目 次 第 1 章 はじめに 背 景 目 的 対 象 者 IPv4 枯 渇 対 策 の 推 奨 対 応 について... 3 第 2 章 モバイルネットワークにおける CGN 導 入 の 最 適 モデル 機 器 選 定 のための

Transcription

1 IPv4 アドレスの 枯 渇 時 に 生 じる 諸 課 題 に 適 切 に 対 処 するための 手 順 書 (Vol.2) 平 成 27 年 4 月

2 目 次 第 1 章 はじめに 背 景 目 的 対 象 者 IPv4 枯 渇 対 策 の 推 奨 対 応 について... 3 第 2 章 モバイルネットワークにおける CGN 導 入 の 最 適 モデル 機 器 選 定 のための 検 証 構 成 検 証 手 法 性 能 検 証 手 法 CGN 周 辺 システム 検 証 手 法 HA 検 証 手 法 機 器 構 成 モバイルネットワークにおけるセッション 数 推 奨 対 応 対 応 手 順 セッション 数 に 関 する 設 定 アドレスに 関 する 設 定 NAT タイムアウトに 関 する 設 定 Full Cone NAT に 関 する 設 定 Application Level Gateway(ALG)に 関 する 設 定 ログに 関 する 設 定 第 3 章 Vyatta ASAMAP を 用 いた 小 規 模 な 464 技 術 検 証 環 境 の 構 築 手 順 トランスレーション トンネリング キャリア 側 装 置 に NAPT 機 能 XLAT DS-lite カスタマ 側 装 置 に NAPT 機 能 MAP-T MAP-E 共 通 の 設 定 項 目 キャリア 側 装 置 の 設 定 内 容 カスタマ 側 装 置 の 設 定 内 容 MAC アドレスの 設 定 ICMP Redirect の 送 信 抑 制 の 設 定 キャリア 側 装 置 のインターネット 側 インターフェースの Proxy ARP 機 能 の 有 効 化 フラグメント 処 理 時 の 最 大 IPv6 パケットサイズの 設 定... 39

3 3.1.7 カプセル 化 方 式 におけるフラグメント 処 理 時 のスタック 指 定 の 設 定 カスタマ 側 装 置 における TCP MSS オプション 書 き 換 えの 設 定 DS-Lite の 環 境 構 築 AFTR の 設 定 B4 の 設 定 確 認 XLAT の 環 境 構 築 PLAT の 設 定 CLAT の 設 定 確 認 MAP-E と MAP-T の 環 境 構 築 BR の 設 定 CE の 設 定 確 認 第 4 章 NAT44 相 当 の IPv4/IPv6 グローバルアドレスに 対 するファイアウォールフィル タリングルールの 設 定 例 設 定 例... 70

4 第 1 章 はじめに 本 手 順 書 は 平 成 25 年 度 IPv4 アドレスの 枯 渇 に 伴 う 諸 課 題 への 対 応 推 進 事 業 の 請 負 Technical verification for dealing with IPv4 address exhaustion problems 事 業 における 実 証 実 験 の 結 果 に 基 づき インターネットサービスに 関 わる 事 業 者 等 が IPv4 アドレスの 枯 渇 時 に 生 じる 諸 課 題 に 適 切 に 対 処 するための 指 針 となるよう まとめたものである 1.1 背 景 目 的 Carrier Grade NAT(CGN)を 利 用 した IPv4 アドレスの 共 同 利 用 環 境 や IPv4/IPv6 共 存 環 境 に 関 しては 運 用 情 報 セキュリティ 対 策 等 に 係 るノウハウがインターネットサー ビスに 関 わる 事 業 者 に 十 分 に 蓄 積 共 有 されていない 昨 年 度 実 施 した IPv4 アドレスの 枯 渇 に 伴 う 情 報 セキュリティ 等 の 課 題 への 対 応 に 関 する 実 証 実 験 の 請 負 事 業 において 主 に 有 線 系 ネットワークにおける CGN 導 入 時 のセッション 制 限 に 係 る 課 題 やセキュリテ ィに 係 る 課 題 についての 対 策 案 を 整 理 し 手 順 書 としてまとめた 1 昨 年 度 の 手 順 書 では セッション 制 限 に 係 る 課 題 に 関 して 有 線 系 ネットワークのアプリケーションのセッショ ン 数 を 調 査 し 通 信 における 公 平 性 2を 保 つための 適 切 なセッション 制 限 についての 課 題 と 対 策 について 解 説 した また 情 報 セキュリティに 関 わる 課 題 の 一 つとして IPv4 アドレ ス 共 同 利 用 環 境 においてサーバサイドでのアクセス 制 限 によってオーバーブロッキングと なってしまう 課 題 と 対 策 を 解 説 した そして 以 上 をもとに 有 線 系 ネットワークにおける CGN の 最 適 配 置 と 導 入 のための 手 順 をまとめた 一 方 近 年 スマートフォン 利 用 者 が 急 激 に 増 えたことにより モバイル 通 信 事 業 者 にお いてCGN を 利 用 したIPv4 アドレスの 共 同 利 用 環 境 の 導 入 が 既 に 進 められている しかし モバイルネットワークにおいても CGN 導 入 により 有 線 系 ネットワークと 同 等 の 課 題 が 存 在 すると 指 摘 されている 本 年 度 の 実 証 実 験 では 有 線 系 ネットワークでの 検 証 を 踏 まえ て モバイルネットワークにおける 課 題 として 新 たに 以 下 の 4 項 目 の 検 証 を 行 い 対 策 に ついて 検 討 した 1 総 務 省 IPv4 アドレスの 枯 渇 時 に 生 じる 諸 課 題 に 適 切 に 対 処 するための 手 順 書 : 2 NAT の 一 種 である CGN は IP アドレスとポート 番 号 を 利 用 して NAPT 変 換 を 行 う 複 数 ユーザで 1 つの IP アドレスを 共 有 するため 1 つの IP アドレスあたりのポート 数 ( 論 理 的 な 上 限 は ポート)を 複 数 ユーザで 分 割 して 使 用 することとなる アプリケーショ ンが 行 う TCP/IP 通 信 では 1 つの TCP セッションあたり 1 つのポートを 利 用 するため 同 一 IP アドレスを 共 有 するユーザの 1 人 が 大 量 のセッションを 使 用 するアプリケーション を 利 用 した 場 合 残 りの 多 数 のユーザが 使 用 できるポートが 足 りなくなることとなり ア プリケーションを 利 用 できなくなるなど 通 信 を 行 う 際 の 公 平 性 が 失 われてしまう 1

5 (1)IPv4 アドレス 共 同 利 用 技 術 のモバイルネットワークへの 適 用 性 の 検 証 (2)IPv4 共 同 利 用 環 境 における 新 技 術 導 入 による 対 策 (3)クラウドサービスに 係 る IPv4 アドレスの 枯 渇 対 策 に 伴 う 課 題 への 対 処 (4)その 他 IPv4 アドレスの 共 同 利 用 環 境 において 考 慮 すべき 課 題 への 対 処 特 にモバイルネットワーク 固 有 の 課 題 として モバイルネットワークのネットワーク 遅 延 やパケットロスが CGN の 性 能 に 与 える 可 能 性 が 考 えられる そのため モバイル 端 末 に おける 通 常 時 ハンドオフ 3 時 のネットワーク 遅 延 やパケットロスを 実 測 し それらをエミ ュレーションする 検 証 環 境 を 用 いて IPv4 共 同 利 用 環 境 に 与 える 影 響 について 検 証 を 行 った その 結 果 モバイルネットワークにおける 遅 延 やパケットロスは CGN の 性 能 に 影 響 を 与 え るが CGN の 導 入 に 問 題 を 与 えるほどではないことが 確 認 された モバイルネットワークにおいては 使 用 されるアプリケーションや 利 用 シーンが 異 なる ため 有 線 系 ネットワークとセッション 数 の 傾 向 が 異 なる そのため 新 たにモバイルア プリケーションについてセッション 数 の 調 査 を 行 い セッション 数 制 限 の 最 適 値 および 収 容 効 率 に 基 づく CGN の 最 適 配 置 を 求 めた 本 調 査 検 証 の 過 程 でセッション 数 の 仮 説 を 立 て 1000 人 規 模 のカンファレンスネットワークに CGN を 導 入 し モバイル 端 末 通 信 の IPv4 アドレス 共 同 利 用 状 況 および IPv6 通 信 対 応 状 況 をマクロ 的 に 観 測 した その 結 果 モバイ ル 端 末 におけるセッション 数 の 実 測 値 を 計 測 できた また ユーザが 利 用 するコンテンツ の 多 くが IPv6 通 信 への 対 応 を 始 めており モバイル 端 末 が IPv6 に 対 応 することにより 多 くの 通 信 が IPv6 に 移 行 することが 確 かめられた 本 カンファレンスでは 平 均 して 30%~40%( 最 大 61.24%)の 通 信 が IPv6 だった 海 外 の 発 表 4でも 同 様 の 数 値 を 示 しており 既 に IPv6 が 我 々の 身 近 にあることがわかる IPv6 が 利 用 されることによって CGN の 負 荷 が 減 少 することから このことは インターネット 関 連 事 業 者 は CGN 等 を 利 用 して IPv4 アドレスの 延 命 を 図 りつつも 早 急 に IPv4/IPv6 を 同 時 に 利 用 できる 導 入 モデルを 検 討 すべきであるという 示 唆 を 含 んでいる このため 本 年 度 は IPv4/IPv6 を 同 時 に 利 用 できる 導 入 モデルとして CGN+IPv6 モデル における CGN 機 器 の 推 奨 構 成 および IPv4 over IPv6 技 術 (464 技 術 )の 動 作 検 証 を 行 う 為 の 環 境 構 築 を 行 う 手 順 等 について 手 順 書 としてまとめた 1.2 対 象 者 3 ハンドオフ:モバイル 通 信 において 端 末 と 通 信 を 行 う 基 地 局 が 別 の 基 地 局 に 切 り 替 わる こと 4 Alastair JOHNSON OPERATIONAL FEEDBACK FROM LARGE SCALE NAT 2

6 IPv4/IPv6 共 存 環 境 を 既 に 導 入 している 企 業 や IPv4 アドレス 環 境 のみで 事 業 を 行 って いる 企 業 も 含 め IPv4 アドレス 枯 渇 への 対 策 が 必 要 と 考 えられる 事 業 者 を 対 象 とし 手 順 書 を 作 成 した IPv4 アドレス 枯 渇 への 対 策 が 必 要 と 考 えられる 事 業 者 は 以 下 のとおりである MNO 事 業 者 MVNO 事 業 者 ISP 事 業 者 また 関 連 する 領 域 として 以 下 の 読 者 を 想 定 する ASP 事 業 者 コンテンツ アプリケーション 提 供 者 データセンタ 事 業 者 通 信 機 器 メーカ 等 1.3 IPv4 枯 渇 対 策 の 推 奨 対 応 について MNO 事 業 者 MVNO 事 業 者 ISP 事 業 者 における IPv4 枯 渇 対 策 について 推 奨 対 応 を 記 載 する MNO 事 業 者 NTT ドコモ KDDI(au) Softbank UQ コミュニケーションズなど 大 手 の MNO 事 業 者 ではすでに CGN が 導 入 されている 3

7 図 1-1 MNO 事 業 者 における CGN の 適 応 事 例 (NTT Docomo テクニカルジャーナル VOL.18 NO 年 スマートフォン 新 サービス 機 能 スマートフォン 向 けサービス 提 供 基 盤 5 を 参 考 に 作 成 ) これらの 事 業 者 はプライベート IPv4 からグローバル IPv4 アドレスへの 変 換 による IPv4 アドレス 共 同 利 用 技 術 (NAT44 モデル)を 用 いている しかし NAT44 モデルの CGN にお いては IPv6 とともに 導 入 することが 重 要 である 理 由 を 以 下 に 挙 げる IPv6 対 応 によって CGN への 負 荷 を 減 らすことができるため CGN によって 通 信 に 影 響 のあるアプリケーションが 存 在 するため 6 NAT ログを 用 いた 法 的 要 請 対 応 は NAT ログ 保 存 検 索 のためのコストがかか るため これらの 問 題 点 は IPv6 への 移 行 によって 解 決 する CGN(NAT44)と 同 時 に IPv6 を 提 供 5 NTT Docomo 2010 年 スマートフォン 新 サービス 機 能 l18_3/vol18_3_038jp.pdf MAPS:Multi-Access Platform System の 略 NTTDocomo のプラットフォーム 基 盤 のこ と LSN:Large Scale NAT の 略 Carrier Grade NAT(CGN)と 同 義 6 総 務 省 IPv4 アドレスの 枯 渇 時 に 生 じる 諸 課 題 に 適 切 に 対 処 するための 手 順 書 : 4

8 して CGN の 負 荷 を 減 らしながら IPv6 に 移 行 するモデルを NAT44+IPv6 モデルと 呼 ぶ NAT44+IPv6 モデルにおける CGN 機 器 の 推 奨 構 成 について 2.2 節 に 記 載 する モバイルネットワークにおけるセッション 数 について 2.3 節 に 記 載 する また CGN の 以 下 の 設 定 に 関 する 推 奨 対 応 について 各 節 に 記 載 する セッション 数 に 関 する 設 定 (2.4.1) アドレスに 関 する 設 定 (2.4.2) NAT タイムアウトに 関 する 設 定 (2.4.3) Full Cone NAT に 関 する 設 定 (2.4.4) Application Level Gateway(ALG)に 関 する 設 定 (2.4.5) ログに 関 する 設 定 (2.4.6) MNO 事 業 者 における IPv6 移 行 に 向 けた CGN 導 入 モデルとして NAT44+IPv6 モデル の 他 に 464XLAT 7 モデルが 考 えられる IPv6 移 行 技 術 の 一 つである 464XLAT は IPv6 のみのバックボーンネットワーク 上 で IPv4 通 信 を 提 供 する DNS64/NAT64 8 モデルでは IPv4 リテラル 9 による 通 信 ができない ため Skype など IPv4 リテラルを 用 いるアプリケーションで 通 信 ができないが 464XLAT ではモバイル 端 末 に Customer-side translator(clat) 機 能 10を 持 たせることでこの 問 題 を 解 決 し IPv4 IPv6 両 方 の 通 信 が 可 能 となる Android4.3 以 降 では CLAT の 機 能 が 標 準 提 供 されており T-Mobile などが 464XLAT を 用 いた IPv4 アドレス 共 有 IPv6 移 行 を 進 めている 日 本 国 内 のモバイル 事 業 では 464XLAT はまだ 導 入 されていないが 実 証 のための 検 証 をすることが 重 要 である 464XLAT の 動 作 検 証 を 行 う 為 の 環 境 構 築 の 手 順 書 を 3.3 節 に 記 述 した MVNO 事 業 者 DTI(ServersMan SIM LTE) 楽 天 ( 楽 天 ブロードバンド LTE)など MVNO 事 業 者 の 一 部 でも 既 に CGN が 導 入 されている MNO 事 業 者 と 同 様 の 理 由 により CGN 導 入 済 の MVNO 事 業 者 これから CGN 導 入 を 検 討 している MVNO 事 業 者 には IPv6 サービスも 同 時 に 提 供 することを 推 奨 する 7 IPv6 と IPv4 の 共 存 技 術 の 一 つ 詳 細 は 3.3 節 を 参 照 8 同 じく IPv6 と IPv4 の 共 存 技 術 の 一 つ DNS64 によって IPv4 と IPv6 を 関 連 づける 名 前 解 決 を 行 い NAT64 によって IPv6 から IPv4 へプロトコル 変 換 をする 9 直 接 IPv4 アドレスを 指 定 し 名 前 解 決 を 行 わない 通 信 のこと 10 CLAT: 加 入 者 側 の 機 器 にて IPv4 アドレスと IPv6 アドレスをステートレスに 変 換 (RFC 6145)するトランスレータの 名 称 5

9 図 1-2 MVNO 事 業 者 における CGN の 適 応 事 例 NAT44+IPv6 モデルにおける CGN 機 器 の 推 奨 構 成 について 2.2 節 に 記 載 する モバイルネットワークにおけるセッション 数 について 2.3 節 に 記 載 する CGN の 以 下 の 設 定 に 関 する 推 奨 対 応 について 各 節 に 記 載 する セッション 数 に 関 する 設 定 (2.4.1) アドレスに 関 する 設 定 (2.4.2) NAT タイムアウトに 関 する 設 定 (2.4.3) Full Cone NAT に 関 する 設 定 (2.4.4) ALG(Application Level Gateway)に 関 する 設 定 (2.4.5) ログに 関 する 設 定 (2.4.6) ISP 事 業 者 有 線 系 ネットワークに CGN を 導 入 する 手 順 は 平 成 25 年 度 の 手 順 書 11に 記 載 した CATV 事 業 者 では CGN を 導 入 しているケースが 存 在 するが NTT 東 日 本 及 び NTT 西 日 本 の PPPoE 接 続 をアクセスラインとして CGN 導 入 している 事 業 者 はまだいない 固 定 アクセ ス 網 における 新 規 加 入 者 の 増 加 は 緩 やかであり すでに 所 有 している IPv4 アドレスによっ 11 総 務 省 IPv4 アドレスの 枯 渇 時 に 生 じる 諸 課 題 に 適 切 に 対 処 するための 手 順 書 : 6

10 て 既 存 ユーザを 収 容 できているため 新 規 IPv4 アドレスのニーズは 小 さいといえる NTT 東 西 の IPoE 接 続 においては IPv4 over IPv6 技 術 を 用 いて IPv6 ネットワーク 上 に IPv4 接 続 を 提 供 してする 方 式 ( 例 : Yahoo!BB における IPv6 高 速 ハイブリッド IPv6 IPoE + IPv4 )を 選 択 している 事 業 者 がある 今 後 も 以 下 のような IPv4 over IPv6 技 術 を 利 用 して IPv4 アドレスを 節 約 しつつ IPv6 通 信 に 移 行 していく 事 業 者 が 現 れる 可 能 性 が ある DS-Lite 464XLAT MAP-E MAP-T 以 上 に 挙 げた 464 技 術 の 全 てに 対 応 しているオープンソースである Vyatta 12 を 用 いた 検 証 環 境 の 構 築 手 順 について 3 章 に 記 述 した 12 Vyatta:Vyatta 社 によりオープンソースで 開 発 されていた Linux ベースのソフトウェア ルータ 7

11 図 1-3 ISP 事 業 者 における 464 技 術 の 適 応 事 例 (NTT 東 西 をアクセス 網 とした 場 合 ) 図 中 の PLAT AFTR BR はそれぞれ 464XLAT DS-lite MAP-E/MAP-T における IPv6/IPv4 変 換 装 置 の 名 称 である 8

12 第 2 章 モバイルネットワークにおける CGN 導 入 の 最 適 モデル モバイルネットワークを 有 する MNO 事 業 者 MVNO 事 業 者 を 想 定 し NAT44+IPv6 モ デルにおける CGN 導 入 の 手 順 を 記 述 する 2.1 機 器 選 定 のための 検 証 構 成 検 証 手 法 CGN の 導 入 にあたっては CGN 機 器 の 選 定 を 実 施 し 1 台 あたりの 収 容 可 能 人 数 と サ ービススペックを 決 定 することが 重 要 である 導 入 に 必 要 な CGN 機 器 の 検 証 項 目 を 以 下 に 記 述 する 性 能 検 証 CGN の 性 能 を 測 定 する CGN 周 辺 システムの 性 能 を 測 定 する 障 害 を 模 擬 した 切 替 実 施 により High Availability(HA) 13 構 成 の 有 効 性 を 確 認 する 以 上 の 性 能 について 検 証 で 確 認 し CGN の 配 置 および 収 容 規 模 を 決 定 する 機 能 検 証 ポートアサインルールについて - 十 分 な 数 のプールアドレスを 保 有 できるか - 動 的 静 的 なポートアサインルールを 設 定 できるか - ユーザごとのポート 数 上 限 を 設 定 できるか NAT テーブルについて - Full Cone NAT として 動 作 させることが 可 能 であるか - NAT タイムアウト 値 が 可 変 であるか ルーティングについて - IPv4 グローバルアドレスを 透 過 的 にルーティング 可 能 であるか - IPv6 アドレスを 透 過 的 にルーティング 可 能 であるか - 動 的 ルーティングプロトコル(OSPF/BGP)が 利 用 可 能 であるか NAT ログについて - ユーザ 特 定 に 必 要 な NAT ログを 送 出 することが 可 能 か 13 冗 長 化 によって 実 現 できる 高 可 用 性 のこと 9

13 - NAT ログの 内 容 フォーマットについて 設 定 可 能 か Application Level Gateway(ALG)について - ALG の 設 定 によって CGN を 越 えた 通 信 が 可 能 となるか 以 上 の 機 能 について 検 証 で 確 認 し 運 用 手 順 を 想 定 しサービススペックを 決 定 する 性 能 検 証 手 法 CGN 機 器 の 性 能 の 基 準 となる 設 計 値 は 以 下 の 3 点 である (A) スループット(Throughput) (B) 最 大 同 時 セッション 数 (MCS:Max Concurrent Session) (C) コネクション 確 立 速 度 (CER: Connection Establishment Rate) これらの 値 は IXIA 社 などの 測 定 器 メーカによるハードウェア(Optixia XM シリーズ)/ ソフトウェア(IxLoad 14 )を 用 いて 計 測 が 可 能 である また IPv4 アドレスの 枯 渇 に 伴 う 諸 課 題 への 対 応 推 進 事 業 の 請 負 において 大 規 模 検 証 環 境 (StarPorte)を 提 供 しており 申 込 みにより StarBED における 負 荷 発 生 ツール( 同 時 セッション 数 負 荷 コネクション 確 立 速 度 負 荷 )を 用 いた 検 証 が 可 能 である それぞれの 値 は 独 立 ではなく CGN 機 器 に 対 して 複 合 的 な 負 荷 となる メーカの 公 称 値 (カタログ 値 )は 特 定 の 条 件 下 においてそれぞれ 達 成 された 値 であり 実 網 トラフィックにお いては 各 負 荷 が 合 計 されるので 実 際 の 収 容 限 界 値 がカタログ 値 を 下 回 る 可 能 性 が 高 い 点 には 注 意 されたい 一 例 として 大 規 模 検 証 環 境 :StarPorte を 利 用 し A10 ネットワークス 社 の CGN 機 器 AX3000 を 検 証 した 結 果 を 以 下 に 示 す スループット: 20G[bps] 最 大 同 時 セッション 数 :16M[session] コネクション 確 立 速 度 :130K[cps] モバイルにおける 1 ユーザ 当 たりの 値 は スループット:3K[bps] 平 均 セッション 数 :50[session] コネクション 確 立 速 度 :0.1 以 下 [cps] 程 度 である 以 上 より AX3000 においては セッション 数 によって 一 番 始 めに 性 能 限 界 を 迎 えること が 予 想 され モバイルユーザで 32 万 端 末 程 度 を 同 時 収 容 できると 推 測 できる 14 IXIA コンテンツアウェアデバイスのパフォーマンステスト hure_japanese.pdf 10

14 通 信 の 正 常 性 は CGN を 通 るパケットにおけるパケットロス 遅 延 ジッタを 計 測 して 確 認 する CGN が 無 い 場 合 CGN で NAT する 場 合 CGN で NAT されずに 転 送 される 場 合 の 3 つを 比 較 することで CGN におけるボトルネック NAPT 変 換 におけるボトルネッ クが 無 いことを 確 認 する また CGN 機 器 自 身 のカウンタ(インターフェースカウンタ メ モリ 使 用 率 CPU 使 用 率 )を 確 認 する その 他 CGN の 特 徴 として NAT テーブルの 使 用 状 況 を 確 認 することが 重 要 である A10 ネットワークス 社 の AX シリーズを 例 として NAT テーブルの 利 用 状 況 を 確 認 するコマンドと 出 力 結 果 を 提 示 する NAT プールアドレスごとの 利 用 中 のポート 統 計 情 報 の 確 認 ax-cgn#show ip nat lsn pool-statistics ( 出 力 結 果 ) LSN Address Pool Statistics: LSN-POOL Address Users ICMP Freed Total UDP Freed Total Rsvd TCP Freed Total Rsvd 各 行 が プールアドレスごとの 利 用 中 のポートの 統 計 情 報 を 表 し 枠 で 示 した ICMP/UDP/TCP の 列 は それぞれのプロトコルでの 利 用 中 のポート 数 を 表 す 11

15 ユーザごとの 利 用 ポート 数 の 確 認 ax-cgn#show ip nat lsn user-quota-sessions ( 出 力 結 果 ) LSN User-Quota Sessions: Inside Address NAT Address ICMP UDP TCP Session Pool LID

16

17

18 Total User-Quota Sessions Shown: 60 ユーザごとの 利 用 プールアドレス 利 用 ポート 数 を 表 す ポート 割 当 に 関 する 統 計 情 報 の 確 認 ( 割 当 失 敗 の 確 認 ) ax-cgn#show ip nat lsn statistics ( 出 力 結 果 ) Traffic statistics for LSN: Total TCP Ports Allocated Total TCP Ports Freed Total UDP Ports Allocated Total UDP Ports Freed Total ICMP Ports Allocated 206 Total ICMP Ports Freed 206 Data Session Created Data Session Freed

19 User-Quota Created 1369 User-Quota Freed 1310 User-Quota Creation Failed 0 TCP NAT Port Unavailable 0 UDP NAT Port Unavailable 0 ICMP NAT Port Unavailable 0 New User NAT Resource Unavailable 0 TCP User-Quota Exceeded 0 UDP User-Quota Exceeded 0 ICMP User-Quota Exceeded 0 Extended User-Quota Matched 0 Extended User-Quota Exceeded 0 Data Session User-Quota Exceeded 0 TCP Full-cone Session Created 2397 TCP Full-cone Session Freed 2278 UDP Full-cone Session Created 79 UDP Full-cone Session Freed 70 Full-cone Session Creation Failed 0 Hairpin Session Created 40 Self-Hairpinning Drop 0 Endpoint-Independent Mapping Matched 6778 Endpoint-Independent Filtering Matched 40 Endpoint-Dependent Filtering Drop 0 NAT Pool Mismatch Drop 0 TCP Port Overloaded 0 UDP Port Overloaded 0 TCP Port Overloading Session Created 0 UDP Port Overloading Session Created 0 TCP Port Overloading Session Freed 0 UDP Port Overloading Session Freed 0 NAT IP TCP Max Ports Allocated 0 NAT IP UDP Max Ports Allocated 0 Full-cone Inbound Filtering Drop 0 No Class-List Match 0 LSN LID Drop 0 LSN LID Pass-through 0 割 当 失 敗 した 通 信 セッション の 数 を 表 す 16

20 2.1.2 CGN 周 辺 システム 検 証 手 法 CGN の 周 辺 システムとして CGN から 送 出 される NAT 変 換 ログを 受 信 し 保 存 するサー バが 必 要 である ポートの 動 的 割 り 当 てをしている 場 合 には NAT テーブルの 割 当 消 去 の タイミングで 下 記 のログを 取 得 することが 推 奨 される - 送 信 元 IP アドレス:ポート - NAT 変 換 後 送 信 元 IP アドレス:ポート - 通 信 先 IP アドレス:ポート - Timestamp ログの 形 式 として 大 きく 分 けて ASCII 形 式 とバイナリ 形 式 がある ASCII 形 式 の 場 合 このログは 1 レコードで 約 120 byte となる バイナリ 形 式 の 場 合 1 レコードで 約 30byte となり ASCII 形 式 と 比 較 しログの 量 は 約 25%となる NAT 変 換 ログの 送 出 方 法 は SYSLOG を 用 いた 方 法 15 IPFIX を 用 いた 方 法 16 が IETF にて 標 準 化 のために 検 討 されている SYSLOG を 用 いた 方 法 では rsyslog など 既 存 の syslogd を 用 いてデータの 受 信 保 存 が 可 能 である ログの 送 出 は ASCII 形 式 が 一 般 的 だが NAT 変 換 ログの 量 を 圧 縮 するために バイナリ 形 式 で 送 出 できる CGN 機 器 も 存 在 する IPFIX を 用 いた 方 法 はバイナリ 形 式 で 送 出 するが IPFIX を 受 け 取 れる NAT 変 換 ログに 特 化 したツールが 必 要 となり 現 状 では 個 別 に 開 発 が 必 要 となる NAT 変 換 ログ 取 得 の 正 常 性 の 確 認 は CGN 機 器 のカウンタと SYSLOG のデータ 数 を 比 較 することで 実 施 する CGN 機 器 のカウンタと SYSLOG のデータ 数 が 不 一 致 であっ た 場 合 SYSLOG は UDP パケットで 再 送 がないため 原 因 として CGN 機 器 での 送 出 が できなかった 他 に 途 中 のネットワーク 機 器 にてパケットが 破 棄 された 可 能 性 や SYSLOG サーバで 受 信 ができなかった 可 能 性 が 考 えられる 切 り 分 けには 途 中 のネットワーク 機 器 や SYSLOG サーバでパケットキャプチャを 行 う 切 り 分 けのためにも NAT 変 換 ログは ユーザ 通 信 とは 別 のインターフェースから 送 出 するのが 望 ましい SYSLOG サーバ 側 の 上 限 で NAT 変 換 ログを 1 台 で 受 け 取 ることができない 場 合 には SYSLOG サーバの 分 散 が 必 要 となる CGN 機 器 で SYSLOG 送 出 先 を 複 数 設 定 し 分 散 する ことが 可 能 であれば SYSLOG サーバを 追 加 するだけでよい ただし 均 等 にバランスさ れて 送 出 することができなければ 特 定 のサーバに 負 荷 が 集 中 してしまうため 負 荷 分 散 手 法 について 検 証 することを 推 奨 する また SYSLOG サーバが 複 数 となることで NAT 15 IETF draft-ietf-behave-syslog-nat-logging 16 IETF draft-ietf-behave-ipfix-nat-logging 17

21 ログの 検 索 がより 困 難 になることが 予 想 される 対 策 として NAT ルールを 複 数 に 分 けて ルールごとに 送 出 するサーバを 分 ける 方 法 が 考 えられる CGN 機 器 に 送 出 先 を 複 数 設 定 す る 機 能 がない 場 合 には ロードバランサなどのアプライアンス 機 器 を 用 いて SYSLOG を 分 散 する 図 2-1 SYSLOG サーバ 構 成 例 複 数 SYSLOG サーバに NAT ログを 分 散 する 機 能 が CGN 機 器 にある 場 合 ( 左 ) ない 場 合 ( 右 ) HA 検 証 手 法 CGN は NAT 変 換 という 重 要 な 役 割 を 網 内 において 行 うことから Single Point of Failure(SPOF)となる 可 能 性 がある そのため CGN 機 器 において 可 能 な 冗 長 構 成 を 検 討 し 検 証 することが 重 要 である HA 機 能 の 実 装 は 機 器 によって 異 なるため 一 概 に 述 べるこ とはできないが ここでは A10 ネットワークス 社 の AX シリーズを 例 に HA 検 証 手 法 を 説 明 する AX シリーズは Virtual Router Redundancy Protocol(VRRP)によって Active-Standby 構 成 を 取 る Active となっている 機 器 が 保 持 しているセッション 情 報 は 機 器 間 を 接 続 す る Heart Beat 線 の 接 続 によって Standby 側 の 機 器 に 常 に 同 期 される 通 信 は VRRP によ って 常 に Active 側 の CGN 機 器 を 通 ることになるが 障 害 が 発 生 した 時 には Standby 側 に トラフィックが 移 るとともに 同 期 されていたセッション 情 報 を 用 いて NAT 変 換 が 管 理 さ れるため ほぼ 無 瞬 断 で 切 り 替 えることが 可 能 である 18

22 図 2-2 HA 検 証 構 成 例 (A10 ネットワークス 社 AX シリーズの 場 合 ) HA 機 能 の 検 証 では 性 能 限 界 に 近 い 負 荷 をかけた 状 態 で 疑 似 的 な 障 害 を 発 生 させる 正 常 性 の 確 認 は 性 能 検 証 と 同 様 に CGN を 通 るパケットにおけるパケットロス 遅 延 ジッ タを 計 測 して 確 認 する また CGN 機 器 のセッション 情 報 が 失 われてしまうと そのユー ザが 通 信 できなくなる 障 害 が 発 生 するため 切 り 替 わりの 前 後 でのセッション 情 報 を 確 認 する 以 上 からわかるように CGN 機 器 における 冗 長 化 では セッション 情 報 の 同 期 (あるいは 引 き 継 ぎ)と 冗 長 化 プロトコルの 連 携 が 重 要 である CGN 機 器 の 中 には OSPF BGP な どを 用 いることができるものがあり これらの 動 的 ルーティングプロトコルによる 切 り 替 わり 条 件 を 網 羅 的 に 検 証 するべきである 特 に 往 復 の 通 信 が 別 々の 筐 体 を 通 る 非 対 称 通 信 をサポートできる CGN 機 器 は 少 ない 19

23 2.2 機 器 構 成 MNO 事 業 者 および MVNO 事 業 者 に NAT44+IPv6 モデルを 適 用 した 場 合 の 機 器 構 成 を 記 述 する NAT44+IPv6 モデルでの IPv6 通 信 の 経 路 には CGN 機 器 を 通 過 する 場 合 CGN 機 器 を 通 過 しない 場 合 の 2 パターンが 存 在 する 多 くの CGN 機 器 で IPv6 通 信 を 透 過 的 にルーティングが 可 能 で あるが CGN 機 器 の 負 荷 を 減 らしていくモデルであることと 障 害 時 の 明 確 な 切 り 分 けの ために 後 者 の 構 成 を 推 奨 する MNO 事 業 者 機 器 構 成 多 くの MNO 事 業 者 は CGN 導 入 済 の Access Point Name(APN)を 有 している ただし プライベート IPv4 アドレスの 払 い 出 しを 行 うサービスプランは IPv6 アドレスの 払 い 出 しを 行 っていない 対 して データ 通 信 プランの APN は グローバル IPv4 アドレス + IPv6 アドレスの 組 み 合 わせによるデュアルスタック 対 応 ができている(Docomo:MoperaU KDDI: LTE NET for DATA 等 ) CGN 導 入 済 の APN についても データ 通 信 プランの APN と 同 様 に IPv4v6 type によ るデュアルスタック 対 応 が 可 能 である 2.3 節 で 記 述 するように IPv4/IPv6 デュアルスタ ック 対 応 によって インターネット 向 けの 通 信 の 30%~40%が IPv6 となることが 期 待 でき る IPv6 対 応 によって CGN 機 器 の 負 荷 が 下 がり 収 容 効 率 が 高 まるほか NAT ログを 用 いた 法 的 要 請 対 応 のための NAT ログ 保 存 検 索 のコストを 下 げることができる しかし キャリアメールサービス フィルタリングサービスなど IPv4 のみで 提 供 して いるサービスがあることから フィルタリングなどの 必 須 のセキュリティサービスが IPv6 対 応 しないと IPv6 アドレスの 払 い 出 しができないという 課 題 が IPv6 によるインターネ ットの 利 用 高 度 化 に 関 する 研 究 会 でも 報 告 されている MVNO 事 業 者 機 器 構 成 図 2-3 図 2-4 にレイヤ 3 接 続 レイヤ 2 接 続 の 際 の CGN の 適 用 例 を 示 す 接 続 を 1Gbps とし 10 万 ID~100 万 ID 規 模 の 接 続 を 想 定 している レイヤ 3 接 続 で CGN を 導 入 する 場 合 MNO 事 業 者 の 終 端 装 置 においてプライベート IPv4 アドレスの 払 い 出 しを 行 う そ のため MNO 事 業 者 側 でプライベート IPv4 アドレス 払 い 出 しに 対 応 している 必 要 がある MVNO 事 業 者 と MNO 事 業 者 の 間 は 冗 長 化 されているケースが 多 く 動 的 ルーティング プロトコルを 利 用 できない CGN では 収 容 することができない その 場 合 収 容 ルータより 上 位 に CGN を 導 入 することとなる CGN 機 器 は 図 のように VRRP による 冗 長 構 成 を 取 る とした IPv4 通 信 は CGN でグローバルアドレスに 変 換 されて 再 び 収 容 ルータに 戻 り 20

24 MVNO 事 業 者 バックボーンを 介 してインターネットに 接 続 される IPv4 通 信 を CGN 経 由 とするために 収 容 ルータにて policy based routing(pbr)または Virtual Routing and Forwarding(VRF)が 必 要 となる IPv6 通 信 は CGN 機 器 を 経 由 せずに 収 容 ルータから 直 接 MVNO 事 業 者 バックボーンを 介 してインターネットに 抜 けることが 可 能 である MVNO 事 業 者 は 収 容 ルータおよびバッ クボーンルータの IPv6 対 応 をすればよい しかし IPv6 アドレスの 払 い 出 しは MNO 事 業 者 にて 行 うため MNO 事 業 者 が IPv6 払 い 出 し 対 応 をしていなければならない また MNO 事 業 者 のルータも IPv6 対 応 していなければならない 以 上 より レイヤ 3 接 続 の 場 合 NAT44+IPv6 モデルを 適 用 するには MNO 事 業 者 側 での 対 応 が 必 要 である 終 端 装 置 にてプライベート IPv4 アドレス+IPv6 アドレスの 払 い 出 しが 可 能 となっているとともに MNO 事 業 者 のバックボーンも IPv6 対 応 していなければ ならない 対 して レイヤ 2 接 続 をしている MVNO 事 業 者 は 自 前 で 終 端 装 置 を 持 ってい ることから MNO 事 業 者 の 対 応 に 依 存 せずに プライベート IPv4 アドレスや IPv6 の 払 い 出 しを 行 うことができる 図 2-3 MVNO 事 業 者 レイヤ 3 接 続 CGN 構 成 例 レイヤ 2 接 続 においては アドレス 払 い 出 しを MVNO 事 業 者 の 終 端 装 置 で 行 うため MNO 事 業 者 の 制 約 がない そのためレイヤ 2 接 続 であれば IPv6 対 応 していない MNO 事 業 者 を 利 用 した MVNO 事 業 者 であっても IPv6 でのサービス 提 供 が 可 能 である NAT44+IPv6 モデルにおいては MVNO 事 業 者 の 終 端 装 置 でプライベート IPv4 アドレ スと IPv6 アドレスの 払 い 出 しを 行 う インターネット 向 けの IPv4 通 信 は 図 の 集 約 ルー タにて CGN 向 けとなり アドレス 変 換 されて 集 約 ルータに 戻 る レイヤ 3 接 続 の 場 合 と 同 21

25 様 に 集 約 ルータにて PBR または VRF が 必 要 となる CGN 機 器 は 図 のように VRRP によ る 冗 長 構 成 を 取 るとした 図 2-4 MVNO 事 業 者 レイヤ 2 接 続 CGN 構 成 例 以 上 の 対 応 によりプライベート IPv4 通 信 のみ CGN を 通 過 し IPv6 通 信 は CGN の 制 約 がないような 構 成 が 可 能 となる ただし モバイルサービスにおいては インターネット 到 達 性 のサービスに 追 加 して 帯 域 制 御 オプティマイズ フィルタリングなどの 機 能 を 実 装 しているケースが 多 い それらが MVNO 事 業 者 としてコアとなる 機 能 である 場 合 IPv6 への 移 行 をスムーズに 行 うためには IPv6 と IPv4 で 同 等 のサービス 提 供 ができるこ とが 重 要 である MNO 事 業 者 と 同 様 に コアネットワークの IPv6 化 と 合 わせて 付 加 サ ービスの IPv6 も 同 時 に 進 めていくべきである 22

26 2.3 モバイルネットワークにおけるセッション 数 スマートフォン 等 で 用 いられる 各 種 アプリケーションの 特 性 ( 同 時 セッション 数 通 信 期 間 頻 度 等 )を 分 析 した 結 果 を 表 2-1 に 示 す SPDY 17 対 応 により Web サイト アプリ ケーションごとのセッション 数 は 30%~70% 程 度 に 抑 えられている 現 在 モバイルネッ トワークにおいては 1 ユーザあたりのセッション 数 は 以 下 のように 推 定 される モバイル 網 における 推 定 セッション 数 平 均 セッション 数 :50 ポート /1 IPv4 アドレス 最 大 セッション 数 :500 ポート /1 IPv4 アドレス 表 2-1 モバイルアプリケーション Web サイトの NAT エントリ 数 (TCP/UDP) および SPDY 対 応 状 況 対 象 アプリケーション iphone Android SPDY 対 応 TCP UDP TCP UDP Line Skype Google Map Gmail Google Search(Voice) 〇 Twitter Facebook MSG Facebook App 〇 Dropbox Evernote Puzzdra Navitime Apple.com Mizuho bank Amazon itunes store SPDY:Google 社 が 開 発 した HTTP を 改 良 した Web サーバーとユーザー 間 の 通 信 プロ トコル 23

27 Yahoo.co.jp Rakuten Youtube Niconico Douga Ustream また HTML5 conference (2013/11/30 開 催 )における 観 測 ( 図 2-5)や Apricot2014 におけ る CGN に 関 する Alcatel-Lucent 社 の 発 表 から IPv4/IPv6 のデュアルスタック 対 応 によっ て 30~40%の 通 信 が IPv6 となると 推 測 される 図 2-5 HTML5 Conference IPv4/IPv6 トラフィック 推 移 NAT44+IPv6 モデルにおけるセッション 数 を 図 2-6 に 示 す これより 30%~40% 程 度 通 信 が IPv6 となっており CGN における 平 均 セッション 数 は 30 程 度 となっていることが わかる 24

28 図 2-6 HTML5 Conference 1IPv4 アドレスあたりの 平 均 セッション 数 以 上 より NAT44+IPv6 モデルにおける CGN のセッション 数 ( 消 費 ポート 数 )は 以 下 の ように 推 定 される モバイル 網 における 推 定 セッション 数 (NAT44+IPv6 モデル) 平 均 セッション 数 :30 ポート / 1 IPv4 アドレス 最 大 セッション 数 :500 ポート / 1 IPv4 アドレス 最 大 セッション 数 が NAT44 モデルと 変 わらないのは セッションを 大 量 消 費 するアプリケ ーションが IPv6 対 応 をしていない 可 能 性 が 高 いからである 2.4 推 奨 対 応 対 応 手 順 モバイルネットワークに 導 入 した 際 の CGN に 関 連 する 推 奨 設 定 および A10 ネットワー クス 社 AX シリーズを 用 いた config 例 を 記 載 する セッション 数 に 関 する 設 定 NAT プールアドレスを 公 平 に 分 配 するために CGN では 1 つの IPv4 アドレスが 利 用 す ることができるセッション 数 の 上 限 を 決 めるべきである ただし 通 常 のアプリケーショ ンにおいて 問 題 が 出 ない 上 限 とならなければならない 2.3 節 の 調 査 結 果 から 1 つの IPv4 アドレスあたり 500 セッションを 上 限 と 設 定 することを 推 奨 する 25

29 1 つの IPv4 アドレスあたりのポート 割 当 上 限 の 設 定 ( 設 定 コマンド) lsn-lid 1 source-nat-pool [POOL-NAME] user-quota icmp 500 user-quota udp 500 reserve 0 user-quota tcp 500 reserve 0 1 ユーザ 当 たりの 上 限 =500 ポートとしている reserve <num> は 事 前 に 確 保 するポートの 数 である reserve 0 とすることで 動 的 ポートアサインとなる アドレスに 関 する 設 定 NAT プールアドレス 数 設 計 NAT プールアドレスの 数 は 1 つの IPv4 アドレスあたりの 同 時 セッション 数 から 設 計 す る モバイル 網 における 推 定 セッション 数 は 平 均 セッション 数 :50 ポート / 1IPv4 アドレ スである 100 万 ID を 払 い 出 している 場 合 1,000,000 * 50 = 50,000,000 [port] 必 要 となる これは 50,000,000 [port] / ( ) [port/アドレス] = 775 [アドレス] に 相 当 する なお 0~1023 までは Wellknown ポートとして 払 い 出 しから 除 外 されるため 1 つの IPv4 アドレスあたり 使 用 可 能 なポート 数 は = port となる セッション 数 上 限 の 設 定 ( 設 定 コマンド) system resource-usage l4-session-count [SESSION 上 限 数 ] セッション 数 上 限 の 拡 張 が 必 要 な 場 合 に 投 入 する NAT プールアドレス 数 の 上 限 の 設 定 ( 設 定 コマンド) system resource-usage nat-pool-addr-count [POOL ADDRESS 上 限 数 ] NAT プールアドレス 数 上 限 の 拡 張 が 必 要 な 場 合 に 投 入 する 26

30 NAT プールアドレスの 設 定 ( 設 定 コマンド) ip nat pool [POOL1] x.x.0.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL2] x.x.2.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL3] x.x.4.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL4] x.x.6.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL5] x.x.8.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL6] x.x.10.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL7] x.x.12.0 x.x netmask /23 lsn ha-group-id 1 lsn ip nat pool [POOL8] x.x.14.0 x.x netmask /23 lsn ha-group-id 1 lsn ユーザ 割 当 アドレス 設 計 ユーザの IPv4 アドレスは ISP 共 有 アドレス[RFC6598] /10 の 中 から 払 い 出 し を 行 うべきである NAT 対 象 のアドレスの 設 定 ( 設 定 コマンド) class-list [CLASS-NAME] /10 lsn-lid 1 ip nat inside source class-list [CLASS-NAME] NAT タイムアウトに 関 する 設 定 RST または FIN が 観 測 されていない TCP セッションや UDP ICMP の 通 信 は 一 定 時 間 NAT テーブルを 保 持 すべきである TCP の 場 合 FIN が 観 測 されてもアプリケーショ ンの 挙 動 を 担 保 するために 2Maximum Segment Life(MSL) 時 間 だけ NAT テーブルを 保 持 してから NAT テーブルを 解 放 すべきである これらの NAT テーブル 保 持 時 間 を 変 更 可 能 である 機 器 を 選 定 することが 望 ましい NAT タイムアウト 値 を 短 くすることによって TCP/UDP のポートをなるべく 早 く 多 くの 人 数 で 使 いまわすことができ CGN の 収 容 効 率 を 高 めることができるが アプリケー ションによっては 放 置 しておくとタイムアウトにより 接 続 が 切 れてしまうため 短 い NAT タイムアウト 値 はネットワークの 品 質 低 下 と 見 られてしまう 場 合 がある 実 際 に NAT タイ ムアウト 値 を 短 くする 際 にはアプリケーションの 挙 動 を 阻 害 しないか 注 意 深 く 行 う 必 要 が ある UDP は TCP と 異 なり FIN や RST などのセッションの 終 了 を 通 知 する 仕 組 みがないた め 必 ず 一 定 時 間 NAT テーブルを 保 持 しなければならない 特 に DNS トラフィックは 27

31 通 信 ごとに 発 生 するため DNS パケットのタイムアウト 値 が 長 いと CGN の 性 能 に 影 響 を 与 えてしまうことが 検 証 で 実 証 されている それに 対 する 対 策 として DNS 通 信 について は ポート 番 号 (UDP/53)に 基 づいてタイムアウト 値 小 さくすることで 性 能 への 影 響 を 抑 え られることが 実 証 された また DNS パケットについてのみ 応 答 を 見 て NAT テーブルを クリアする CGN 機 器 も 存 在 し タイムアウト 値 を 小 さくする 対 策 と 同 様 に CGN の 性 能 へ の 影 響 を 少 なくできることが 確 認 された 特 筆 すべきこととして モバイルアプリケーションにおいては アプリケーションの 更 新 の 有 無 を 確 認 するセッションが 存 在 し 定 期 的 に 特 定 のパケットが 通 信 されて セッシ ョンを 維 持 し 続 ける 仕 組 みがある この 通 信 は Facebook においては 約 50 秒 間 隔 である が Google Cloud Messaging では 約 15 分 となっている そのため CGN の 導 入 によって Google Cloud Messaging を 利 用 したアプリケーション(グーグルハングアウト 等 )が 利 用 不 可 になることが 報 告 されている 18 対 策 として Google Cloud Messaging の 使 用 ポート (TCP/5528~5530)のみ NAT タイムアウト 値 を 長 くする 方 法 が 考 えられる CGN を 導 入 している MNO 事 業 者 MVNO 事 業 者 の 一 部 では 実 際 に Google Cloud Messaging の 使 用 ポートのタイムアウト 値 を 長 くしていることが 観 測 された WebSocket や HTTP/2 などの 次 世 代 Web 技 術 ではサーバからの PUSH 通 知 が 規 定 され ているが PUSH の 間 隔 が 長 い 場 合 その 間 に CGN の NAT テーブルのタイムアウトが 発 生 してしまうと 通 信 影 響 が 発 生 してしまう そのため 今 後 もアプリケーションに 合 わ せて TCP/443 番 ポートなど 特 別 な 扱 いが 必 要 なポートが 発 生 する 可 能 性 がある 以 上 より タイムアウト 値 の 推 奨 設 定 と 設 定 方 法 を 記 載 する TCP アイドル 300 秒 UDP 300 秒 DNS 3 秒 ICMP 2 秒 Google Cloud Messaging(TCP/5528~5530) 900 秒 以 上 NAT タイムアウト 値 の 確 認 方 法 ax-cgn#show ip nat timeouts ( 出 力 結 果 ) NAT Timeout values in seconds: SYN TCP UDP ICMP fast Service 53/udp has fast-aging configured

32 以 上 はデフォルトであり ICMP:2 秒 DNS:3 秒 となっている NAT タイムアウト 値 変 更 コマンド ( 設 定 コマンド) ip nat translation tcp-timeout [sec] ip nat translation udp-timeout [sec] 特 定 ポートのタイムアウト 値 変 更 コマンド ( 設 定 コマンド) ip nat translation service-timeout [tcp/udp] [#port] to [#port] [sec] 例 :Google Cloud Messaging の 場 合 ip nat translation service-timeout tcp 5528 to Full Cone NAT に 関 する 設 定 Endpoint Independent Mapping(EIM)とは 通 信 先 が 異 なっていても 同 一 の 送 信 元 IP アドレス/ポートに 対 しては 同 一 のプール IP アドレス/ポートを 割 り 当 てる 挙 動 である Endpoint Independent Filtering(EIF)とは EIM によって 作 成 された NAT テーブルに おけるプール IP アドレス/ポート 向 けの 通 信 は 外 部 のどのホストからの 通 信 でも 受 け 入 れ る 挙 動 である EIM かつ EIF であるとき Full Cone NAT と 呼 ばれる Full Cone NAT は NAT テーブルが 作 成 されていれば 外 部 の 全 ての 宛 先 からの 通 信 を 受 け 入 れるため P2P 通 信 が 可 能 となる モバイル 網 において LINE や Skype などのメッセンジャーアプリなど P2P 通 信 を 行 う アプリケーションの 利 用 が 広 まっていることから CGN の 透 過 性 を 高 めるために 可 能 な 限 り Full Cone NAT となっていることが 望 ましい しかし Full Cone NAT の NAT テー ブルは TCP セッション 終 了 後 も 保 持 する 必 要 があるため タイムアウト 値 を 別 に 管 理 する ために 通 常 の NAT テーブルと 別 に 保 存 される そのため Full Cone NAT 用 の NAT テー ブルの 収 容 限 界 がある 検 証 した CGN 機 器 の 一 部 では 全 ての 通 信 を Full Cone NAT と すると この 収 容 限 界 が 原 因 で 著 しく 性 能 が 低 下 した そのため 対 策 として Full Cone NAT とするポート 番 号 の 範 囲 を 選 択 する 必 要 がある 一 般 的 に 番 の wellknown ポ ートについては 主 にサーバ-クライアント 型 の 通 信 のため Full Cone NAT としない 対 応 が 推 奨 される 実 測 により 1024 番 以 降 のポートを 利 用 した 通 信 は 最 大 で 全 体 の 60% 程 度 の セッション 数 となることが 確 認 された そ の ため 全 体 の 60% 程 度 の 通 信 を 収 容 できる Full Cone 用 の NAT テーブルを 保 持 できることが 望 ましい 1024 番 ポート 以 降 を Full Cone NAT とする 設 定 ( 設 定 コマンド) 29

33 ip nat lsn full-cone default 上 記 の 設 定 によりデフォルトで 番 の 通 信 は Full Cone NAT とならない Application Level Gateway(ALG)に 関 する 設 定 CGN 機 器 の 透 過 性 を 高 めるために 可 能 な 限 り 全 ての ALG を 有 効 化 することが 望 まし い しかし ALG の 有 効 化 によって 性 能 面 でのインパクトがあることから 実 際 に 有 効 化 するかについては 事 業 者 ごとに 負 荷 状 況 に 応 じた 判 断 が 必 要 である そのため ALG の 種 類 が 多 く また ON/OFF が 個 別 な 機 器 を 選 定 すべきである また プライベート IPv4 アドレスを 払 い 出 すサービスのスペックとして ALG を 強 い て 有 効 化 しない 方 策 も 考 えられる その 場 合 アプリケーションを 救 う 方 法 として IPv6 へ の 移 行 に 誘 導 することが 可 能 である ALG をアプリケーションごとに enable にする 設 定 ( 設 定 コマンド) ip nat lsn alg esp enable ip nat lsn alg ftp enable ip nat lsn alg pptp enable ip nat lsn alg rstp enable ip nat lsn alg sip enable ip nat lsn alg tftp enable ログに 関 する 設 定 事 業 者 には 特 定 電 気 通 信 役 務 提 供 者 の 損 害 賠 償 責 任 の 制 限 及 び 発 信 者 情 報 の 開 示 に 関 する 法 律 (プロバイダ 責 任 制 限 法 )により 法 的 要 請 に 基 づいて 発 信 者 に 関 する 情 報 を 開 示 提 供 する 義 務 が 課 せられている しかし CGN によってグローバル IPv4 アドレスを 共 有 す るケースでは 発 信 者 のプライベート IPv4 アドレスを 特 定 するために 通 信 先 のホストから の 申 告 と NAT 変 換 ログを 突 合 する 必 要 が 出 てくる ポートの 動 的 割 り 当 てをしている 場 合 には NAT テーブルの 割 当 消 去 のタイミングで 下 記 の 内 容 のログを 取 得 しなければならない Timestamp 送 信 元 IP アドレスとポート 番 号 NAT 変 換 後 送 信 元 IP アドレスとポート 番 号 ポートの 静 的 割 り 当 てをしている 場 合 には ユーザごとの NAT テーブルの 割 当 が 静 的 に 決 められているため 上 記 のログの 取 得 が 不 要 となる ただし 通 信 先 ホストからの 申 告 に 送 信 元 ポートの 情 報 が 含 まれていない 場 合 は 上 記 30

34 の 情 報 だけではユーザの 特 定 が 不 可 能 なため 動 的 割 り 当 てと 静 的 割 り 当 てのどちらの 場 合 においても 通 信 先 IP アドレスとポート 番 号 を 取 得 しなければならない しかし 現 状 では 送 信 元 ポートの 情 報 の 取 得 に 対 応 している アプリケーションサーバは 少 ない そのため 実 質 上 は 通 信 先 IP アドレスとポート 番 号 情 報 の 取 得 は 必 須 である 静 的 割 り 当 てにおいては ユーザごとにセッション 数 上 限 と 同 じポート 数 (500 ポート)を 静 的 に 割 り 当 てなければならないため 100 万 ID を 払 い 出 している 場 合 1,000,000 * 500 = 500,000,000 [port] 必 要 となる これは 500,000,000 [port] / ( ) [port/アドレス] = 7751 [アドレス] に 相 当 する 動 的 割 り 当 てと 比 較 して 10 倍 のプールアドレスが 必 要 となる IPv4 アドレスの 利 用 効 率 が 高 いことから 動 的 割 り 当 ての 設 定 とすることを 推 奨 する NAT ログにおける 通 信 先 情 報 の 取 得 の 設 定 ( 設 定 コマンド) ip nat template logging [TEMPLATE-NAME] include-destination NAT ログの 形 式 の 指 定 の 設 定 ( 設 定 コマンド) ip nat template logging [TEMPLATE-NAME] format default NAT ログ 取 得 サーバの 指 定 の 設 定 ( 設 定 コマンド) slb server [NAME01] [IPaddress] port 514 udp slb server [NAME02] [IPaddress] port 514 udp slb service-group [GROUP-NAME] udp member [NAME01]:514 member [NAME02]:514 以 上 の 設 定 は 2 台 の syslog サーバをグループ 化 し 分 散 して NAT ログを 送 付 している 以 上 モバイルネットワークを 想 定 し CGN 導 入 の 推 奨 対 応 と 手 順 を 記 述 した 31

35 第 3 章 Vyatta ASAMAP を 用 いた 小 規 模 な 464 技 術 検 証 環 境 の 構 築 手 順 本 文 書 では Vyatta ASAMAP を 用 いて 以 下 の 四 つのの 464 技 術 の 動 作 検 証 を 行 う 為 の 環 境 構 築 を 行 う 手 順 について 説 明 する DS-Lite 464XLAT MAP-E MAP-T DS-Lite は RFC6333(IETF Dual-Stack Lite Broadband Deployments Following IPv4 Exhaustion ) 19 で 仕 様 が 定 められている カスタマ 側 装 置 (B4)とキャリア 側 装 置 (AFTR)で IPv4 パケットをカプセル 化 カプセル 化 解 除 を 行 い キャリア 内 ネットワーク を IPv6 のみで 構 築 することを 可 能 とする 技 術 である MAP-E や MAP-T と 異 なりカス タマ 側 装 置 では NAPT 機 能 を 持 たず キャリア 側 装 置 で NAPT 機 能 を 持 つ 464XLAT は RFC6877(IETF 464XLAT: Combination of Stateful and Stateless Translation Abstract ) 20 で 仕 様 が 定 められている カスタマ 側 装 置 (CLAT)で IPv4 パケ ットを IPv6 パケットに 変 換 (IP ヘッダ 書 き 換 え)し キャリア 側 装 置 (PLAT)で IPv6 パケ ットを IPv4 パケットに 変 換 する いわゆるダブル トランスレーションを 行 うことでキ ャリア 内 ネットワークを IPv6 のみで 構 築 することを 可 能 とする 技 術 である DS-Lite と 同 様 カスタマ 側 装 置 では NAPT 機 能 を 持 たず キャリア 側 装 置 で NAPT 機 能 を 持 つ MAP-E は draft-ietf-softwire-map(ietf Mapping of Address and Port with Encapsulation (MAP) ) 21 で 標 準 化 が 進 められている DS-Lite と 同 じように カスタ マ 側 装 置 (CE)とキャリア 側 装 置 (BR)で IPv4 パケットをカプセル 化 カプセル 化 解 除 を 行 い キャリア 内 ネットワークを IPv6 のみで 構 築 することを 可 能 とする 技 術 である 但 し 19 IETF Dual-Stack Lite Broadband Deployments Following IPv4 Exhaustion 20 IETF 464XLAT: Combination of Stateful and Stateless Translation Abstract 21 IETF Mapping of Address and Port with Encapsulation (MAP) 32

36 DS-Lite とは 異 なり キャリア 側 装 置 で NAPT 機 能 を 持 たず カスタマ 側 装 置 で NAPT 機 能 を 持 つ MAP-T は draft-ietf-softwire-map-t(ietf Mapping of Address and Port using Translation (MAP-T) ) 22 で 標 準 化 が 進 められている 464XLAT と 同 じように カスタ マ 側 装 置 (CE)で IPv4 パケットを IPv6 パケットに 変 換 (IP ヘッダ 書 き 換 え)し キャリア 側 装 置 (BR)で IPv6 パケットを IPv4 パケットに 変 換 する いわゆるダブル トランスレ ーションを 行 うことでキャリア 内 ネットワークを IPv6 のみで 構 築 することを 可 能 とする 技 術 である 但 し 464XLAT とは 異 なり キャリア 側 装 置 で NAPT 機 能 を 持 たず カス タマ 側 装 置 で NAPT 機 能 を 持 つ 3.1 共 通 の 設 定 項 目 (31 ページ) では 各 464 技 術 に 共 通 する 設 定 項 目 について 説 明 する 特 にカスタマ 側 装 置 は 仮 想 化 環 境 で 容 易 にスケールアウトさせることができるよう アドレス 体 系 を 工 夫 しているため その 点 を 詳 しく 説 明 する 3.2 DS-Lite の 環 境 構 築 (39 ページ) で は Vyatta ASAMAP を DS-Lite AFTR/B4 と して 検 証 環 境 を 構 築 するための 手 順 を 説 明 する XLAT の 環 境 構 築 ( 47 ページ) では Vyatta ASAMAP を 464XLAT PLAT/CLAT として 検 証 環 境 を 構 築 するための 手 順 を 説 明 する 3.4 MAP-E と MAP-T の 環 境 構 築 ( 57 ページ) では Vyatta ASAMAP を MAP-E/MAP-T の BR/CE として 検 証 環 境 を 構 築 するための 手 順 を 説 明 する MAP-E と MAP-T は 一 つの 設 定 パラメータが 異 なるだけでほとんど 同 じ 設 定 内 容 となるため 一 つの 節 で 説 明 を 行 う キャリア 側 装 置 に NAPT 機 能 カスタマ 側 装 置 に NAPT 機 能 トランスレーション 464XLAT MAP-T トンネリング DS-lite MAP-E 22 IETF Mapping of Address and Port using Translation (MAP-T) 33

37 3.1 共 通 の 設 定 項 目 本 文 書 で 構 築 する 検 証 環 境 の 基 本 的 な 構 成 図 を 図 3-1 に 示 す キャリア 側 装 置 カスタマ 側 装 置 図 3-1 本 文 書 で 構 築 する 検 証 環 境 の 基 本 的 な 構 成 図 図 3-1 は DS-Lite の 例 となっているが 以 下 の 3 点 を 除 き 検 証 に 必 要 な 環 境 は 他 の 464 技 術 と 同 様 である カスタマ 側 装 置 とキャリア 側 装 置 の 名 称 が 異 なること 23 カスタマ 側 が 共 有 する IPv4 Prefix の 名 称 が 異 なること 24 MAP-E と MAP-T には Rule IPv6 Prefix や EA-Bits Length といったパラメータ が 追 加 されていること 本 構 成 ではカスタマ 側 装 置 に 0 から 9999 までの 最 大 個 の ID を 振 ることと する 23 名 称 が 異 なるとは DS-Lite の 場 合 は AFTR と B4 となり MAP-E および MAP-T の 場 合 は BR と CE となるように カスタマ 側 装 置 とキャリア 側 装 置 の 名 称 がそれぞ れの 方 式 で 異 なることを 表 す 24 名 称 が 異 なるとは DS-Lite や 464XLAT では Pool Prefix と 呼 称 するが MAP-E お よび MAP-T では Rule IPv4 Prefix と 呼 称 するように カスタマ 側 が 共 有 する IPv4 Prefix の 名 称 はそれぞれの 方 式 で 異 なることを 表 す 34

38 まず 本 構 成 では 以 下 の 3 つのネットワークを 作 成 する VLAN1001 インターネット 側 IPv4 ネットワーク( /24) VLAN1002 キャリア 内 IPv6 ネットワーク(2001:db8:0:1::/64) VLAN1003 カスタマ 内 IPv4 ネットワーク( /16) カスタマ 内 IPv6 ネットワーク( カスタマ 側 装 置 毎 に 異 なる 2001:db8:1:0::/64 から 2001:db8:1:9999::/64 までの 個 ) 本 検 証 環 境 では VLAN1003 は 1 つの VLAN を 共 有 する 但 し カスタマ 内 IPv6 ネットワークはトンネル 終 端 アドレスや NAT46 変 換 のために 全 カスタマ 側 装 置 で 異 なる 必 要 があるため 別 々のものを 設 定 する なお 本 検 証 ではカス タマ 側 装 置 のカスタマ 内 IPv6 ネットワークのプレフィクスはトンネル 終 端 アドレスや NAT46 変 換 用 のプレフィクスとしてのみ 用 いるものとする 以 下 設 定 方 法 について 説 明 する キャリア 側 装 置 の 設 定 内 容 キャリア 側 装 置 のインターネット 側 IPv4 ネットワークに 接 続 されたインターフェース には /24 を 設 定 する キャリア 側 装 置 のキャリア 内 IPv6 ネットワークに 接 続 されたインターフェースには 2001:db8:0:1::1/64 を 設 定 する カスタマ 側 装 置 の 設 定 内 容 今 回 の 検 証 に 関 しては カスタマ 側 装 置 のアドレスは 図 3-2 のように 設 定 する 35

39 カスタマ 側 装 置 (B4) 図 3-2 カスタマ 側 装 置 のアドレス 設 定 例 (CPE #12 の 例 ) まずカスタマ 側 装 置 の ID を 文 字 列 4 文 字 となるよう 左 側 に 0 を 埋 める( 例 : ID が 12 の 場 合 は 0012 とする) 1 カスタマ 側 装 置 のキャリア 内 IPv6 ネットワークに 接 続 されたインターフェースに は 2001:db8:0:1::/64 に :1(ID の 前 半 2 文 字 ):1(ID の 後 半 2 文 字 ) を 最 後 の 4 オクテットに 設 定 したものを 用 いる( 例 : ID が 12 の 場 合 は 2001:db8:0:1::100:112/64 とする) 2 カスタマ 側 装 置 のカスタマ 内 IPv6 ネットワーク 側 インターフェースには 2001:db8:1::/48 に :(ID 4 文 字 ) を 第 7 から 第 8 オクテットに 設 定 し 最 後 の 1 オクテットを 1 に 設 定 したものを 用 いる( 例 : ID が 12 の 場 合 は 2001:db8:1:12::1/64 とする) 3 カスタマ 側 装 置 のカスタマ 内 IPv4 ネットワーク 側 インターフェース /16 に.1(ID の 前 半 2 文 字 ).1(ID の 後 半 2 文 字 ) を 設 定 したものを 用 いる( 例 : ID が 12 の 場 合 は /16 とする) カスタマ 側 装 置 のキャリア 内 IPv6 ネットワーク 側 インターフェースとカスタマ 内 ネッ トワーク 側 インターフェースの MAC アドレスも 同 様 に 図 3-2 のように 計 算 し 設 定 する 但 し MAC アドレスの 設 定 については 2 通 り 方 法 が 考 えられるため 後 述 する 36

40 3.1.3 MAC アドレスの 設 定 MAC アドレスの 設 定 方 法 には 以 下 の 2 通 りの 方 法 が 考 えられる libvirtd 25 の 設 定 ファイルの MAC アドレス 欄 を 直 接 書 き 換 える 方 法 Vyatta のコマンドで MAC アドレスを 書 き 換 える 方 法 libvirtd の 設 定 ファイルの MAC アドレス 欄 を 直 接 書 き 換 える 方 法 この 方 法 は QEMU 26 を 実 行 する libvirtd の 設 定 ファイルの MAC アドレス 欄 を 書 き 換 えることで 仮 想 NIC の MAC アドレスを 書 き 換 える 方 法 である 仮 想 化 環 境 上 の ゲスト OS からみると 仮 想 NIC の MAC アドレスが 書 き 換 えられたものになる Vyatta インストール 後 にこの 方 法 で MAC アドレスを 書 き 換 えた 場 合 仮 想 環 境 上 の ゲスト OS である Vyatta からみると NIC が 交 換 されたように 認 識 されるため NIC の 番 号 が 再 計 算 されるという 不 都 合 がある( 例 : eth0, eth1 として 認 識 されていたものが MAC アドレス 書 き 換 え 後 に 再 起 動 すると eth2, eth3 として 認 識 される 等 ) ただし Vyatta の 設 定 で 以 下 のコマンドを 実 行 しておくことでこの 問 題 を 回 避 することは 可 能 である # delete interface ethernet eth0 hw-id ( 古 い MAC アドレス) # set interface ethernet eth0 hw-id ( 新 しい MAC アドレス) 後 述 する Vyatta のコマンドで MAC アドレスを 書 き 換 える 方 法 とは 異 なり この 方 法 は virtio-net 27 仮 想 NIC でも 実 現 可 能 なためパケット 転 送 性 能 が 求 められる 場 合 はこちらの 方 式 の 方 が 好 ましい 具 体 的 には 以 下 の 手 順 で 書 き 換 える 1. virsh edit (VM の 名 前 ) を 実 行 し libvirtd の 設 定 ファイルの 編 集 モードに 入 る 2. MAC アドレスを 書 き 換 えたい 仮 想 NIC の MAC アドレス 欄 を 書 き 換 える 例 ) <domain type='kvm'> 25 libvirtd: 仮 想 マシン 管 理 用 の 共 通 API を 提 供 するオープンソースのライブラリ 26 QEMU:Linux, Windows, OS X に 対 応 したオープンソースのエミュレータ 27 virtio-net: 準 仮 想 化 ドライバと 呼 ばれる 仮 想 NIC 37

41 <interface type='bridge'> <mac address= (この 部 分 を 新 しい MAC アドレスに 書 き 換 える) /> <source bridge='br'/> <model type='e1000'/> <address type='pci' domain='0x0000' bus='0x00' slot='0x03' function='0x0'/> </interface> Vyatta のコマンドで MAC アドレスを 書 き 換 える 方 法 仮 想 NIC が MAC アドレスの 書 き 換 えに 対 応 する 場 合 Vyatta で 以 下 のコマンド を 実 行 することで 一 時 的 に MAC アドレスを 変 更 することができる これは 仮 想 化 環 境 上 のゲスト OS からみると 仮 想 NIC の 物 理 アドレスはそのままで 異 なる MAC ア ドレスをソフト 的 に 設 定 するような 意 味 となる ただしこの 方 法 は 仮 想 NIC によってはサポートしておらず この 方 法 を 用 いたい 場 合 は e1000(1000base-t NIC) を 仮 想 NIC として 選 択 すべきである 具 体 的 には 以 下 の 手 順 で 書 き 換 える # set interface ethernet eth0 mac ( 新 しい MAC アドレス) 本 手 順 書 では カスタマ 側 装 置 の 仮 想 マシンをクローンしてインストールの 手 間 を 省 くことを 考 慮 し Vyatta のコマンドで MAC アドレスを 書 き 換 える 方 法 で MAC ア ドレスの 設 定 を 行 う ICMP Redirect の 送 信 抑 制 の 設 定 MAP-E と MAP-T の 場 合 は 必 ず 以 下 の 設 定 を 行 う # set firewall send-redirects disable MAP-E と MAP-T では 同 一 の IP アドレスを NAPT を 用 いずに 複 数 のカスタマ 側 装 置 で 共 有 するため 上 記 の 設 定 を 行 わないと 誤 った ICMP Redirect を 送 信 してしまう 場 合 がある そのため ICMP Redirect の 送 信 を 無 効 化 するために 上 記 コマンドを 実 行 する 38

42 ただし DS-Lite と 464XLAT でも ICMP Redirect は 不 要 と 思 われるため 手 順 書 上 は 全 環 境 構 築 の 際 に 上 記 のコマンドを 実 行 するようにしている キャリア 側 装 置 のインターネット 側 インターフェースの Proxy ARP 機 能 の 有 効 化 特 に DS-Lite や 464XLAT といった(MAP-E や MAP-T と 比 較 し) 少 ない IPv4 アド レスでサービスを 提 供 可 能 な 464 技 術 の 場 合 キャリア 側 装 置 のインターネット 側 インタ ーフェースに 設 定 したネットワークに 含 まれるアドレスを NAPT のプールアドレスとし て 設 定 したいケースがある 例 えば 図 3-1 の 場 合 キャリア 側 装 置 のインターネット 側 インターフェースには /24 を 設 定 しているが プールには /24 内 に 含 まれる /32 を 設 定 しようとしている この 場 合 Server が Client への 応 答 パケットを 返 そうとした 際 に の ARP 解 決 を 試 みるが Vyatta ASAMAP はそのままでは ARP 応 答 を 行 わないため 応 答 パケットを 返 すことができない このような 構 成 で 検 証 を 行 いたい 場 合 は 以 下 のようにキャリア 側 装 置 のインターネット 側 インターフェースで Proxy ARP を 行 うよう 設 定 する 必 要 がある # set interface ethernet eth0 vif 1001 ip enable-proxy-arp フラグメント 処 理 時 の 最 大 IPv6 パケットサイズの 設 定 464 技 術 では IPv4 パケットを IPv6 化 する 際 に IPv6 の MTU に 収 まらなくなる 可 能 性 がある その 場 合 でかつ IPv4 の Don't Fragment フラグが 設 定 されていない 場 合 何 らかの 形 でフラグメント 処 理 を 行 い IPv6 化 する Vyatta ASAMAP では 以 下 のコマンドにより IPv6 化 する 際 の 最 大 IPv6 パケットサイ ズを 設 定 することができる # set interfaces map map0 ipv6-fragment-size 1500 デフォルトでは IPv6 の 最 小 MTU サイズである 1280 となる 本 手 順 書 では 最 大 IPv6 パケットサイズを 1500 に 設 定 する 39

43 3.1.7 カプセル 化 方 式 におけるフラグメント 処 理 時 のスタック 指 定 の 設 定 カプセル 化 方 式 を 採 用 する DS-Lite と MAP-E では IPv6 化 してフラグメント 処 理 を 行 う 際 に IPv6 スタック 側 でフラグメントを 行 う(IPv4 パケットはそのままで IPv6 fragment option header を 用 いて IPv6 でフラグメントを 行 う)か IPv4 側 でフラグメン ト 処 理 を 行 い IPv6 パケットには IPv6 fragment option header がつかないようにするか の 2 通 りの 方 法 が 考 えられる Vyatta ASAMAP では 以 下 のコマンドによりどちらのスタックでフラグメント 処 理 を 行 うかを 設 定 することができる # set interfaces map map0 ipv4-fragment-inner false ipv4-fragment-inner を false に 設 定 した 場 合 IPv6 スタック 側 でフラグメント 処 理 が 行 われる ipv4-fragment-inner を true に 設 定 した 場 合 IPv4 スタック 側 でフラグメント 処 理 が 行 われる 本 手 順 書 では IPv4 スタック 側 でフラグメント 処 理 を 行 うよう 統 一 している カスタマ 側 装 置 における TCP MSS オプション 書 き 換 えの 設 定 DS-Lite/464XLAT/MAP-E/MAP-T ではいちど IPv4 パケットをカプセル 化 したり IPv6 パケットに 変 換 したりすることでキャリア 内 IPv6 ネットワークを 通 過 する IPv6 ヘッダの 大 きさはオプション 無 し IPv4 ヘッダと 比 較 し 20 オクテット 大 きいため 場 合 によっては IPv4 から IPv6 にする 際 にフラグメントが 必 要 になる 可 能 性 がある カスタマ 側 装 置 で TCP MSS オプションの 書 き 換 えを 行 うことでこの 問 題 を 回 避 するこ とができる 具 体 的 にはカスタマ 側 装 置 で 以 下 のコマンドを 実 行 することで TCP SYN パケットの MSS オプション 値 が 1200 に 書 き 換 えられ TCP 通 信 についてはフラグメントの 必 要 が ないサイズでエンド エンド 間 通 信 が 行 われるようになる # set policy route mssclamp rule 1 protocol tcp # set policy route mssclamp rule 1 tcp flags SYN # set policy route mssclamp rule 1 set tcp-mss

44 # set interfaces ethernet eth1 vif 1003 policy route mssclamp DS-Lite や MAP-E といったカプセル 化 方 式 の 464 技 術 の 場 合 TCP MSS オプショ ンを 1200 にすると 最 大 IPv6 パケットサイズは 1280 オクテットとなる これは IPv4 の 最 小 MTU 値 となるためどのようなキャリア 内 IPv6 ネットワークにおいても 確 実 に フラグメントが 発 生 しない 設 定 となる もしキャリア 内 IPv6 ネットワークの MTU 値 が 1500 であることが 保 証 できる 場 合 は TCP MSS オプションの 値 に 1420 を 設 定 することで 不 要 なフラグメントを 回 避 しス ループットが 向 上 するする 可 能 性 がある 464XLAT や MAP-T といったダブル トランスレーション 方 式 の 464 技 術 の 場 合 TCP MSS オプションを 1220 にすると 最 大 IPv6 パケットサイズは 1280 オクテット となる 同 様 にキャリア 内 IPv6 ネットワークの MTU 値 が 1500 であることが 保 証 できる 場 合 は TCP MSS オプションの 値 に 1440 を 設 定 することで 不 要 なフラグメントを 回 避 し スループットが 向 上 するする 可 能 性 がある 本 手 順 書 では DS-Lite と MAP-E の 場 合 に TCP MSS オプション 値 として 1420 を 464XLAT と MAP-T の 場 合 に 1440 をそれぞれ 用 いる 41

45 3.2 DS-Lite の 環 境 構 築 本 節 で 構 築 する 構 成 を 図 3-3 に 示 す 図 3-3 DS-Lite の 環 境 構 成 Client から Server へ 通 信 を 行 う 場 合 まず Client からパケットを 受 け 取 った B4 は IPv4 ヘッダの 情 報 を 特 に 書 き 換 えることなく IPv6 パケットにカプセル 化 し AFTR(2001:db8::1) へ 転 送 する AFTR はカプセル 化 解 除 した 後 NAT44 処 理 を 行 い IPv4 ヘッダを 書 き 換 え Server へ 転 送 する AFTR は Server からの 返 信 パケットを NAT44 処 理 し IPv6 パケットにカプセル 化 し B4 へ 転 送 する B4 はカプセル 化 解 除 した 後 Client へ 転 送 する B4 の 設 定 例 として 図 3-3 の CPE #0 の 設 定 を 行 う 42

46 3.2.1 AFTR の 設 定 まず 基 本 的 な IP アドレスとルーティングの 設 定 を 行 う set interfaces ethernet eth0 vif 1001 address /24 set interfaces ethernet eth1 vif 1002 address 2001:db8:0:1::1/64 set protocols static route6 2001:db8:1:0::/64 next-hop 2001:db8:0:1::100:100 commit 上 記 では CPE #0 のための IPv6 ルーティングの 設 定 を 行 っているが 以 下 のように 同 様 に CPE の 数 だけ 設 定 を 行 う 必 要 がある 数 が 多 いためスクリプトでコマンドを 生 成 し 一 括 で 実 行 する set protocols static route6 2001:db8:1:0::/64 next-hop 2001:db8:0:1::100:100 set protocols static route6 2001:db8:1:1::/64 next-hop 2001:db8:0:1::100:101 set protocols static route6 2001:db8:1:2::/64 next-hop 2001:db8:0:1::100:102 set protocols static route6 2001:db8:1:9999::/64 next-hop 2001:db8:0:1::199:199 43

47 次 に ICMP Redirect を 無 効 化 する set firewall send-redirects disable commit 次 にインターネット 側 IPv4 ネットワークで Proxy ARP を 有 効 にする 設 定 を 行 う set interfaces ethernet eth0 vif 1001 ip enable-proxy-arp commit 次 に AFTR の 仮 想 インターフェース 作 成 とパラメータ 設 定 を 行 う set interfaces map map0 role br set interfaces map map0 br-address 2001:db8::1/64 set interfaces map map0 default-forwarding-mode encapsulation set interfaces map map0 pool 1 pool-prefix /32 vyatta@vyatta# set interfaces map map0 ipv6-fragment-size 1500 vyatta@vyatta# set interfaces map map0 ipv4-fragment-inner true vyatta@vyatta# set protocols static interface-route /32 44

48 next-hop-interface map0 commit 上 記 の 設 定 が 完 了 したら AFTR としての 設 定 は 完 了 である 以 下 のコマンドを 実 行 しパラメータが 正 しく 設 定 されていることを 確 認 する run show interfaces map map0 Interface name : map0 Role : BR Tunnel source : (null) BR address : 2001:db8::1/64 IPv4 pool : IPv4 pool #0000 : /32 Default forwarding mode : encapsulation Default forwarding rule : true IPv6 fragment size : 1500 IPv4 fragment inner : true NAPT always : true NAPT force recycle : false Basic mapping rule : (null) MAP IPv6 address : 2001:db8::1/64 Shared IPv4 address : Assigned port-set ID : 0x0/0 Port-set : Port-set #0000 : 4096(0x1000) (0xffff) vyatta@vyatta# 45

49 3.2.2 B4 の 設 定 B4 #0 を 例 に 設 定 する まず eth0 と eth1 の MAC アドレスを 変 更 する set interfaces ethernet eth0 mac 52:54:01:00:00:00 set interfaces ethernet eth1 mac 52:54:02:00:00:00 commit 次 に 基 本 的 な IP アドレスとルーティングの 設 定 を 行 う set interfaces ethernet eth0 vif 1002 address 2001:db8:0:1::100:100/64 set interfaces ethernet eth1 vif 1003 address 2001:db8:1:0::1/64 set interfaces ethernet eth1 vif 1003 address /16 set protocols static route6 2001:db8::/64 next-hop 2001:db8:0:1::1 commit 次 に ICMP Redirect を 無 効 化 する set firewall send-redirects disable 46

50 commit 次 に TCP MSS オプションを 書 き 換 える 設 定 を 行 う set policy route mssclamp rule 1 protocol tcp vyatta@vyatta# set policy route mssclamp rule 1 tcp flags SYN vyatta@vyatta# set policy route mssclamp rule 1 set tcp-mss 1420 vyatta@vyatta# set interfaces ethernet eth1 vif 1003 policy route mssclamp vyatta@vyatta# commit vyatta@vyatta# 次 に B4 の 仮 想 インターフェース 作 成 とパラメータ 設 定 を 行 う vyatta@vyatta# set interfaces map map0 role ce vyatta@vyatta# set interfaces map map0 tunnel-source eth vyatta@vyatta# set interfaces map map0 br-address 2001:db8::1/64 vyatta@vyatta# set interfaces map map0 default-forwarding-mode encapsulation vyatta@vyatta# set interfaces map map0 ipv6-fragment-size 1500 vyatta@vyatta# set interfaces map map0 ipv4-fragment-inner true 47

51 set protocols static interface-route /0 next-hop-interface map0 commit 上 記 の 設 定 が 完 了 したら B4 としての 設 定 は 完 了 である 以 下 のコマンドを 実 行 しパラメータが 正 しく 設 定 されていることを 確 認 する run show interfaces map map0 Interface name : map0 Role : CE Tunnel source : eth BR address : 2001:db8::1/64 IPv4 pool : Default forwarding mode : encapsulation Default forwarding rule : true IPv6 fragment size : 1500 IPv4 fragment inner : true NAPT always : true NAPT force recycle : false Basic mapping rule : (null) MAP IPv6 address : 2001:db8:1:0:c0:0:200:0/128 Shared IPv4 address : Assigned port-set ID : 0x0/0 Port-set : Port-set #0000 : 4096(0x1000) (0xffff) vyatta@vyatta# 48

52 3.2.3 確 認 Client から Server に 対 して ping や ssh 接 続 を 実 施 してみて 動 作 を 確 認 する DS-Lite では AFTR が NAPT 処 理 を 行 う AFTR で 以 下 のコマンドを 実 行 すること で 現 在 の 通 信 内 容 (NAPT テーブル エントリの 内 容 )を 確 認 することができる run show interfaces map map0 napt Proto: 'I' = ICMP, 'T' = TCP, 'U' = UDP. Flags: SynOut, SynAckIn, AckOut, FinOut, FinAckIn, FinIn, FinAckOut, Rst. '!' = Up, '.' = Down. Last used, Local IPv6 address, Local address:port, Mapped address:port, Remote address:port, Proto, Flags. 06:09: :db8:1:0:c0:0:200: : :(0xe261) :22 T!!!... 06:09: :db8:1:0:c0:0:200: : :(0xe9e0) :0 I... vyatta@vyatta# 上 記 の 例 では から に 対 する ICMP と TCP/22 が 行 わ れていることがわかる 49

53 XLAT の 環 境 構 築 本 節 で 構 築 する 構 成 を 図 3-4 に 示 す 図 XLAT の 環 境 構 成 Client から Server へ 通 信 を 行 う 場 合 まず Client からパケットを 受 け 取 った CLAT は IPv4 ヘッダの 情 報 元 に IPv6 パケットに 変 換 し PLAT の NAT64 プレフィクス (2001:db8::/64) へ 転 送 する PLAT は NAT64 プレフィクス 宛 の IPv6 パケットを IPv4 パケットに 変 換 し NAT44 処 理 を 行 い IPv4 ヘッダを 書 き 換 え Server へ 転 送 する PLAT は Server からの 返 信 パケットを NAT44 処 理 し IPv6 パケットに 変 換 し CLAT へ 転 送 する CLAT は PLAT から 受 け 取 った IPv6 パケットを IPv4 パケットに 変 換 した 後 Client へ 転 送 する CLAT の 設 定 例 として 図 3-4 の CPE #0 の 設 定 を 行 う 50