server 2008 R2 完全対応 ( デフォルト有効 ) Red Hat Enterprise Linux 4 以降 Mac OS X 10.2 以降 Solaris 8 以降 HP-UX 11i 以降アプリケーションサーバ IBM WebSphere Application Server 6.0 以降 Oracle WebLogic Server( 旧 BEA WebLogic Server) 9.0 以降 Oracle Application Server 10g 以降その他 OSや代表的なアプリケーションサーバでの対応は OK

8 各種サーバアプリケーションの対応状況 Web サーバ Apache 以降 Microsoft IIS 6.0 以降 DNS サーバ BIND 以降 Windows Server 2003 以降のDNSサーバメールサーバ Sendmail 8.10 以降 Postfix 2.22 以降プロキシサーバ Squid 3.1 以降 Apache 2.0 以降 + mod_proxy

9 ネットワーク機器の対応状況ルータ / レイヤ 3 スイッチ多くのルータで対応済みただしで実装されているすべての機能がに対応しているわけではないファイアウォール Checkpoint IP シリーズ Fortinet t FortiGate t シリーズなどが対応冗長化構成時ののステート同期に対応していないものが多く障害発生時にセッションが切断されるなどの問題がある IPS(Intrusion Prevention System) IBM Proventia Network IPS McAfee Network Security Platform( 旧 IntruShield) Cisco IPS 4200 シリーズなどが対応ロードバランサ F5 Networks BIG-IP Local Traffic Manager A10 Networks AXシリーズ Citrix NetScaler などが対応リモートアクセスVPNサーバ SSL-VPN 製品やIPsec-VPN 製品など対応している製品が少ない Windows Server 2008 R2 + Windows 7のDirectAccessはで動作!

10 ロードバランサでの対応ロードバランサがの変換を行うためサーバが対応していなくても OK クライアント 2001:db8:615:2::30 クライアントロードバランサ Web サーバ

Hinemos マネージャ ping 監視サービスポート監視 HTTP/HTTPS 監視 SQL 監視 SNMP 監視

11 運用管理ソフトウェアの対応状況日立製作所のJP1/Cm2/Network Node Manager 横河電機の LMaT-AR Hinemos などがネットワークの監視に対応 / 混在ネットワーク Hinemos クライアント Hinemos マネージャ ping 監視サービスポート監視 HTTP/HTTPS 監視 SQL 監視 SNMP 監視 SNMPトラップ監視 syslog-ng 監視監視対象 / ノード監視対象ノード Hinemos クライアント監視対象ノード

12 InterVia / トランスレートサービス InterVia(ISP) 内でをに変換するサービス ( システム側がに対応できない場合でもユーザからのアクセスを受けることが可能 ) 一般ユーザなど InterViaバックボーン InterVia 接続顧客システムクライアントトランスレータ ( ) サーバクライアント

13 WANサービスの対応状況広域イーサネットイーサフレームで処理されるため / パケットを問題なく利用可能 IP-VPN IP レベルでルーティングを行っているために対応したサービスを選択する必要がある NTTコミュニケーションズの Arcstar IP-VPN デュアル対応していない場合は over トンネリングで対応フレッツVPN に対応していない over トンネリングで対応 ISDN など PPPでカプセル化するため接続機器が over PPPに対応していれば問題なく利用可能

14 インターネット接続サービスの対応大手 ISP では対応済みインターネットへの接続方法は 3 種類トンネル接続サービス over トンネリングにより接続トンネリング ISP () ISP () トンネリングのオーバーヘッドにより性能が劣化アクセス線がに対応している必要がない接続料金が安い組織ネットワークネイティブ接続サービス専用のため接続用は別に必要接続のオーバーヘッドはない接続料金が高いデュアル接続サービストンネル接続 ISP (/) およびの両方に対応接続のオーバーヘッドはない組織ネットワーク接続料金が高いデュアル接続 14

15 導入検証の結論 / デュアルスタックネットワークの構築は可能ただし以下のような問題があるロードバランサ IPS/IDS リモートアクセスVPNサーバなどはに対応していない製品がまだ多い製品の調査が必要! に対応している製品でもで実装されている機能がでは実装されていないことが多い機能ごとの確認が必要! VPN 機能などはハードウェア処理しないものがあり性能面での問題が発生する可能性がある事前検証が必要! ファイアウォールの設定や障害の切り分けなどはのプロトコルの挙動を知らないと難しい教育が必要! 問題はあるが経験とスキル運用ノウハウでカバー可能

16 自社開発ソフトウェアの対応

17 ソフトウェアを対応にするうえで注意するポイントとはアドレスの長さや表記方法が異なります! GUI や設定ファイルにおいてアドレスの入力が想定されていないか? 例えば下記のような入力画面を用意していないか? IP アドレス :... サブネットマスク :... ログ (DB) や画面などへのアドレスの出力を想定していないか? アクセス制御などプログラム内部でアドレスが使用されていないか? 4 バイトの変数に IP アドレスをバイナリ形式で代入プログラム中にアドレスが埋め込まれていないか? サーバアドレス / ループバックアドレス埋め込み

18 言語特有の問題も存在 (C 言語の例 ) /デュアルスタック環境で問題の発生する型や関数が使用されていないか? in_addr, sockaddr_in, inet_addr, inet_aton, inet_lnaof, inet_makeaddr, inet_netof, inet_network, inet_ntoa, inet_ntop, inet_pton, getservbyport, gethostbyname, gethostbyname2, gethostbyaddr, getservbyname が使われている場合は問題が発生する sockaddr_storage, getaddrinfo, addrinfo, if_laddrreq, if_laddrconf などのに対応した型や関数に書き換えるソケットの設定がを使用するようになっていないか? ソケットの設定値に AF_INET と直接記述されている場合 s = socket(af_inet, SOCK_STREAM, IPPROTO_TCP); getaddrinfo 関数又は getnameinfo 関数を用いて端末がサポートするプロトコルファミリを取得しソケットの確立を行うよう書き換える

19 に依存したソースコードの例 (C 言語 ) int i, s; struct hostent *hp; struct sockaddr_in sin; s=socket(af_inet, SOCK_STREAM, IPPROTO_TCP); hp = gethostbyname(" for (i = 0; hp->h_addr_list[i]; i++) { memset(&sin, 0, sizeof(sin)); sin.sin_family = AF_INET; sin.sin_len = sizeof(sin); sin.sin_port = htons(80); memcpy(&sin.sin_addr, hp->h_addr_list[i], hp->h_length); if (connect(s, &sin, sizeof(sin)) < 0){ continue; } break; } // gethostbyname 関数の結果を格納する構造体 // 接続情報を格納する構造体 // のTCPソケットを作成 // 接続先サーバのアドレスを取得 // アドレスファミリーとしてを設定 // ポート番号として80 番を設定 // 取得したアドレスを設定 // 上記の条件で接続 sockaddr_in 型 gethostbyname 関数 AF_INET をハードコーディングしたソケット設定がに依存している

20 に依存しないソースコードの例 (C 言語 ) int s; struct addrinfo hints,; struct addrinfo *res, *res0; // 接続条件を格納する構造体 // getaddrinfo 関数の結果を格納する構造体 memset(&hints, 0, sizeof(hints)); hints.ai_family = PF_UNSPEC; // プロトコルを指定しない ( とに対応 ) hints.ai_socktype = SOCK_STREAM; // TCPを指定 getaddrinfo(" "http", &hints, &res0); // 接続先サーバのIPアドレスを取得 for (res = res0; res; res = res->ai_next) { s=socket(res->ai _ family, res->ai_ socktype, res->ai_p protocol); // ソケットを作成 if (connect(s, res->ai_addr, res->ai_addrlen) < 0) { // 上記の条件で接続 close(s); continue; } break; } freeaddrinfo(res0); sockaddr_in 型の代わりにaddrinfo 型を使用 gethostbyname 関数の代わりにgetaddrinfo 関数を使用アドレスファミリをハードコーディングしないソケット設定に変更ドコ

21 企業ネットワークの移行

22 STEP1 外部に公開しているサーバをでアクセス可能にする 1. ISPの接続サービスを申し込む 2. インターネット接続用ルータを/ 対応にする 3. ファイアウォールを / 対応にする 4. ロードバランサを/ 対応にする 5. ロードバランサ配下にない外部公開サーバを / 対応にする 6. リモートアクセスVPNサーバを/ 対応にするクライアントファイアウォールルータクライアントロードバランサ / インターネット Web サーバネームサーバリモートアクセス VPN サーバ

23 STEP2 内部から外部 Web サーバにでアクセス可能にするプロキシサーバを / 対応にする Web サーバプロキシサーバファイアウォールルータ Web サーバ / インターネット企業内ネットワーククライアントここまでを枯渇時期までに完了できれば OK

24 STEP3 社内ネットワークはできるところからデュアルスタック化ネットワークの一部を/デュアルスタックにした場合は /デュアルスタックネットワーク同士を over で接続する /デュアルスタックホスト同士はでホストとの通信はで行う 24

25 STEP4 ネイティブネットワークへの移行ほとんどのホストが対応になった場合はネットワークをネイティブにするホストと対応できなかったサーバの間はトランスレータやプロキシによってプロトコル変換を行って通信する

26 最後に ~ 対応のポイント ~ 1. 対応が必要なシステムを洗い出すインターネット経由で不特定多数の方がアクセスするシステム将来の拡張に十分なグローバルアドレスを確保していないシステム 2. 現在利用されている製品 / サービス / 自社開発ソフトウェアを調査する使用している製品がに対応しているのかどうか使用しているサービスがに対応しているのかどうか使用している自社開発ソフトウェアがに対応しているのかどうか 3. 対応計画を策定する対応の必要性と難易度更改タイミングなどを考慮して各システムの対応スケジュールを検討対応のための予算の確保残された時間はわずかです! 早めの対応を!

アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009 年 8 月時点 ) が力を合わせてアドレス枯渇の影響をネットワークシステムやアプリケーション開発に係わる様々な立場から検証すると同時にそれらの

アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009 年 8 月時点 ) が力を合わせてアドレス枯渇の影響をネットワークシステムやアプリケーション開発に係わる様々な立場から検証すると同時にそれらのアドレス枯渇対応タスクフォース ITpro EXPO 2009 アドレス枯渇対応ミニセミナー SIer 編企業システムの対応 2009 年 10 月 30 日株式会社 NTTデータビジネスソリューション事業本部ネットワークソリューションBU 馬場達也アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009