4-4基盤運用

1

インターネットの基盤技術の現状と展望
松崎 吉伸●株式会社インターネットイニシアティブ（IIJ） シニアエンジニア

情報の正当性を検証できるように暗号技術の導入が続いているが、環境の変化に対応するため一部運用の見直しも求められている。
■ DNS

3

一意性を担保しているためこういった事態は発生

DNS はドメイン名に対応した資源情報を応答すしないように思えるが、レジストリの管理の及ばる名前解決サービスで、主にホスト名に対応したないところで名前衝突が発生する可能性がある。

IP アドレスを検索したり、メールの配送先を調べ

1 つめは社内や組織内などで独自の TLD を勝手にたりするために利用されている。インターネット利用していた場合、2 つめはドメイン名を補完すで利用されるドメイン名の名前空間はルートを頂るサーチリスト機能を使ってドメイン名を一部省点とした階層構造を成しており、ドメイン名の一略した相対ドメイン名でサーバーなどにアクセス意性を担保するため TLD（Top Level Domain）ごしている場合である。どちらの場合も利便性向上とにレジストリと呼ばれる管理組織が指定され、のために導入された実装であり、これまではうま運用管理されている。

く動いていたかもしれない。だが、問題を回避するためには、インターネットの変化に対応してい■新 gTLD と 127.0.53.53

2く必要がある。

インターネットの利用が拡大し、より多様な対策としては、組織内のみで利用しているドメgTLD（generic TLD）を求める声が高まったため、イン名であってもレジストリに登録されたドメイ

段階的に新規の gTLD が追加されてきた。特に、ン名を利用したり、サーチリスト補完に頼らない

2012 年に行われた募集では要件に沿う申請であれようにホスト名は常に完全なドメイン名で指定しばすべて認可される方針であったため 1930 件もたりすることなどが挙げられる。の応募があり、所定の審査と手続きを経た新 gTLD

なお、新 gTLD では名前衝突問題を検出しやすが 2013 年 10 月から登録され始め、その登録数はくするため、登録認可後から一定期間は A レコー

既に 400 を超えて増え続けている。新 gTLD の導ドの問い合わせに対して「127.0.53.53」を応答す

入では、名前衝突の可能性が懸念として挙げられることになっている。エラーメッセージなどにこた。これは、新たに登録された gTLD と既に使用の IP アドレスを見つけた場合は名前衝突の問題にされているドメイン名がぶつかってしまうという遭遇している可能性があるため、関連する設定をものである。名前衝突が発生すると、接続障害や見直すことが推奨されている。

情報漏洩などを引き起こす危険性がある。
インターネットではレジストリがドメイン名の第4部

インフラストラクチャー動向

183456

123■ DNSSEC■公開 DNS サービスと EOS

なりすましなどによる偽装応答攻撃を防ぐた

公開 DNS サービスに関しては、利用者が直接め、DNS に公開鍵暗号技術を導入し、DNS 応答の手動でクライアントに設定するほか、一部の ISP完全性の確認や認証などを行える DNSSEC が標準などがクライアントに自動設定している場合もあ化されている。ccTLD の「.jp」をはじめとした既る。その利用は徐々に広がっているとみられ、米存の TLD の多くが DNSSEC 署名しているほか、新Akamai Technologies の報告によると特に発展途

gTLD でも DNSSEC 対応が義務付けられたため、現上国での利用が伸びているとのことである。

状で 7 割以上の TLD が DNSSEC での電子署名を完了している。

456

公開 DNS サービスの普及により、一部のコンテンツ配信事業者の配信制御に影響があることも報これら TLD では、ドメイン名の登録者が望めば告されている。DNS を配信制御に利用するコンテ

DS レコードを登録して DNSSEC 対応できる状態

ンツ配信事業者は、利用者は各ネットワーク管理となっている。さらに、ほとんどのネームサーバー者が用意するキャッシュ DNS を利用しているとののソフトウエア実装が既に DNSSEC 対応になって前提に立ち、利用者が使うキャッシュ DNS の IP アいるため、DNSSEC 署名を行う側の準備は整ってドレスを手掛かりにして所属するネットワークをきている。

推測し、近傍の配信サーバーの IP アドレスを応答検証する側に関しては、クライアントが参照すしていた。このため、公開 DNS サービスが利用さるキャッシュ DNS で署名検証するモデルの実装れると推測が実際と大きく異なってしまい、適切が進んでいる。キャッシュ DNS は接続サービスにな IP アドレスを応答できなくなってしまう。

付随して指定される場合がほとんどで、DHCP やこの問題に対応するため、ECS（EDNS Client

DHCPv6、PPP などを通じて自動的にクライアン

Subnet）という方式が IETF で提案されている。こトに設定されている。

れは、公開 DNS サービスが利用者から DNS 問い

日本でも一部 ISP が DNSSEC 検証を有効にした合わせを受けて名前解決のために他のネームサー

キャッシュ DNS サービスを提供しているが、大手バーに問い合わせを送出する際に、利用者の所属ISP では主要なキャッシュ DNS で検証を有効にしするネットワークの情報を DNS 問い合わせに付加ておらず、大部分の利用者は DNSSEC を利用してする仕組みである。コンテンツ配信事業者側では、いない状況である。

付加されたネットワーク情報を基にその近傍の配一方、スウェーデンなどでは ISP で DNSSEC 検証

信サーバーの IP アドレスを応答することができる。

を実装しており、多くの利用者が DNSSEC 検証を主要な公開 DNS サービスでは既にこの仕様が採用利用している。名前解決機能を提供する公開 DNSされており、コンテンツ配信事業者でも徐々に対サービスの一部でも検証を実施しているため、こ応が進んでいる。

れら公開 DNS サービスを参照先として使っている利用者も DNSSEC 検証を利用できている。

キャッシュ DNS を ECS 対応にするには、応答のキャッシュをネットワークごとに保持する必要が

APNIC Labs の調査では、アジア圏においてベあるなど設計上注意しなければならない点もある

トナムの DNSSEC 検証利用者が突出している。ベが、公開 DNS サービスを利用してもコンテンツ配

トナムでは、これら公開 DNS サービスの利用者が信の最適化が行えるといったメリットも大きいた多いことによるものである。

め、今後は公開 DNS サービスやコンテンツ配信事

184

第 4 部 インフラストラクチャー動向

業者での採用が進むと考えられる。

クでは今後、徐々に広がっていくと考えられる。

1

一方で、多くのネットワークと相互接続してい■ IP ルーティング

るような巨大なネットワークでは、必然的にフルIP ルーティングは、インターネットでパケットルートあるいはそれに近い経路情報を保持しなけの到達性を担っている。基本的には IP パケットのればならず、今後も続くとみられる経路増加に対宛先を基に経路を決定しており、各ルーターはルー応していく必要がある。

2

ティングテーブルと呼ばれる宛先ネットワークと、それに対応する次の転送先のリストを保持してい■経路ハイジャック

3

る。つまり、IP ルーティングは一方向の経路制御

BGP では世界中のネットワークが経路情報を交であり、双方向の通信が成立するには行き経路だ換しており、経路フィルタなどで適切な予防策がけではなく、帰りの経路に関しても矛盾なく経路講じられていないと、何らかの原因で生成された制御されている必要がある。

不正な経路情報が流通してしまうことがある。ほルーティングテーブルを適切に保つために、静とんどの不正経路は設定ミスなどによる意図しな的な経路設定のほか、OSPF や IS-IS、BGP などさい経路広報だと考えられており、経路ハイジャッ

まざまな動的経路制御プロトコルが利用されていクと呼ぶには実態と懸け離れていると指摘されてる。ISP 間や巨大なネットワーク間では BGP が標いた。

準的な経路制御プロトコルとして採用されている。

45

しかし 2014 年には、スパム送信者による意図した経路ハイジャックが観測された。以前からスパ■経路増加
インターネットの広がりとともにグローバルなBGP のすべての経路数、いわゆるフルルートの経ム送信のために BGP で意図的に不正経路を広報している事例が論文などで指摘されていたが、2014
年は特に数多くの事例が報告された。

路数が増え続けている。IPv4 では 2009 年 4 月にメールサーバーでは、スパムの受信を防ぐため28 万経路程度だったが、2014 年 4 月には 50 万経に、送信元 IP アドレスを基に受信の可否を決める路を超えている。IPv6 に関しても 2009 年 4 月に運用を行っているものがある。例えば、スパムの送1500 経路程度であったが、2010 年ごろから急激信に利用された IP アドレスをリストにしておき、に増加し始め、2014 年 4 月には 1 万 7000 経路をそこからの受信を拒否するといったものだ。スパ

超えた。近年は IPv4 と IPv6 共に経路数は線形にム送信側はこのリストによる制限を回避するため増加し続けており、ルーターの空きメモリを圧迫に BGP で他者のネットワークの経路情報を広報し、する要因となっている。

その IP アドレスを利用してスパムを送信したと考BGP で他者の通信を仲介しないリーフと呼ばれえられる。経路ハイジャックの被害を受けたネッるネットワークではフルルート運用をやめ、デフォ

トワークにおいては、突然スパムに関する苦情がルト経路とトラフィック制御に必要な一部の経路大量に届いたことをきっかけに経路ハイジャックのみでの運用に切り替えたネットワークもある。に気が付いたという事例も報告されている。

これまで日本ではそれほど多くない運用形態だったが、ハードウエアの更新コストがフルルート運用のメリットに見合わないと判断したネットワー■ IRR と RPKI
このような不正経路の流通を防ぐ対策としては、

第4部

インフラストラクチャー動向

1856

12

経路フィルタが有効である。手動による経路フィと呼ばれる電子証明書を発行できる。この証明書

ルタ更新では規模が大きな場合に動的経路制御のは IP アドレスブロックと AS 番号の情報を含んで変動に対応するコストが高くなるため、自動化さおり、その IP アドレスブロックの管理者がどの ASれた手法が利用されている。

番号から経路広報するかを表明できる。これを利現時点で広く利用されているのは、IRR（InternetRouting Registry）を利用した経路フィルタの生3456

用すると、経路の広報元 AS を検証することが可能となる。

成である。これは、各ネットワーク管理者が、自身ROA の検証側では、RPKI キャッシュと呼ばれるが広報する経路情報を route オブジェクトや as-set

電子証明書の収集と検証を担うサーバーを運用すオブジェクトとして IRR のデータベースに登録し、る。RPKI キャッシュは、RIR などが公開する TALこれを利用側が参照することで経路フィルタの自（Trust Anchor Locator）と呼ばれる信頼の起点動生成や確認に利用する手法である。

から電子証明書をたぐり、すべての ROA を含めた著 名 な IRR と し て は RADB が あ る ほ か 、RIR

電子証明書を取得後に電子署名で信頼の連鎖を検（Regional Internet Registry）や ISP が独自に運証することで、有効な ROA を識別してキャッシュ用する IRR も存在する。多くの利用者が RADB をに保持する。ルーターはこの RPKI キャッシュか主要な IRR として利用しているが、RADB では利ら有効な ROA のリストを受け取り、BGP で受信し用料金さえ払えば誰でもどんなオブジェクトでもた経路の判別に利用する。

登録できるため、誤登録や情報の古いオブジェク

国内でも公開 RPKI キャッシュが試験的に運用開トがあるなど、データの信頼性が大きな課題となっ始されており、手元のルーターで RPKI 実装を試している。

たい場合や RPKI の動作を確認するために利用可能

JPNIC が運用する JPIRR をはじめ、RIR などにな状態となっている。ルーターが ROA による広報

よって割り振りを受けた IP ネットワークブロック

元 AS を検証した後の、実際の経路制御に影響のあのみを登録できる制御機構を持つ IRR も運用される挙動に関しては、各ネットワーク運用者の判断ている。しかし、世界的にはそれほど普及しておらに任されている。BGP の標準的な経路操作が利用ず、RADB が主要な IRR として参照されている現状できるため、RPKI の広報元 AS の検証結果に応じでは IRR 全体の信頼度向上には至っていない。そこて優先度の変更や経路フィルタ、BGP community

で、RPKI（Resource Public Key Infrastructure）によるタグ付けなどが可能であり、各ネットワーを利用した電子証明書の利用が提案されている。

クに応じたポリシーを柔軟に実装できる。

RPKI は、IP アドレスや AS 番号といったインターROA の発行も順調に進んでいる。2015 年 10 月

ネットの番号資源を割り振るインターネットレジ

時点で、世界で有効な ROA オブジェクトは 3000ストリが電子証明書によって資源の利用権利を示以上になっている。特に RIPE 地域で継続的な増す仕組みである。既に IETF で標準化されており、加が見られるほか、他の地域でも徐々にその発行

世界の 5 つの RIR はすべて RPKI による電子証明書数を増やしてきている。の発行に対応している。

■終わりに■ ROA と RPKI キャッシュ
RPKI では、ROA（Route Origin Authorization）

186

第 4 部 インフラストラクチャー動向

DNS や IP ルーティングはインターネット通信で重要な役割を果たしており、ほぼすべての通信が実質的にこれらの技術に依存している。このよ的には複雑さを増していく。したがって、その運うな技術も、利用形態の変化や社会環境の変化、用技術の向上も併せて進めていく必要があること

新たな脅威の出現とともに変化を続けている。

が課題となっている。

1

今後もこのような変化は続くと考えられ、技術

2

3

456

第4部

インフラストラクチャー動向

187