スライド 1

Size: px

Start display at page:

Download "スライド 1"

あおいうえや
6 years ago
Views:

1 忘れがちな IPv6 のアドレス構成 Matsuzaki maz Yoshinobu 1

2 IPv4 と IPv6 パケット転送などの考え方は同じつまり基本はほとんど一緒 IP ヘッダがちょっと違うアドレス長が伸びてる IPv4 32bit 長 IPv6 128bit 長 2

3 IPv4 パケット送信同じネットワークに属していれば直接送信 inet netmask ~ が同じセグメント上にある etherフレーム dst mac src mac dst ip src ip dst ip dst mac dst データ src src ip src mac ip: ip:

4 arp (Address Resolution Protocol) ether ではパケット送信に MAC アドレスが必要 IPv4 アドレスは分かってる (ex. default の向け先 ) 機器の IPv4 アドレスから MAC アドレスを知りたい arp で解決 RFC826 arp who-has tell x0000: ffff ffff ffff 0019 bb27 37e x0010: bb27 37e0 c0a x0020: c0a arp reply is-at 00:16:17:61:64:86 0x0000: 0019 bb27 37e x0010: c0a x0020: 0019 bb27 37e0 c0a x0030:

5 IPv6 パケット送信同じネットワークに属していれば直接送信 inet6 2001:db8::1 prefixlen :db8::~2001:db8::ffff:ffff:ffff:ffff が同じセグメント上にある etherフレーム dst mac src mac dst ip src ip dst ip dst mac dst データ src src ip src mac ip: 2001:db8::beef:cafe ip: 2001:db8::1 5

6 ndp (Neighbor Discovery Protocol) ether ではパケット送信に MAC アドレスが必要機器の IPv6 アドレスから MAC アドレスを知りたい ndp で解決 RFC4861 ICMP6 を利用して MAC アドレスを問い合わせる送り先を未学習なら multicast アドレス宛て IP: ff02::1:ff00:0000 ~ ff02::1:ffff:ffff 送信先 IP アドレスの下位 24bit を利用して生成 MAC: 33:33:00:00:00:00 ~ 33:33:ff:ff:ff:ff 送信先 IP アドレスの下位 32bit を利用して生成 6

7 ndp で MAC アドレス解決 IP6 2001:db8::1 > ff02::1:ffef:cafe ICMP6, neighbor solicitation, who has 2001:db8::beef:cafe source link-address option: 00:19:bb:27:37:e0 0x0000: 3333 ffef cafe 0019 bb27 37e0 86dd x0010: aff db x0020: ff x0030: 0001 ffef cafe a x0040: 0db beef cafe x0050: 0019 bb27 37e0 IP6 2001:db8::beef:cafe > 2001:db8::1 ICMP6, neighbor advertisement, tgt is 2001:db8::beef:cafe destination link-address option: 00:16:17:61:64:86 0x0000: 0019 bb27 37e dd x0010: aff db x0020: 0000 beef cafe db x0030: c1fd x0040: 0db beef cafe x0050:

8 ネットワーク構成ルータ間やホストの接続するセグメントなど様々考えられる RT1 RT2 RT3 8

9 IPv4 の場合必要に応じてマスク長を変えて運用 RT1 RT2 RT3 /30 /30 /28 /24 9

10 IPv6 の場合気にせず /64 で運用するのが基本 RT1 RT2 RT3 /64 /64 /64 /64 10

11 point to point リンク主にルータ間で多用されている回線 POS Serial などなど障害切り分けとかしやすい実は tunnel も point to point リンクパケットを回線に投げれば対向に届く Layer2 アドレス解決のための arp とかいらない 11

12 point to point リンクとアドレス古は対向のアドレスをいちいち指定する remote address とか dest_address とかの指定今でもこんな設定をできるルータもあるがすでにできないルータもある今はリンク上に /30 とか /64 のセグメントがあるかの様に設定している Ethernet だろうが POS だろうが気にしてない 12

13 /30 でルータ間 / network address ルータA ルータB broadcast address ルータ A / ルータ B 13

14 /64 でルータ間 2001:db8::/ :db8::0 Subnet Router anycast address 2001:db8::1 ルータA 2001:db8::2 ルータB 2001:db8::3 2001:db8::ffff:ffff:ffff:ffff 空きルータ A /64 :1 :2 ルータ B 14

15 /126 で使ってる場合でも 2001:db8::/ :db8::0 Subnet Router anycast address 2001:db8::1 ルータA 2001:db8::2 ルータB 2001:db8::3 空きルータ A /126 :1 :2 ルータ B 15

16 宛先のいないパケットセグメント上でどの機器も利用していない様な空きのアドレス宛てにパケットが届いたら Ethernet arp や ndp で確認し居なければ host unreach これはこれで別途懸念点はあるけど point to point リンク回線に投げてみる 16

17 point to point リンクと空きアドレス /24 をリンクに割り当てをルータ A をルータ B に Q 宛てのパケットはどうなる? A. ルータ A / ルータ B 17

18 ping pong point to point リンク上に空きアドレスがあるとそこ向けのパケットがループする IPv4 では /30 とか /31 とか利用して空きがなかった IPv6 だと /64 とか /126 とか使ってるので空きがあるもちろん IPv6 では古くからこの問題は認識されていて対策が議論されてきた実はよーく読むと RFC にも書いてある 18

19 RFC4443 ICMPv6 3. ICMPv6 Error Messages 3.1. Destination Unreachable Message <snip> One specific case in which a Destination Unreachable message is sent with a code 3 is in response to a packet received by a router from a point to point link, destined to an address within a subnet assigned to that same link (other than one of the receiving router's own addresses). In such a case, the packet MUST NOT be forwarded back onto the arrival link. 19

20 つまり RFC 曰く 2001:db8::/64 を point to point リンクで使っている時 2001:db8::13 宛てのパケットが来たらルータ A 2001:db8::13 宛てルータB 2001:db8::/64 :1 :2 ICMP dst unreach 1. 流入インタフェース = 送出インタフェース 2. 宛先がそのリンク上の時はパケットを転送してはいけない (MUST NOT) でもって ICMP でエラーを通知 20

21 知ってるのが重要仕様上は問題なしでも実装は違うかも良くある話こういった特別な場合は忘れられがちなので使う前にはキチンと確認を僕たちだって忘れそうベンダだって忘れそう 21

22 念のための方策の検討万が一に備えるのが重要事前に複数の対策を講じておくとかいよいよとなった時に逃げの方策があるかとか 1.link local で頑張る 2. 泣きながらパケットフィルタ 3./127 で生きてみる 22

23 案 1 ルータ間は link local のみ IPv6 ではルータ間は link local のみでも動く loopback にだけアドレスを振っておけばルーティングプロトコルも大丈夫隣接ルータ間は link local で経路のやりとり問題もいくつかリモートからの ping 監視など ebgp での nexthop 書き換えが面倒 traceroute ではどのリンクを通ったか分かりにくい 23

24 案 2 泣きながらパケットフィルタいわゆる infrastructure ACL と一緒 point to point 用にアドレスを確保してそこ宛てのパケットをネットワーク境界でフィルタ IPv6 アドレスはいっぱいあるから問題もあるフィルタのメンテナンス他の AS との接続点とか 24

25 案 3 /127 で生きてみる 2001:db8::2/ :db8::2 ルータ A 2001:db8::3 ルータ B ルータ A /127 :2 :3 ルータ B 空きアドレスがなくなってばっちりでも実は既にこんな事を検討した人はいた 25

26 /127 と RFC use of /127 considered harmful [RFC3627] 現時点では /127 の利用は有害らしい subnet router anycast address が使えない実はまだほとんどのルータには実装されてないけど実装されると DAD で問題になる /31 の時の様に使わないことにする RFC も書けるけど特別な場合を増やす問題もある /64 より長い prefix 長での問題 u/g bit とか 26

27 まとめ仕様と実装は違うかも使う前にはちゃんと検証を問題を見つけたらベンダにも教えてあげましょう特に特別な場合は要注意 point to point リンクでの ICMPv6 とか tunnel を張るときも同様なので注意ちょっとした違いに注意思い込みとか IPv4 では大丈夫だったとか 27

28 28

IPv6 トラブルシューティング~ ISP編~

IPv6 トラブルシューティング~ ISP編~ IPv6 トラブルシューティング ~ ISP 編 ~ Matsuzaki maz Yoshinobu Copyright (c) 2010 Internet Initiative Japan Inc. 1 内容主に ISP のネットワークで起こりそうなトラブルとその対策を紹介する疎通経路制御正しい状態を知るトラブル事例を知る Copyright (c) 2010