アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009 年 8 月時点 ) が力を合わせてアドレス枯渇の影響をネットワークシステムやアプリケーション開発に係わる様々な立場から検証すると同時にそれらの

Size: px

Start display at page:

Download "アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009 年 8 月時点 ) が力を合わせてアドレス枯渇の影響をネットワークシステムやアプリケーション開発に係わる様々な立場から検証すると同時にそれらの"

ゆずさひのと
5 years ago
Views:

1 アドレス枯渇対応タスクフォース ITpro EXPO 2009 アドレス枯渇対応ミニセミナー SIer 編企業システムの対応 2009 年 10 月 30 日株式会社 NTTデータビジネスソリューション事業本部ネットワークソリューションBU 馬場達也

2 アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースとは来るべきアドレス枯渇をより円滑に乗り越えるために 19の組織団体 (2009 年 8 月時点 ) が力を合わせてアドレス枯渇の影響をネットワークシステムやアプリケーション開発に係わる様々な立場から検証すると同時にそれらの立場の人たちが対策の必要性を認識して対策のための情報共有が対策のための情報共有が円滑に行われることを目的として活動しています具体的にはワーキンググループ (WG) を設置して様々な課題を整理し各分野におけるアクションプラン推進体制を構築しています Task Force on Address Exhaustion, Japan ALL RIGHT RESERVED.

3 アドレス枯渇対応タスクフォースアドレス枯渇対応タスクフォースメンバースメンバ普及高度化推進協議会 (v6pc) 財団法人インターネット協会 (IAjapan) 次世代 IX 研究会 (distix) 情報通信ネットワーク産業協会 (CIAJ) 財団法人全国地域情報化推進協会 (APPLIC) 社団法人テレコムサービス協会 (TELESA) 社団法人電気通信事業者協会 (TCA) 財団法人電気通信端末機器審査協会 (JATE) 社団法人日本インターネットプロバイダー協会 (JAIPA) 社団法人日本ケーブルテレビ連盟 (JCTA) 財団法人日本データ通信協会 (JADAC) 社団法人日本ネットワークインフォメーションセンター (JPNIC) 日本ネットワークオペレーターズグループ (JANOG) 特定非営利活動法人日本ネットワークセキュリティ協会 (JNSA) 日本 UNIXユーザ会 (jus) 株式会社日本レジストリサービス (JPRS) 財団法人ハイパーネットワーク社会研究所 WIDEプロジェクト (WIDE) 総務省メンバーと WG の活動 Task Force on Address Exhaustion, Japan ALL RIGHT RESERVED. Task Force on Address Exhaustion, Japan ALL RIGHT RESERVED.

5 への取り組みの必要性 4

6 アドレス枯渇問題の概要グローバルアドレス枯渇の時期 IANA(Internet Assigned Numbers Authority) の在庫が枯渇するのは2011 年 11 月頃 RIR( 地域インターネットレジストリ ) の在庫が枯渇するのは2013 年 2 月頃と予測されている (2009 年 10 月 28 日現在 ) 参考 : 根本的な対策はへの対応 ( ただしとは互換性がない!) グローバルアドレス枯渇の影響自社が提供するサービスのお客様が他社に逃げてしまう 2011 年以降でしかアクセスできないユーザがでてくるそのユーザはサービスがに対応していない場合は利用することができないために対応している他社サービスに乗り換えてしまうインターネット上のサービスが使えなくなる 2011 年以降新規に立ち上げるサービスはでしかサービスがされない可能性がある自社ネットワークがに対応していない場合はでしかアクセスできないサービスが利用できなくなる自社のビジネスを守るためにを導入しなければならないという認識が必要 5

7 製品 / サービスの対応状況 6

8 NTTデータにおける / デュアルスタック環境の検証擬似データセンタ OCN / FW FW VPN VPN VPN VPN L3SW 業務系サーバ情報系サーバ L3SW L3SW L3SW L3SW IPS ロードバランサ VPN VPN プロキシ帯域制御装置帯域制御装置 DNS/NTP DNS/NTP WWW 擬似業務系 WAN 擬似情報系 WAN 監視マネージャ VPN VPN VPN VPN 擬似センタ擬似監視センタ擬似拠点 7

9 OS/ ミドルウェアの対応 OS Windows XP SP1/Windows Server 2003 一部対応 ( デフォルト無効 ) Windows Vista/Windows Server 2008 完全対応 ( デフォルト有効 ) Windows 7/Windows Server 2008 R2 完全対応 ( デフォルト有効 ) Red Hat Enterprise Linux 4 以降 Mac OS X 10.2 以降 Solaris 8 以降 HP-UX 11i 以降アプリケーションサーバ IBM WebSphere Application Server 6.0 以降 Oracle WebLogic Server( 旧 BEA WebLogic Server) 9.0 以降 Oracle Application Server 10g 以降その他 OSや代表的なアプリケーションサーバでの対応は OK 8

10 各種サーバアプリケーションの対応状況 Web サーバ Apache 以降 Microsoft IIS 6.0 以降 DNS サーバ BIND 以降 Windows Server 2003 以降のDNSサーバメールサーバ Sendmail 8.10 以降 Postfix 以降プロキシサーバ Squid 3.1 以降 Apache 2.0 以降 + mod_proxy 9

11 ネットワーク機器の対応状況ルータ / レイヤ 3 スイッチ多くのルータで対応済みただしで実装されているすべての機能がに対応しているわけではないファイアウォール多くのファイアウォールで対応済みただし冗長化構成時ののステート同期に対応していないものが多く障害発生時にセッションが切断されるなどの問題がある IPS(Intrusion Prevention System) 製品によって対応状況が異なるロードバランサ製品によって対応状況が異なるリモートアクセス VPNサーバ製品によって対応状況が異なる Windows Server 2008 R2 + Windows 7のDirectAccessはで動作! 10

12 ロードバランサでの対応ロードバランサがの変換を行うためサーバが対応していなくても OK クライアント 2001:db8:615:2::30 クライアントロードバランサ Web サーバ 11

13 ネットワーク管理製品の対応サーバの管理にはに対応したネットワーク管理製品が必要 / 混在ネットワークネイティブネットワーク Hinemos クライアント ping 監視サービスポート監視 HTTP 監視 SQL 監視監視対象 / ノード Hinemos マネージャ SNMP 監視 SNMPトラップ監視 syslog-ng 監視監視対象ノード Hinemos クライアント監視対象ノード 12

14 導入検証の結論 / デュアルスタックネットワークの構築は可能ただし以下のような問題があるロードバランサ IPS/IDS リモートアクセスVPNサーバなどはに対応していない製品がまだ多い製品の調査が必要! に対応している製品でもで実装されている機能がでは実装されていないことが多い機能ごとの確認が必要! VPN 機能などはハードウェア処理しないものがあり性能面での問題が発生する可能性がある事前検証が必要! ファイアウォールの設定や障害の切り分けなどはのプロトコルの挙動を知らないと難しい教育が必要! 問題はあるが経験とスキル運用ノウハウでカバー可能 13

15 自社開発ソフトウェアの対応 14

16 ソフトウェアを対応にするうえで注意するポイント GUIや設定ファイルにおいてアドレスの入力が想定されていないか? 例えば下記のような入力画面を用意していないかな? IP アドレス :... サブネットマスク :... ログや画面などにアドレスの出力を想定していないか? アクセス制御などプログラム内部でアドレスが使用されていないか? IP アドレスをテキスト形式で処理 4バイトの変数にIPアドレスをバイナリ形式で代入プログラム中にアドレスが埋め込まれていないか? サーバアドレス埋め込みループバックアドレス埋め込み 15

17 特にC 言語の場合は注意が必要 /デュアルスタック環境で問題の発生する型や関数が使用されていないか? in_addr, sockaddr_in, inet_addr, inet_aton, inet_lnaof, inet_makeaddr, inet_netof, inet_network, inet_ntoa, inet_ntop, inet_pton, getservbyport, gethostbyname, gethostbyname2, gethostbyaddr, getservbyname が使われている場合は問題が発生する sockaddr_storage, getaddrinfo, addrinfo, if_laddrreq, if_laddrconf などのに対応した型や関数に書き換えるソケットの設定がを使用するようになっていないか? ソケットの設定値に AF_INET と直接記述されている場合 s = socket(af_inet, SOCK_STREAM, IPPROTO_TCP); getaddrinfo 関数又は getnameinfo 関数を用いて端末がサポートするプロトコルファミリを取得しソケットの確立を行うよう書き換える 16

18 企業ネットワークの移行 17

19 STEP1 外部に公開しているサーバをでアクセス可能にする 1. ISPの接続サービスを申し込む 2. インターネット接続用ルータを/ 対応にする 3. ファイアウォールを / 対応にする 4. ロードバランサを/ 対応にする 5. ロードバランサ配下にない外部公開サーバを / 対応にする 6. リモートアクセスVPNサーバを/ 対応にするファイアウォールロードバランサルータクライアントクライアント / インターネット Web サーバネームサーバリモートアクセス VPN サーバ 18

20 STEP2 内部から外部 Web サーバにでアクセス可能にする 7. プロキシサーバを / 対応にする Web サーバプロキシサーバファイアウォールルータ Web サーバ / インターネット企業内ネットワーククライアントここまでを枯渇時期までに完了できれば OK 19

21 最後に ~ 対応のポイント ~ 1. 対応が必要なシステムを洗い出すインターネット経由で不特定多数の方がアクセスするシステム将来の拡張に十分なグローバルアドレスを確保していないシステム 2. 現在利用されている製品 / サービス / 自社開発ソフトウェアを調査する使用している製品がに対応しているのかどうか使用しているサービスがに対応しているのかどうか使用している自社開発ソフトウェアがに対応しているのかどうか 3. 対応計画を策定する対応の必要性と難易度更改タイミングなどを考慮して各システムの対応スケジュールを検討対応のための予算の確保残された時間はわずかです! 早めの対応を! 20

システムインテグレータのIPv6対応

システムインテグレータのIPv6対応システムインテグレータの IPv6 対応 2012 年 11 月 22 日株式会社 NTT データビジネスソリューション事業本部ネットワークソリューション BU 馬場達也自己紹介 1995 年に NTT データに入社 R&D 部門でネットワークセキュリティの研究開発現在はエンタープライズのお客様のネットワークの設計構築運用ビジネスを行う部門で新ネットワークサービスの開発を担当 2006 年