Microsoft PowerPoint - t10-RuriHiromi-T10-IPv6_into_Enterprise_hiromi

Size: px

Start display at page:

Download "Microsoft PowerPoint - t10-RuriHiromi-T10-IPv6_into_Enterprise_hiromi"

さなえいんそん
4 years ago
Views:

3 IPv6 対応する時に考えたい 8 つのポイント 1 必要な箇所の見極め 2 方針計画完成 IPv6 対応の流れサービスイン方針検討計画策定予算確保体制作り要員教育構築開発 ( 設計実装 ) テスト試験運用本番運用 IPv6の基本導入課題セキュリティ情報収集 3 情報収集対応状況設定方法教育不具合対処法設定方法 4 セキュリティの考え方技術検証 5アドレスの種類と管理 6ULAの検討 7 標準化や技術状況 8 最新 OSの状況 Copyright 2012 INTEC Inc. 2

5 2 針とは例えば端末への対応をどう考えるか? それに従ってネットワークやシステムはどうなるか? IPv4 デュアルスタックスタート IPv4 internet IPv4 IPv6 ゴール? IPv4/IPv6 両対応システム IPv6 internet 真のゴール? ( 参考 ) RFC6144 では 8 種類のシナリオと実現法 IPv4 デュアルスタック IPv6 ISP 家庭の接続と違って企業には既存資産と業務に根差した対応法が必要 Copyright 2012 INTEC Inc. 4

6 3 情報収集情報は鮮度が事 IPv6が登場してから15 年以上経過しています! 検索した情報が時代遅れの場合もありますトンネル接続のTSPというプロトコルは最近全く聞きません World IPv6 Day(2011/6) で脚光を浴びた FallBack 問題解決策が提されて実装も出回っていますまだきな問題という認識のも多い解消されてきた解決してきたという情報は少ない信頼できる筋の信頼できる情報を複数のに聞く 11 始めに検索窓に IPv6 とれた場合のグーグルサジェスト Copyright 2012 INTEC Inc. 5

7 4 セキュリティの考え管理機材の数障害発時の切り離し点の確保障害の波及ログ分析のしやすさ IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 v4 ゲートウェイ v6 ゲートウェイ v4 v6 ゲートウェイ v4 ゲートウェイ v6 ゲートウェイ v4 NW 機器 v4 サーバ v6 NW 機器 v6 サーバ v4/v6 NW 機器 v4/v6 サーバ v4 NW 機器 v4 サーバ v6 トランスレータ v4 パラレルスタックそれぞれ単独のプロトコルとして取り扱うため運管理がしやすいデュアルスタック機材は少なくて済むが重の運管理が必要 ( 製品によっては別の監視ポイントと数えられるので注意 ) トランスレータプロトコルを分離した管理はできるが追加した機能に関する運管理が発 Copyright 2012 INTEC Inc. 6 ( 参考 )IPv6 普及度化推進協議会セキュリティガイドライン第版

8 5 アドレスの種類と管理企業網で利できるアドレス PA... ISPからもらう /48など PI... レジストリ (JPNIC) からもらう /48よりきいブロックも申請可能 ULA... /48を動成( 意性を確保するための計算式がある ) 表計算ソフトでの管理は厳しい IPv4 を踏襲ではなく管理法の直しがお薦め IPv6 グローバルユニキャストアドレス (PA) IPv6 グローバルユニキャストアドレス (PI) ULA(*) レジストリ管理下由に利 (*)ULA には Centrally Assigned という領域もありますが運されていないので割愛 Copyright 2012 INTEC Inc. 7

9 ( 付録 )IPv6 アドレス管理の歴史 /32 のアドレス管理法については学術系で公開されているものもある JPNIC 本における正式な割り振り割り当てポリシー書 WIDE プロジェクト (2001 年 ) 2001:0200::/35の参加組織割り当て (/48と/40) alloc.txt SINET(2003 年 ) 2001:2F8::/35の参加組織割り当て (/48と/42) Copyright 2012 INTEC Inc. 8

10 ( 付録 )IP アドレス管理ツール無償有償のものがあり有償のものは主に通信事業者や規模なネットワークで利されている cactiへのエクセルプラグインフリーウエアのネットワーク管理ソフトウェアcactiへの組み込み cacti + ipplan/iptrack: cacti + PHPIP Vital QIP( アルカテルルーセント ) IPアドレス DNS DHCPなどの統合管理ソフトウェア qip/index.html Proteus( ブルーキャット ) IPアドレス DNS DHCPなどの統合管理ソフトウェア ARINの情報ページおススメ Copyright 2012 INTEC Inc. 9

11 6ULA の検討 ULA( ユニークローカルユニキャストアドレス ) 利の前提グループ内およびグループ間の閉じたネットワーク構築にいるグローバルな経路広告を必要とする接続法をしない ( インターネットVPNなど ) 内部参照のためのローカルDNSの構築が可能外部接続やインターネットの利は別途物理論理ネットワークを構築する接続端末数が /48におさまる ULA グローバルインターネットとの接続法 (NAT66orマ Copyright 2012 INTEC ルチプレフィックス Inc. ) 10 グローバルユニキャストアドレスアドレススペース fd00::/8 と fc00::/8 をプレフィックスとして /48 取得法により /32~/56(/32 以上も可 ) グローバル ID の数 /48 で 1,099,511,627,776 可変な利が可能サブネット数 65536(16bit 分 ) 可変 (/48 だと ULA と同じ ) 標準化 (RFC 書 ) RFC4193 RFC3587 アドレス衝突の可能性確率的になしなし利上の制約 Global ID の算出には pseudo-random アルゴリズムを使うことサイト内に閉じた経路広告をすることローカル DNS での AAAA-RR,PTR-RR のみ参照可能とすること ULA にあげられた制限はなし ISP を変更する場合にリナンバとなる費なしレジストリやISPへの費が発 ( 210,000 年 JPNICのPIアドレス維持費 )( 注 1) 懸念事項課題 fc00::/8 のをいる centrally assigned 導の議論が停滞 RFC3484 デフォルトポリシーテーブルに反映されていない (RFC6724 準拠であれば反映されている ) 先頭 bit が 1 のグローバルユニキャストアドレス割り当て時の問題 (8000::/3) マルチキャスト通信のソースアドレス選択企業網での ULA 推奨は RFC4864 RFC5357 draft-v6ops-ipv6-cperouter-04.txt 等に記載注 1) PI(ISP 依存利組織固有のアドレス ) の場合経路広告などの運を伴う同 RIR で 2 つ以上の PI アドレスを取得する場合などに申請続きが煩雑期化する場合がある (RIR のポリシーによる ) グローバルインターネットへの透過的通信

12 ( 付録 )ULA の地域分配と階層管理細かな境界を持たせて階層管理すると /48 でもりなくなる場合も部 1 拠点 1 拠点セグメント 1 セグメント 16 セグメント 1 セグメント /48 本店 1 16 部拠点 1 拠点 16 セグメント 1 セグメント 16 セグメント 1 セグメント 16 セグメント 1 店 15 部 1 拠点 1 拠点 16 セグメント 16 セグメント 1 セグメント 16 部 16 拠点 1 拠点 16 例 ) フラットなセグメント (65536) を 4bit 区切りで 4 階層で管理する場合拠点内には 16 セグメントしか構成できなくなるセグメント 1 セグメント 16 セグメント 1 セグメント 16 Copyright 2012 INTEC Inc. 11

13 ( 付録 )ULA 成法 1MAC アドレスの抽出 NIC の MAC アドレスを調べる MAC address=00:19:d1:86:bd:8a 2ULA generator サイトへアクセス ULA Generator の web ページ ( にアクセスし mac アドレスをする < ご参考 > ULA の算出機能を提供しているサイト (1)KAME プロジェクト (2)SixxS プロジェクト ULA は MAC アドレス EUI64 アドレス時刻データをいて RFC に規定されるアルゴリズムから計算されます追加の ULA を作成する場合に同じ MAC アドレスをいても時刻のパラメータの値が変わるため重複することは理論上ありません 3 固有の ULA を算出する規定のアルゴリズムによって算出された ULA を得る Copyright 2012 INTEC Inc. 12

7 標準化や技術状況公開サーバはデュアルスタック運が多い中トランスレータも堅調イントラネットは

対応データセンタが増えてきた IPv6(AAAA) の問い合わせ対応できない DNS

相当の信頼性なし World IPv6 Launch 以降公開サーバの対応増えている Oauth の運

) イントラネットクライアント端末ルータ FW/IPS/IDS スイッチインターネット

2 から実装がないアドレスマップ技術の隆盛 (MAP 4rd/6rd DS-LITE

14 7 標準化や技術状況公開サーバはデュアルスタック運が多い中トランスレータも堅調イントラネットは内部の IPv6 悪を避けるための守りの設定インターネット公開サーバ公開セグメント対応データセンタが増えてきた IPv6(AAAA) の問い合わせ対応できない DNS 機能を搭載した古いロードバランサに注意 GEO Location 情報のマッピングサービスは IPv4 相当の信頼性なし World IPv6 Launch 以降公開サーバの対応増えている Oauth の運などは IPv4 ベース ( デュアルスタックなら問題なし?) イントラネットクライアント端末ルータ FW/IPS/IDS スイッチインターネット通信機器周辺 CGN の導や影響は不明 OpenFlow の IPv6 対応は 1.2 から実装がないアドレスマップ技術の隆盛 (MAP 4rd/6rd DS-LITE 464xlat) DNS64/NAT64 が使われ始めている (WindowsDirectAccess/Forefront UAG など ) プロキシはそんなに選択肢が多くない Copyright 2012 INTEC Inc. 13 イントラネット内 NDP( 近隣探索プロトコル,RA が定義されている ) の実装は OK DHCPv6 クライアントの実装状況はマチマチクライアント OS の混在環境では注意が必要

15 8 最新 OS の状況サーバ OS 多くの最新 OS で IPv6 対応済みデフォルトオンではないクライアント OS 多くの最新 OS で IPv6 対応済みデフォルトオン IPv6 優先の場合遅延などに注意 IPv4-IPv6 共存のための動トンネルに注意未対応アプリケーションの把握が重要特に VPN クライアント SIP クライアント HTTP ベースのものは抵 OK 携帯端末の OS Android 1.9 以降で IPv6 対応安定版は 2.3? ベンダーによって実装に違い ( 機能オフ? や GUI 未対応 ) DNS の設定が出来ないものが多い ios4 以降で IPv6 対応 GUI が未対応 (IPv6 アドレスのができない ) Copyright 2012 INTEC Inc. 14

16 ( 付録 ) クライアント OS の動作状況携帯端末の OS は発展途上? Windows7 と 8 でも RFC6724 準拠など違い 2012 年 9 調査クライアントOS RA DHCPv /16 GUI( 表 ) GUI( 設定 ) Windows XP Windows Vista Windows 7 Windows 8 Mac OS X 10.6 Mac OS X 10.7 Mac OS X 10.8 Android 1.6 Android 2.3 Android 4.0,4,1 ios4 ios5 ipad ios5 Copyright 2012 INTEC Inc. 15

17 年に国内で発された参考献セキュリティ系の書がいろいろ出ています IPv6 普及度化推進協議会セキュリティガイドラインアプリケーションのIPv6 対応ガイドライン (socket 編 ) IPv6 導時に注意すべき課題 IPv6 技術検証協議会 IPv6 技術検証協議会最終報告書 IPA( 情報処理推進機構 )/ 情報セキュリティ技術動向調査 (2011 年上期 ) 3. IPv6の配備におけるイントラネットセキュリティ tg/indexa.html Copyright 2012 INTEC Inc. 16

http://www.v6pc.jp/jp/wg/coexistencewg/v6appswg.

Microsoft PowerPoint - t1-Ruri Hiromi-InternetWeek_T1_IPv6_services

Microsoft PowerPoint - t1-Ruri Hiromi-InternetWeek_T1_IPv6_services 国内の IPv6 サービス先端技術研究所廣海緑 Copyright 2011 INTEC Inc. 次 1. 国内で利可能なIPv6サービス最新情報 2. 企業向けサービスの利形態 3. コンシューマ向けサービスの利形態 4. まとめ 1 1. 国内で利可能な IPv6 サービス最新情報 2 今後のインターネット予想 IPv4 IPv6 ネットワーク CGN の混在ネットワーク IPv4