IPv6共存・移行技術基礎

Transcription

1 Internet Week 2012 November 21 st, 2012 IPv6 Transition and Co-existent with IPv4 Photo: US Navy Tetsuya Innami Japan Technology and Research Center Cisco Systems G.K.

2 Agenda 1. 自己紹介 2. IPv6とインターネット 3. IPv6の普及とその尺度 4. IPv6 導入の指針 5. 必要な技術と標準化 6. IPv6におけるセキュリティー 7. まとめ - 移行 共存のためのデザイン 2

3 自己紹介 +α 1992 年 AT&T Jens 入社 当初は UNIX System 上で Coding の業務にあたる その後 まだ一般的でなかった商用 UUCP や ISP の業務を担当 1998 年頃 IPv6 の標準化作業がほぼ完了 2000 年頃 IPv6 対応機器が出荷開始 1993 年頃 JPNIC CIDR パイロットプロジェクト開始 1995 年頃 BGP4 への移行 PC の低価格化コンシュマーイン ターネットサービスの一般化 2004 年 SoftBank BB 入社 コンシュマー向けインターネットサービスや IPv6 を担当 2011 年 Cisco Systems 入社 ブロードバンドインターネットの爆発的普及と IPv4 アドレス消費の加速 2011 年 IANA の IPv4 Pool が枯渇 NTT 東西フレッツネクストで IPv6 インターネット接続サービスを開始 3

4 IPv6 とインターネット IPv6 はなぜ作られたか? IPv4 addressの枯渇とは World IPv6 Launch IPv6 普及度の統計 4

5 IPv6 はなぜ作られたか? 標準化されたのは 年頃 当時既に IPv4 Address の 枯渇 が予想されていた IPv4 Pool Size Size of the Internet IPv6 Transition using Dual-Stack IPv6 は緩やかに普及し インターネットの成長を落とすことなく 徐々に IPv4 と置き換わる計画でした Time 5

6 実際には IPv4 は 本当になくなるのか? IPv6 は普及してきているのか?! IPv4 Pool Size Size of the Internet IPv6 Deployment 2011 年 IPv4 Address 割当プールがなくなりました Time 6

7 ネットワーク利用者の増加傾向は変わっていない World Population 6.3 Billion 6.8 Billion 7.2 Billion 7.6 Billion Connected Devices 500 Million 12.5 Billion 25 Billion 50 Billion Connected More connected Devices Per devices than people Person Source: Cisco IBSG, at the Tipping Point 42.8 億 = IPv4 address では不十分です 7

8 IPv4 Address の枯渇とは?! 現在使われている IPv4 Address がなくなってしまう訳ではない IP Address の管理機関は 新しい IPv4 Address を割り当てるための 在庫 を管理している この 在庫 が一定レベルを下回った段階で 今までとは異なる新規割当てルールが適用されることになる 今までの割当てルールとは 既に割り当てられているaddressを一定レベル以上使用済みで 今後一定期間内で一定レベル以上のaddressを使用する予定がある場合 必要な大きさのaddressところで の割り振りを IP Address ( 複数回管理 ) 受けることができる機関 とはなんでしょう?! 8

9 IP アドレス管理の階層構造 IANA RIPE NCC APNIC ARIN AfriNIC IANA: Internet Assigned Numbers Authority RIR: Regional Internet Registry ARIN: American Registry for Internet Numbers RIPE NCC: Resource IP Europeans Network Coordina?on Centre LACNIC: La?n American and Caribbean Internet Address Registry AfriNIC: African Network Informa?on Centre CNNIC KRNIC JPNIC ISP Data Center etc. LACNIC APNIC: Asia Pacific Network Informa?on Center JPNIC: Japan Network Informa?on Center KRNIC: Korea Network Informa?on Center CNNIC: China Internet Network Informa?on Center 9

10 IPv4 Address 枯渇予想 (generated at 28-Oct :00 UTC) IANA Unallocated Address Pool Exhaustion: 割当てblockが残り5 個になった時点でそれら 03-Feb-2011 を1つづつ 5つのRIR に割り振りました Projected RIR Address Pool Exhaustion Dates: APNIC: 19-Apr-2011 RIPE/NCC: 14-Sep-2012 ARIN: 04-Sep-2013 LACNIC: 01-Jun-2015 AfriNIC: 13-Sep-2019 残り割当て block が 1 つだけになった APNIC と RIPE は 最終割当て方式に移行しました Source: 10

11 枯渇後は どうなってしまうのでしょう? 既に割り当てられている IPv4 Address は 今後もそのまま使い続けることができる枯渇後ルールが適応されるのは これから割当てを受けるときのみこのルールは 1 組織につき 1 回かぎり /22 block(=host 数で約 1,000) の割り振りを受けることができる 新しいネットワークを作るにはどうしたらいいのか? 1. 既に取得済みの IPv4 Address を節約して使う Private Address を有効に活用し Global Address は NAT などを介して複数のユーザーが共同で使うなどの方法が考えられる 2. 他の組織から IPv4 Address を移転してもらう 2011 年 8 月から 日本国内では他の組織が割り振りを受けた IPv4 Address の移転 ( 名義変更 ) ができるようになった 3. IPv6 を導入する 11

12 World IPv6 Launch とは?! 2012 年 6 月 6 日 12:00(UTC) から IPv6 対応を一斉に開始する kick-off イベント 昨年実施された World IPv6 Day は 24h の時間限定のテストイベント今回は 永続的に IPv6 を使用する前提であり終了しない ISOC が運営を行った 3 種類の参加カテゴリが用意された (W6D は Web Site のみ ) Website Operator Network Operator Home Router Vendor 12

13 W6L の参加条件 Web Site Operator メインとなる Web Site に AAAA RR が付加されて IPv6 によるアクセスが可能であることが必要です ipv6 専用 site などは不可とされている Network Operator 全ての新規ユーザーに IPv6 が標準的に提供され 既存ユーザーを含む全体の 1% 以上のユーザーが IPv6 Web Site にアクセス可能である必要がある Home Router Vendor コンスマー向け CPE 製品が IPv6 に固有の設定をエンドユーザーが行うことなく標準的に IPv6 を使用可能で かつ UNH-IOL の相互運用テストシナリオを完了したことを示すリストにあげられていることが必要 13

14 Network Operator にとっての W6L 全体の 1% 以上のユーザーが IPv6 Web Site にアクセス とは? World IPv6 Launch に参加している Web Site の一部に対する IPv6 と IPv4 の Traffic 比率が 1% を超えることが求められている ただし これらの Web Site の中には IPv6 によるアクセスが IPv4 と比較して遅延が大きい場合などに IPv6 によるアクセスを制限している場合が存在している 日本国内では フォールバック問題の存在などにより この問題の影響を受けている Network Operator が多く存在していると言われている 14

15 For Your Reference - Fallback 問題とは IPv6 internet DNS Web 2 IPv4 internet 1. www サーバーのアドレスを DNS に問い合わせる 2. DNS から AAAA RR と A RR を得る 3. AAAA RR が存在するので IPv6 で接続を試みるが 閉域網でインターネットに接続されていないので失敗する 4. タイムアウトを待ち フォールバックして IPv4 で接続を試みる 1 IPv6 閉域網

16 IPv6 普及度の統計 一般的な統計手法を知ることで 自らの計画の規模的 時間的な基準を設定することが可能になる 地域別 国別 Operator 別 (AS) 情報 各サイトの Web Server, Mail Server, DNS Server の情報 特に 大規模な Web Site の対応状況は全体の普及度を測る上での目安となり得る ALEXA などに上位ランクされる Web Site の IPv6 対応状況などが一般に公開されている 16

17 IPv6 普及度 内部的統計 IPv6 利用者数 IPv6による接続数 ISP 事業者などにとってのIPv6サービス加入者数等 Web Server 等に対するアクセス数 ログイン数等 IPv6 Traffic IPv4 との Traffic 比率 IPv6 パフォーマンス IPv4 と比較した遅延 ゆらぎなどの比較 ( 参考 ) World IPv6 Launch 参加者による統計 17

18 IPv6 普及度 インターネット AS/ 国毎の統計 IR からの IPv6 Address の割り振りを受けているネットワーク (Origin として ) IPv6 Address を広告している AS 他の AS の IPv6 prefix を transit している AS アプリケーション サーバーの統計 Web, Mail, DNS それぞれのサーバーが AAAA RR を持っているか? それぞれの protocol(http,smtp,dns q) が IPv6 Transport でアクセス可能か? ( 参考 ) 統計サイトの例 18

19 (参考) 統計サイト Internet Week Cisco and/or its affiliates. All rights reserved. 19

20 IPv6 導入の指針 IPv6 移行の動機と前提条件 Dual-Stack 環境 NAT - IPv4 address の節約 Photo: US Navy 20

21 IPv6 移行の動機と前提条件 基本的な動機 IPv4 address の枯渇をネットワーク拡張の制限にしない 外部の IPv6 サイトへの接続性を担保する 前提条件 既存の機器を有効に活用する 既存の環境に与える影響を最小限に抑える IPv6 の広大なアドレス空間を使用可能にするだけでなく IPv4 アドレスの節約を同時に行う 21

22 Dual-Stack と IPv4 Address 当面 IPv4 Internet は使われ続けると思われるため 可能であればエンドユーザーの環境としては Dual- Stack 環境が必要 基幹ネットワークは 必ずしも Dual-Stack である必要はなく IPv6 ネットワーク上に IPv4 を重畳させたり その逆を行うような移行技術も存在している IPv4 Address 資源は 既に枯渇しており 潤沢に使用することは難しい 一つの IPv4 Address を複数のユーザーで 共用 する技術を組み合わせて使用することが求められる 22

23 Dual-Stack 環境 IPv6 の直接の Motivation は IPv4 をなくすことではない 当面は 既存の IPv4 環境に影響を与えず 共存することを考慮すべき アプリケーションの両端は Dual-Stack エンドユーザーおよびアプリケーション プロトコルのサーバーは 基本的に IPv4/IPv6 両方で同等なサービスを利用 提供可能であるべき 基本的にエンドユーザーとサーバーの間のネットワーク 機器がすべて dual-stack である必要はない 将来的に IPv4 を全く使う必要がなくなった時点で IPv6 single stack となる 23

24 Dual-Stack と DNS My IPv4 Address IPv4 content" My IPv6 Address IPv6 content" = *?" DNS " IPv4/v6 Dual-stack IPv " www IN A www IN AAAA 2001:db8::c:1sc0 IPv :db8::c:1sc0" DNS (Domain Name System) の Dual-Stack 対応 DNS のデータ (RR) は IPv4 records (A) and/or IPv6 (AAAA) records に対応している DNS の問い合わせ / 返答 protocol 自体は IPv4/IPv6 から独立しているエンドユーザーは 任意の Transport(v4 or v6) で 必要な資源レコード (A and/or AAAA RR) を問い合わせできる 24

25 基幹ネットワークへの Dual-stack 導入の手法 完全 Dual-Stack エンドユーザーとサーバーの間のすべての区間が IPv4/IPv6 双方を routing する IPv4/v6 Dual-Stack Tunneling 例えば IPv6 のパケットを転送する場合 IPv4 でカプセル化することにより IPv4 インフラ上でも IPv6 の転送を可能とする IPv4/v6 IPv4 IPv4/v6 Double Translation 例えば IPv4 のパケットを転送する場合 一度 IPv6 に変換してから IPv4 に戻すことにより IPv6 インフラ上でも IPv4 の転送を可能とする IPv4/v6 IPv6 IPv4/v6 25

26 IPv4 address の節約 一般的な IPv4 接続サービスは 加入者一人 = IPv4 アドレス一個 これを更に節約するには 加入者一人 < IPv4 アドレス一個 すなわち 一つの IPv4 アドレスを複数の加入者で共有する 必要がある 26

27 IPv4 address の共有 複数の加入者が 同じ IPv4 address を使用する加入者を区別するためには トランスポートプロトコル (TCP4/ UDP4) のポート番号を使用する加入者間でのポート番号の重複を避けるため NAT と同時にポート番号も変換する (NAPT: Network Address and Port Translation) NAPT の利用 RFC3022 NAPT の使用に関する課題 利用可能なポート数の制限 常に 内側 からのコネクション TCP/UDP/ICMP のみ NAPT の設置場所 トポロジー 27

28 NAPT におけるポート数の制限 同時に多くのポートを使用するアプリケーションは ポート数の制限により機能が限定される場合が存在する ポート数制限環境における Google Maps の例 - AJAX アプリケーション, etc Refference: Hiroshi Esaki, Ph.D: www2.jp.apan.net/meetings/kaohsiung2009/ presentations/ipv6/esaki.ppt 28

29 Max 30 Connections 29

30 Max 20 Connections 30

31 Max 15 Connections 31

32 Max 10 Connections 32

33 Max 5 Connections 33

34 NAT 装置の設置位置により IPv4 アドレスの共有形態に差異が存在する 理論的には より集中させるほど共有効率は向上する 同一の IPv4 アドレスを異なる NAT 装置で使用する場合はポート番号の割り振りメカニズムが必要 34

35 CPE における NAT NAT44 private NAT global IPv6 (bypass NAT44) CPE ISP Backbone Internet private NAT44 NAT global IPv6 (bypass NAT44) CGN CPE CPE( 宅内設置ルーター ) に NAT 機能を実装する 今日最も一般的な形態 各加入者の自由度が高いが IPv4 アドレスの共有効率は低い 共有効率をあげるために CPE 毎のポート番号に制限を付加し 複数の CPE で共通の IPv4 address を使用する場合も存在する Port Restricted NAT 35

36 CGN (Carrier Grade NAT) private IPv6 (bypass NAT44) NAT global CPE ISP Backbone NAT44 Internet private IPv6 (bypass NAT44) CGN NAT global CPE ISP の基幹設備内に設置し 複数の加入者が利用する ISP の設備内に 加入者毎の状態を保存しなければならないため運用負荷が高い 容易に複数の加入が一つのIPv4アドレスを共有できるため その効率は高い 加入者からGlobal Addressを操作不可 36

37 Double NAT (CPE NAT+CGN, a.k.a. NAT444) NAT44 private NAT private NAT global IPv6 (bypass NAT44) CPE ISP Backbone NAT44 Internet private NAT44 NAT private CGN NAT global IPv6 (bypass NAT44) CPE CPEによるNATとCGNの併用 CPE NATは非常に一般化しているため CGNの導入は 実質的にDouble NAT 環境となる 加入者からGlobal Addressを操作不可で 特にUPnPなどへの対応も困難となりうる現在この問題を解決するために新 Protocolの検討作業も進められている 37

38 構成モデルと移行のステップ 構成モデル 既設 IPv4 インフラの活用 構成モデル - IPv6 only インフラ 移行のステップ Photo: US Navy 38

39 構成モデル 既設 IPv4 インフラの活用 IPv6 over IPv4 Tunneling + Carrier Grade NAT IPv6 IPv6 Internet Internet IPv4 Internet 6rd などの IPv6 over IPv4 技術を利用し 容易に IPv6 サービスを提供 既存の IPv4 インフラをそのまま使用することで 新たな設備投資を控える 既設 IPv4 インフラ IPv4/IPv6 Dual-stack IPv4 在庫 Address の消費を極力抑えるため CGN を使用し 複数のユーザー間で一つのアドレスを共有する エンドユーザーには IPv4(private) と IPv6 の Dual-Stack 環境を提供する 39

40 構成モデル - IPv6 only インフラ Native IPv6 + IPv4 overlay 前項の逆パターン IPv6 Internet IPv6 Internet IPv4 Internet IPv6 はネイティブでインターネットへのアクセスを提供 IPv6 インフラ IPv4 Internet へは Translation 技術 或は Tunneling 技術を使用する IPv6 (/ IPv4) NTT-NGN の IPoE サービスに近い構成?! 40

41 Network and Applications IPv4 Internet IPv6 over IPv4 Tunnel+NAT44 All IPv4 Internet Week 2012 Dual-Stack IPv4 and IPv Cisco and/or its affiliates. All rights reserved. IPv4 over IPv6 with NAT44 IPv6 Internet All IPv6 41

42 Step.0 今日のインターネット Private IPv4 NAT ISP Backbone IPv4 Internet Global IPv4 Private IPv4 NAT 42

43 Step.1 Tunneling による IPv6 接続 Private IPv4 IPv6 NAT ISP Backbone Global IPv4 IPv4 Internet Private IPv4 IPv6 NAT IPv6 over IPv4 Tunnel IPv6 IPv6 Internet CPE と ISP の Tunnel Concentrator の間は IPv6 over IPv4 Tunnel で接続 43

44 Step.2 Backbone の Dual-Stack 化 Private IPv4 IPv6 NAT ISP Backbone IPv4 Internet Global IPv4/IPv6 Dual-Stack Private IPv4 IPv6 NAT IPv6 Internet Native IPv6 接続 44

45 Step.2+ CGN の導入 Private IPv4 IPv6 NAT ISP Backbone IPv6 IPv4 Internet Private IPv4 IPv6 NAT Private (or RFC6598) IPv4 NAT Global IPv4 IPv6 Internet CGN の使用による IPv4 Dual NAT 接続 45

46 Step.3 IPv4 接続を Overlay に移行 Private IPv4 IPv6 NAT ISP Backbone IPv6 IPv4 Internet Private IPv4 IPv6 NAT IPv4 over IPv6 Tunnel or NAT464 Global IPv4 IPv6 Internet IPv4 Backbone を極小化し IPv6 インフラ上で IPv4 接続 CGN を併用することもあり 46

47 Step.4 IPv6 に移行 IPv6 ISP Backbone IPv6 IPv6 Internet IPv6 すべてのアプリケーションが IPv6 を使用する 47

48 必要な技術と標準化 アクセス環境の変遷 移行のための要素技術 StatefulとStateless 各種移行技術の紹介 6rd DS-Lite 464XLAT MAP-E Photo: US Navy 48

49 アクセス環境の変遷 宅内環境 ISP/Network Operator Internet とコンテンツ IPv4 Private IPv4 v6 over v4 Tunnel 接続サポート IPv4 Dual-Stack (IPv6 + IPv4 Private) Backbone の Dual-Stack 化 Dual-Stack CGN の提供 IPv6 + IPv4 IPv6 Only v4 over v6 Tunnel のサポート IPv6 Only IPv6 Only 49

50 移行のための要素技術 すべての routing node を Dual-Stack 化すると 運用コストが上昇する Tunneling/Translation 技術と NAT を組み合わせて 効率化をはかる MPLS などの基幹ネットワーク技術を併用することも可能 基幹ネットワークにおける加入者の状態保存インターネットでは 中継ノードで利用者の状態を保持しないことが基本とされているが NAT 等の導入により状態保持の必要性が発生した 状態を保持することで加入者単位の管理を行うことも可能 一方で 状態を保持することで 加入単価の上昇 スケータビリティの低下を招く恐れがある 中継ノードが状態を 保持する方式 Stateful 方式 保持しない方式 Stateless 方式 50

51 Stateful と Stateless IPv6 over IPv4 IPv4 over IPv6 Stateful IP in IP configured Tunnel GRE PPPoE + L2TP Etc. DS-Lite (RFC6333) 464XLAT Stateless 6to4 / 6rd MAP-E/T 4rd Etc 一般的には Stateful の方がより管理しやすく Stateless の方がよりスケーラブルなソリューションになる 51

52 6rd IPv6 Rapid Deployment (RFC5969) 6to4(RFC3050) をベースに 任意の prefix を使用可能にした stateless tunnel 6rd CPE 間で直接通信することが可能 IPv4 address を IPv6 address 中に埋め込むことにより実現するが 一部を 省略 することも可能 IPv6 ISP Backbone 6rd BR IPv4 IPv6 IPv6 Internet IPv6 6rd CPE: :db8:c000:201::/64 が使用可能 :db8: c000:0201: Host ID 2001:db8::/16 ISP s 6rd prefix 0xC

53 IPv4 over IPv6 最終形態の一歩前の形 Stateless Stateful Encapsulation MAP-E DS-Lite 4rd-U Translation MAP-T 464XLAT 53

54 IPv4 over IPv6 標準化の変遷 by Ole Troan, Cisco Systems, Softwire WG, IETF NAT64 IVI XLAT464 divi MAP MAP-DHCP MAP-DEPLOYMENT NAT-PT divi-pd MAP-T NAT464 Public 4over6 DS-lite Lightweight 4over6 A+P Stateless DS-lite 6to4 (RFC3056) 6rd (RFC5969) Automatic tunnels (RFC1933) 6over4 ISATAP Teredo SAM 4rd MAP-E 4rd-(H,U) Source: 54

55 DS-Lite Dual Stack Lite (RFC6333) ISP が設置したトンネル終端装置は CGN も実装し トンネルの端点 (CPE) の IPv6 Address で加入者を識別する DS-Lite の CPE は B4 トンネル終端装置は AFTR と呼ばれる Stateful だが 比較的状態保持の負荷は低い IPv4 IPv6 ISP Backbone AFTR IPv4 IPv4 Internet NAT IPv4 B4 55

56 464XLAT Stateless + Stateful XLAT CPE 側で Stateless XLAT(RFC6145) ISP 内で Address 共有型 Stateful XLAT(RFC6146) を行うことで IPv6 上で IPv4 Traffic を転送する 既に標準化作業が完了している 2 つの技術を組み合わせて実現している この組み合わせでの利用法も Best Current Practice として RFC される見込み (XLAT: Translation) IPv4 IPv6 ISP Backbone PLAT IPv4 IPv4 Internet NAT IPv4 CLAT DS-Lite に似たトポロジー DS-Lite が IPv4 over IPv6 の Encapsulation を行うのに対し 464XLAT は v4/v6 Translation を行う このため CLAT/PLAT の負荷は比較的低い IPv6 転送区間のペイロードも小さく シンプルな転送が可能 CLAT/PLAT はそれぞれ単独で NAT64 の Translator としても動作可能 56

57 MAP-E Mapping Address and Port IPv4 アドレスの一部と使用可能なポート番号レンジを IPv6 アドレスに埋め込むことで状態を保持することなく IPv6 インフラ上で IPv4 トラフィックの転送を行う CPE 単位で使用できるポート範囲が固定されているため NAT は常に CPE で行う ( ただし Port Restricted NAT) CPE 間で直接通信が可能 MAP-E はトンネリング (Encapsulation) を行うが 同様の仕組みを Translation で行う MAP-T も存在する IPv4 NAT ISP Backbone MAP-E BR IPv6 IPv4 IPv4 Internet IPv4 NAT MAP-E CPE Address Mapping Rule は非常に複雑 変換ルールは同時に複数使用可能ながら ルールごとに固定されているため IPv4 アドレスの使用効率はやや低い IETF における標準化作業が進められているが 非常に多くのバリエーションが存在し 現在は MAP-E が Standard Track とされている MAP-T, 4rd(-U) は Experimental 57

58 まとめ 移行技術の選択 移行技術は Dual-Stack の実現方法と NAT の配置がポイントになる Dual-Stack を実現するために オーバーレイ技術等を活用して柔軟な構成を検討する 非常に多くの方式が存在するため それぞれの環境への適合性や 標準化動向を十分考慮する NAT の配置は慎重に検討する 将来的になくなるべきもの 設置箇所によりネットワーク構成に影響 58

59 IPv6 におけるセキュリティー IPv4 との違い IPv6 に固有の課題 IPv6 とセキュリティー Photo: US Navy 59

60 IPv4 との違い 根本的には同じもの アドレス空間の大きさや Protocol の構造に起因する差異は存在しますが IPv4 と IPv6 には根本的なセキュリティーの性質の差はそれほど大きくありません IPsec の幻想 ( 例 ) L2 アドレスの解決 Spoofing Source Routing Routing Protocol Application DoS IPv6 の標準的な実装では IPsec が必須ですが これはセキュリティーが担保されていることを意味するわけではありません IPsec を使用することが有効でないケースも多数存在します また IPsec は IPv4 でも使用可能です 多くの場合 IPv6 でも IPv4 と同じ手法で対策をとることが可能です 60

61 IPv6 に固有の課題 アドレス空間 IPv4 と比較して非常に大きなアドレス空間を持つ IPv6 は 大きさ自体に起因するいくつかの違いがあります また 明確なアドレス スコープの区別が存在することも大きな差異の一つです 攻撃対象の選定 例えば 攻撃者がその対象をしらみつぶしに見つける様なタイプの攻撃を行うためには より多くの労力が必要となります 逆に 空間の大きさに余裕があるため 常に同じアドレスを使用することが多いと考えられます この問題への対応として プライバシー拡張機能も利用可能ですが 安全性が高まる反面 管理が大変になってしまうデメリットもあります Link-Local アドレス Link-Local アドレスは On-Link のみで使用できます この特性を利用することで外部との通信を制御することも可能です 61

62 IPv6 に固有の課題 - Protocol ICMP, NDP, ARP IPv4 の ARP に相当する機能は 整理統合されており ARP 単体では存在しません Plug-and-Play を実現するための機能が追加されており セキュリティーとして考慮すべき IPv6 と IPv4 が大きく異なっている箇所と言えます 拡張ヘッダとフラグメント 拡張ヘッダのチェーンに制限がないため チェックする機構のスケーラビリティに影響を与えます またフラグメントが発生していると さらに複雑なチェックメカニズムが必要になります 62

63 IPv6 に固有の課題 運用性 現実的な運用として IPv4 と違いを認識するべきものが存在します 運用データベース Spam Database など IPv6 では未整備のものが存在します Path MTU Discovery PMTUd は ICMP を使用して実現されています 一部 IPv4 で行われている様な セキュリティーを目的として全ての ICMP を通過させない様な運用は接続性に影響を与えます Dual-Stack/Tunnel over IPv4 IPv4/IPv6 それぞれのセキュリティーを考えなくてはいけないのは もちろんのこと 移行手段としての Tunnel 技術は管理が複雑になりがちで セキュリティーの低下が懸念されます ノウハウとトレーニング 運用自体の経験の少なさから生じる問題は最も大きな課題といえるでしょう 同様にトレーニングの不足もこれを助長します Topology の隠蔽 IPv4 では NAT/NAPT の使用が一般的であるため Topology が隠蔽されていることが前提とされた運用が行われていることがあり 注意が必要です 63

64 IPv6 とセキュリティー IPv6 は多くの面で アドレス空間の大きな IPv4 と捉えることができます そしてセキュリティーの観点では両者にそれほど著しい差異はありません Link-Local Address のように 大きくセキュリティが向上しているものや 拡張ヘッダのように取り扱いが難しいものも存在します すべてで IPsec を使用するといったような 誤った認識も改める必要があります 最も危険なのは 運用経験やトレーニングの不足が不足していることが根本的なセキュリティー脅威の原因になってしまうことです 64

65 まとめ - 移行 共存のためのデザイン IPv6 対応と事業継続性への影響 IPv6 導入の Motivation 企業ネットワークにおける IPv6 の導入 移行のステップ IPv6 の実ネットワークへの導入 いつ IPv6 を導入すべきなのか? Photo: US Navy 65

66 IPv6 対応と事業継続性への影響予測 x 2010: IPv6 Globalization IPv6 Government Mandate Deadlines IPv4/IPv6 Co-existence Transition Planning Early Adopters 2011: IPv6 is important to all of us ( ) to everyone around the world, It is crucial to our ability to tie together everyone and every device. John Chambers 2012: IPv6 IPv6 IPv6 2014: IPv6 IPv6 Low Risk IPv6 Business Impact The Cost of Waiting Goes Up Moderate Risk High Risk 66

67 IPv6 導入の Motivation 外的要因 成長 / 投資保護 パートナー IPv4 address が枯渇しても Internet の成長傾向は継続する エンタープライズには市場の維持 拡大が必要 パートナー或は競合の IPv6 導入 政府機関 業務提携先による IPv6 の要件 内的要因 OS 旧来の問題 Microsoft Windows / Windows Server Microsoft DirectAccess 企業買収 統合によるネットワーク拡大 NAT による技術的制限 新テクノロジー サーバーの仮想化 IoT / Sensor Network 67

68 企業ネットワークにおける IPv6 の導入 Outside In インターネットの革新 ビジネス持続性 B2C, B2B IPv4 Enterprise IPv6 Internet Inside Out 国際化 技術的優位性 業界によっては必須 BYOD-Security-Visibility Dual-Stack Enterprise IPv4 Internet 68

69 移行のステップ Dual-stack のバリエーション NAT44 は当面必要 IPv4 Private IP 6 over over 6 All IPv6 CGN (NAT44) 導入開始 6rd, PPP Dual Stack 464XLAT, DS-Lite, MAP Preserve Prepare IPv6 Prosper IPv6 への移行と拡張 = IPv4 = Private IP = IPv6 69

70 IPv6 の実ネットワークへの導入 アンケート結果 Internet&Presence& 1:#When#are#you#deploying# IPv6#in#producAon# No#plan# 24#months# 12months# 6months# Done# 0%# 5%# 10%# 15%# 20%# 25%# Internal(Network( 1:#When#are#you#deploying# IPv6#in#producBon# No#plan# 24#months# 12months# 6months# Done# 0%# 5%# 10%# 15%# 20%# 25%# 30%# 35%# 40%# 70

71 いつ IPv6 を導入すべきなのか?! Adoption follows an S curve より多くのユーザーが利利 用することで 普及が加速される 普及度度 普及度度の限界 共存期の初めに導 入した機器が なくなり IPv4の使 用が徐々に減少する 機器のライフサイクル IPv6 導 入が開始され IPv4 との共存期に 入る 時間 全世界での普及度度 12 ~ 13% 71

72