スライド 0

Size: px

Start display at page:

Download "スライド 0"

かずしはなだて
5 years ago
Views:

1 IPv4 枯渇への対策と IPv6 導入に向けた取り組みについて NTT コミュニケーションズ株式会社先端 IP アーキテクチャセンタネットワークプロジェクトコア IP テクノロジ担当経営企画部サービス戦略担当 ( 兼務 ) 担当部長博士 ( 工学 ) 宮川晋 2011 年 2 月 Copyright 2010 NTT Communications Corporation. All Rights Reserved.

3 IP アドレスは誰が割り当てている? IANA (Internet Assigned Number Authority) ここがおおもと RIR(Regional Internet Registry) ARIN: 北米 RIPE NCC: 欧州中東中央アジア APNIC: アジア太平洋 LACNIC : ラテンアメリカカリブ海 AfriNIC: アフリカ ISP など Copyright 2010 by NTT Communications, All Rights Reserved 2

4 IPv4 アドレスが枯渇します at 27-Jan :58 UTC. Projected IANA Unallocated Address Pool Exhaustion: 01-Feb-2011 一部の方々にはそうはいってもあくまでも推測でしょう? とおもわれていたのではないかとおもいますがこの日付どおりにIANA Poolは無くなりました Projected RIR Unallocated Address Pool Exhaustion: 02-Oct-2011 ということはこの日付もかなり信憑性が高い Copyright 2010 by NTT Communications, All Rights Reserved 3

5 二つのことを同時にしなければなりません 1.IPv4 の延命既存の資産を活かせるよう IPv4 をなんとか使い続けるようにして移行の時間を稼ぐといっても新しいアドレスは無いのでいわば劣化コピーで対処する 2.IPv6 の導入 128ビット長の広大なアドレス空間をもつ新しいプロトコルで本質的な対処無駄があまりでないようにスムースに導入するための工夫する Copyright 2010 by NTT Communications, All Rights Reserved 4

6 NTT コミュニケーションズの対策 1.IPv4 の延命 Large Scale NAT の開発標準化を世界的にリード世界中のベンダーと開発について協議導入方法について検討し実機検証中 2.IPv6 の導入 1990 年代後半からの IPv6 基盤研究実用化を継続的に実施世界的にも IPv6 の実用化をリード Copyright 2010 by NTT Communications, All Rights Reserved 5

7 Large Scale NAT とは? ISP 設備の集約装置側に大規模な NAT(Network Address Translator) を導入しグローバル IPv4 アドレスを複数のユーザで共有する技術 Carrier Grade NAT とも呼ばれる DS-LITE(Dual Stack Light): LSN の機能を CPE との間で割りそれらの間をなんらかのトンネル ( 基本的には IPv4 over IPv6) でつなぐ A+P: アドレスに加えてポートレンジも勘案してルーティングする CPE は根源的な改造が必要となる (SAM: Stateless Address Mapping は A+P の一実装方法 ) Copyright 2010 by NTT Communications, All Rights Reserved 6

8 LSN の導入 (NAT444) Internet Access Concentrator FTTH ADSL CPE With NAT Global v4 address Global v4 address End Host Private v4 address Internet Access Concentrator With NAT FTTH ADSL CPE With NAT Global v4 address Private v4 address End Host Private v4 address Copyright 2010 by NTT Communications, All Rights Reserved 7

9 しかしこれだけで安心というわけには行かない v4 アドレスを共有するということはインターネットの通信のモデルの変更を意味するある IP アドレスから集中的に攻撃を受けたことを理由にアクセス制限リスト (ACL:Access Control List) を書くことにしているとすると LSN 配下から攻撃されると周辺のユーザも同時に制限してしまうことになってしまい副作用が大きいたとえば掲示板への投稿などサーバへのアクセスはどこの IP アドレスからだけを記録するだけでは意味が無くなってしまいどこの IP アドレスのどのポートからまでを記録しないといけない SIP の発着信はできるのか? 検証しないとわからないその他さまざまな影響が考えられるアドレスでランデブーポイントを決めている P2P アプリケーションが動作しなくなる可能性も Copyright 2010 by NTT Communications, All Rights Reserved 8

11 サーバや FW のセキュリティはどうすればいい? IP アドレスを ( 色々な意味で ) ユーザ識別子として使うことをあきらめる必要がある別途の認証と組み合わせる必要せめてクッキーかログは IP アドレスと Port 番号の組み合わせで記録する必要がある特にプロバイダ責任制限法からの要求をクリアするために Firewall ベンダーに LSN フレンドリーな機能を要求することになるがどういう機能が適切かはまだこれから考えなければいけないアプリケーションと LSN の組み合わせの検証は現在進行中セキュリティ面だけでなくセッション数制限などアプリケーションの効率や速度などにも影響する問題も深刻かも Copyright 2010 by NTT Communications, All Rights Reserved 10

12 たとえばメールシステムへの影響もちろん当然メールシステムに対して多大な影響が出るとおもわれるメールクライアントの IP アドレスを逆引きしようとしてもそれは LSN のアドレスになってしまうことに注意が必要 ISP に対して LSN の逆引きの設定を推奨していかないといけない POP Before SMTP は意味が無くなる Submission(SMTP Auth) へ移行すべき : これはまぁ悪い話ではない SPAM が送られてきたときにその IP アドレスからの SMTP を一時的にせよ遮断するというオペレーションはやってはいけないことになるとおもわれるってことは RBL (Realtime Blackhole List) による制限はどうなるのか? 隣のやつが SPAM を送ると自分までブロックされてしまうのか!? DDNS(Dynamic DNS) をつかってサービスを立てることは ( 通常の意味では ) 不可能になる LSN 配下にスタティックフォーワードを設定してもらえばいいんですが MX レコードにポート番号まで書けるならいいのかもしれないけどとにかく LSN 配下からは SPAM 打ち放題になってしまわないようにしないといけないけれど強すぎる制限はユーザからのクレームを招くだろう Copyright 2010 by NTT Communications, All Rights Reserved 11

20 セッション数の例 Webpage # of sessions No operation 5~10 Yahoo top page 10~20 Google image search 30~60 Nico Nico Douga 50~80 OCN photo friend 170~200+ itunes 230~270 igoogle 80~100 Rakuten 50~60 Amazon 90 HMV 100 YouTube 90 Copyright 2010 by NTT Communications, All Rights Reserved 19

21 いろいろと起こりそうなことを予測し対策していますが IPv4 の延命対策だけをやりつづけると際限なくコストがかさみセキュリティ上も問題を抱え続けることになるとおもわれます IPv4 の延命といってもあくまでも暫定対処であり最後の時がくるのを遅くするだけでセッション数のことを考えても 10 年程度しかできないのではないかとおもいますプロトコルの総取替えという大事業ということを考えると本当に充分といえるのでしょうか?? どうせ機材やアプリケーションをアップグレードしなければならないなら IPv6 対応に真剣に取り組み IPv4 からとっとと全体を移行してしまったほうがコストが安いということになります Copyright 2010 by NTT Communications, All Rights Reserved 20

23 ISP アクセスサービスへの v6 の導入 v4 のパケットに v6 をくるんでとどけてしまう v4 のパケットと並列に v6 をとどける実は今まで v4 パケットをくるんで届けていた v6 網をインターネットに接続するケースバイケースで色々なパターンがあり IPTV や VoIP 電話などの組み合わせも考えてなおかつお客様の機材のアップグレードを最小限にとどめられつつも最大限のパフォーマンスを出せる方策を検討し実際のネットワーク環境でテストしながら必要な機材や運用技術を開発しています Copyright 2010 by NTT Communications, All Rights Reserved 22

24 案 2 と呼ばれる導入方法 NTT の NGN 網 ( フレッツ光ネクスト ) の上で ISP が IPv6 を顧客に提供する方法のひとつがいわゆる案 2 です案 2 は簡単に言えば今まで PPPoE で IPv4 を提供していたことと同様にもうひとつの PPPoE で IPv6 を提供しますお客様側では案 2 用アダプタ ( あるいは案 2 用ルータ ) で終端することができます LAN IPv4 用 PPPoE は v4 用終端装置へフレッツ光ネクスト PC アダプタ HGW NTE(v4) ISP ひかり TV NTE(v6) LAN は IPv4 IPv6 デュアルスタック IPv6 は ISP プレフィックス IPv6 用 PPPoE は v6 用終端装置へ Copyright 2010 by NTT Communications, All Rights Reserved 23

25 案 4 と呼ばれる導入方法案 4 は ISP に向かう PPPoE で v4 を提供することは変わりませんが IPv6 はフレッツ光ネクスト自体を代表 ISP を通じてインターネットに接続しルーティングを行うことで IPv6 を提供する方式です LAN IPv4 用 PPPoE は v4 用終端装置へ PC ひかり TV HGW あるいは V6 透過ルータなどフレッツ光ネクスト NTE(v4) V4 ISP LAN は IPv4 IPv6 デュアルスタック IPv6 は NGN プレフィックス IPv6 はソースルーティングされて代表 ISP を通してインターネットへ V6 代表 ISP Copyright 2010 by NTT Communications, All Rights Reserved 24

26 コムが開発している案 2 用アダプタの機能 NTT コミュニケーションズが開発中の案 2 用のアダプタには以下のような機能が具備されます NAT66 ISP とのトラフィックはそのまま通過させフレッツ内部との通信はフレッツから付与されたプレフィクスに付け替えて NAT して行います MLD Proxy ひかり TV などのマルチキャスト通信はフレッツへとつなぎ込みます DNS Proxy アダプタ配下のマシンは DNS サーバとしてアダプタを指定するようにしますアダプタは flets-east.jp などのフレッツの内部で用いられるドメインはフレッツの DNS サーバに問い合わせを行いそれ以外は ISP の DNS サーバに問い合わせを行うようにします NDP Proxy フレッツの UNI は RA を吹いて LAN を接続しようとするためアダプタ配下のマシンのアドレス解決は網側の機械に通知を行う必要がありますそのため ISP 側へはルータ接続をしてるようにみせる一方でフレッツ側にはブリッジ接続 ( ただし NAT してますが ) をシミュレーションする機能が必要となっています経路情報取得や自動コンフィグ機能などの補完機能その他どのアドレスがフレッツ内部のアドレスなのかといった情報を取得する機能など補完機能を搭載しています Copyright 2010 by NTT Communications, All Rights Reserved 25

27 案 2 による ISP IPv6 の提供について案 2 にはいろいろな良い点と悪い点があると考えていますが現時点でもっとも現実的なやり方で安定的なサービスを提供できるスキームであると考えていますインターネット通信は IPv6 パケットであってもかならず PPP 終端装置までトンネルの中を通過してしまいますので P2P トラフィックなどが必ずしも効率的に運べるとは限らない一方でエンドユーザ側が BOT 化されて多くの場所から同時多発的にサイバー攻撃が起こるという最悪の事態に対してもトラフィックを制御しやすい構造で安定性が高いといえますお客様から故障申告が有った場合に現在の故障対応フローと同様に PPP 終端装置を切り分けのポイントとし PPP 終端装置からお客様までの疎通確認と PPP 終端装置から ISP までの疎通確認をうまく分けて行うことが出来ますので迅速かつ的確な故障診断と対処が可能になると考えています DoS やアタックが横行する現代のインターネットでは PC 直収の ISP サービス形態は非常に危険であり HGW やルータを通してファイアウォールを構成してから接続することは常識だと考えられますそのためコムが提供するアダプタはそれ単体でも IPv4 の PPPoE を終端することも可能であり必ずしも HGW が提供されない場合でもインターネット接続を行うことができますので箱が無意味に増えるということにはならないと考えています Copyright 2010 by NTT Communications, All Rights Reserved 26

28 近未来のネットワークの姿としては IPv6 と IPv4 のデュアルスタックになっていく IPv4 でしかうごかないアプリケーションサービスを順次 IPv6 にも対応させていくことが必要です既に Google などは本格的に対応してきています IPv4 はすぐにはなくならないなくせない Windows XP の DNS が IPv4 でしかひけなかったりするしとはいえ IPv4 は枯渇していくので LSN も必要悪としては残る完全に新しいアプリケーションは IPv6 でつくると良い感じですたとえば省エネルギー用のセンサーとか総合的に勘案して IPv6 の導入は日本では今年から本格化し可能な限りスムースに行うようにしていって 2020 年過ぎ頃を目標にだんだんと IPv4 を衰退させることがいいとおもわれます Copyright 2010 by NTT Communications, All Rights Reserved 27

29 v6 の運用やセキュリティは? v4 と基本的に同じではあるのですが v6 ならではの特徴があり運用方法やセキュリティに関しても全て細かく再検討しなければならないのも事実ですたとえば ICMP のファイアウォールでの取り扱い方偽ルータ対策ファイアウォールでのフラグメンテーションの取り扱い方などなど細かい部分での検証と再構成が必要でありプロバイダーには高度なノウハウが求められます今回はその例をご紹介してみます Copyright 2010 by NTT Communications, All Rights Reserved 28

30 偽ルータ告知 (Rogue RA) L2 Switch に意を用いるなどのなどの対策が有効たとえば 6to4 トンネル I/F が自動的に Active になっていて自分をルータと思ってしまっているホスト Host 偽 Router ( 意図しないこともある ) 本当の GW 私がデフォルト GW です容易には区別できない私がデフォルト GW です Copyright 2010 by NTT Communications, All Rights Reserved 29

31 ICMP が大事 ( たとえば Path MTU Discovery) 途中で一番小さな MTU にあわせてパケットを送る (v4 と違って途中でのフラグメンテーションは許されていない ) SRC MTU 1500B MTU 1500B MTU 1280B MTU 1500B DST ICMP の Packet Too Big メッセージが帰らないといけない MTU の壁 MTU: Maximum Transmission Unit 最大転送許容サイズ下手に ICMP をフィルタしていると動作がおかしくなる V4 とは異なるファイアウォールルールを検討する必要がある Copyright 2010 by NTT Communications, All Rights Reserved 30

32 ヘッダ ( 特に Hop by hop など ) に注意 ( 普通のパケットはハードウェア処理されていても ) 各ホップに CPU 負荷をかけることができてしまうと大変 SRC DST IPv6 にはヘッダを複数つけることが出来る各 Hop ごとに処理すべきヘッダがあると途中の全てのルータにストレスがかかるルーティングヘッダを複数重ねればかなりのループを作れる可能性も実装やルールで禁止や制限がちゃんとかかるようにすることに留意しておく Copyright 2010 by NTT Communications, All Rights Reserved 31

33 FIREWALL で Access Control List を書いてパケットの Go/No Go を制御したいが FIREWALL 機器フラグメントされたパケットが入ってきた場合キューに入れてパケットを再構成しないと ACL が適用できるかどうか分からないから組み立てなおす元のように分割して出力できるか? (v6 の場合は必須 ) Go だとして出力するときに v4 だと再構成したまま出しても大丈夫必要なら出力側の I/F であらためてフラグメントされる v6 では PMD があるので元のとおりのままのフラグメントで出力しないといけない V4 だとこのままだせるけどこの動作は実装が面倒なので意外と有名な実装でもフラグメントされたv6パケットはACLできない場合があるまたACLで制御できても不完全動作したり CPUをたくさん消費する場合も Copyright 2010 by NTT Communications, All Rights Reserved 32

34 アダプタ開発とその検証について NGN 用の IPv6 対応アダプタについて技術検証を行うためには実際のネットワークで動作することができる試作機と可能な限り本物にちかい検証環境が必要であると判断しています 2009 年からアダプタの試作を開始し昨年から本格展開用の開発を行っています検証環境については v4 枯渇対策 v6 移行のためだけでなく広くさまざまな技術開発検証に供するため弊社の商用ネットワークとは独立した AS 番号と CIDR ブロック TLA を完備しつつ可能な限り商用 ISP 設備と同じレベルの機能性能を備えたネットワーク AS38639(HANABI) を用意し実際のひかり TV などのアプリケーションも用意して上位層のアプリケーション対応を含めて万全な体制で検証を行っております Copyright 2010 by NTT Communications, All Rights Reserved 33

35 最後に IPv4 アドレスの枯渇は間近ですのできちんと対応しないといけませんがインターネットの技術者と言いながら IPv6 のことを分かっていない人触ったことが無い人が意外に多いです実際に触ってみることが必要です人材育成も急務です NTT コミュニケーションズは業界のリーダーとしてこれまでもさまざまな貢献をおこなってまいりましたがこれからも引き続きトップランナーとして動き続けたいとおもいます引き続き調査研究開発および実用化を積極的に進展させサービスの拡充整備をおこなうとともに関係の皆様に発信していきたいと考えています Copyright 2010 by NTT Communications, All Rights Reserved 34

Microsoft PowerPoint - d2-Shin Miyakawa-NTT-COM-IPv IW

Microsoft PowerPoint - d2-Shin Miyakawa-NTT-COM-IPv IW IPv6 に関する取り組みについて Internet Week 2011 NTT コミュニケーションズ株式会社先端 IP アーキテクチャセンタネットワークプロジェクトコア IP テクノロジ担当経営企画部サービス戦略担当 ( 兼務 ) 担当部長博士 ( 工学 ) 宮川晋 2011 年 12 月 NTT コミュニケーションズ IPv6 の歩み 1999 2000 2001 2002 2003 2004