IPv6 Update

SUZUKI, Shinsuke

Hitachi, Ltd. / KAME Project
suz@crl.hitachi.co.jp

AbstractzIETFにおけるIPv6関連動向の最新状況
y基本仕様
y経路制御
yDNS関連yIPv4→IPv6移行
yセキュリティ関連

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

2

基本仕様
zSite-Local Address
zPrefix DelegationzRFC2461bis, 2462bis
zRouter RenumberingzMobile-IPv6

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

3

Site-local Addressの問題
zSite-local address の特徴
yローカルな使用OK (192.168.0.0/16)
yサイト境界ルータは、異なるサイトのアドレスを別物扱い
xe.g. FEC0::1%site1 and FEC0::1%site2z課題
y重複するため、運用上不便x例. 2つのネットワークを統合したら、両方fec0:1:2::/48を使っていた

yサイト境界ルータは厄介者
xベンダー、オペレータ、標準化

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

4

Site-local Addressの見直し
z 現状のSite-localを廃止して、新しい策を考える
y「サイト境界」は廃止するが、一意性とローカル使用は認める。

z Global-Unique Local Address (FC00::/7)
yローカル使用OKな、一意性のあるアドレスx240個の/48
xインターネットへ広告してはならない

y2種類
xFC00::/8=レジストリ経由でアサイン
xFD00::/8=レジストリなしにアサイン

z 標準化
ySite-local Addressを廃止すること→WG Last call
yGlobal-Unique Local Address→まだ議論中
1111 110 0/1
7 bit

MD5-hash40 bit

SLA
16 bitInterface-ID64 bitCopyright(c)2003 All rights reserved, Hitachi, Ltd.

5

FC00::/7の残課題
z IPv6-NATが必要になる?
yグローバルアドレスとFC00::/7の併用で十分ではないか?

z Source address selection
yLongest-match algorithm (RFC3484)で十分ではないか?

z DNSサーバ
yIPv4プライベートアドレス同様、内向けDNSと外向けDNSとを分ける必要あり

z Well-known address?
y例. DNS server address

z FC00::/8を配布する「レジストリ」とは?
z 240個で本当に十分?

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

6

Prefix Delegation (概要)z特にSOHO Router向けのPlug & Playzプロトコルを使って、プレフィックスを上流から下流へ自動的に通達

RAでアドレス設定 (/64)

PC

自動的にプレフィックス貸与(通常/48)

SOHO
RouterISP
Router

PCへ配布するプレフィックスを選択
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

7

Prefix Delegation (状況)z標準化: ほぼ完了
yコンセプト/要求事項: IESGレビュー中yプロトコル: いろいろあるが、DHCPv6-PDがメジャー
xIPv4 DHCPとは異なり、IPv6アドレスは配らない
xDHCPv6プロトコルの枠組を流用して、IPv6プレフィックスを配布
x他の情報(e.g. DNSサーバ)も同時に配布可能
xRFCとして承認済。正式なDHCPオプション番号も割当済。

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

8

Prefix Delegation (実装)
z実装
yCPE側
x6Wind, Allied-Telesis, Cisco, IIJ, KAME, NEC,USAGI, Yamaha

yPE側
xCisco, 富士通, 日立, KAME, NEC, USAGIz相互接続試験も多数行われている
yTAHI, Connectathon, IPv6 Showcase, DHCPv6Interopz一部のISPで運用試験中
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

9

RFC2461bis, 2462bis
z課題
yNDP, RAを使ってみると、いろいろ不便な点がある
xdefault routeがないとき、全てのアドレスはonlink

yNDP, RAを作ってみると、仕様が不明確な点もある
xセキュリティ面
xモバイルIPv6との関連
xその他諸々 (valid-lifetime > preferred-lifetime)z状況
yICMPv6の仕様修正作業中
x実装者には楽になる方向な修正
xユーザにも便利になる方向の修正
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

10

Router Renumberingz概要
yRouter Renumberingプロトコル(RFC2894)は、現実に役に立つ?

z状況
yあまり役に立たない
xアプリに埋め込まれたIPv6アドレスを書き換えられない• DNSレコード• パケットフィルタ• IPv4/v6トランスレータ• 組み込みアプリ (e.g. OSのインストーラ)

yあるX-dayに一気にrenumberingしなくてもよいx旧プレフィックスと新プレフィックスを共存させながら、手動でrenumberingする手順を明確化
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

11

Router Renumbering (cont.)
z4ステップの手動動作によるRenumbering手順
1. 新しいアドレスをネットワーク上のルータに設定
x古いアドレスも継続使用

2. アプリケーションを新しいアドレスで動かす
x古いアドレスでも動くようにしたまま
e.g. DNSレコードに新しいアドレスを設定

3. アプリケーションを古いアプリで動かなくする
e.g. 古いアドレスのDNSレコードを削除

4. 古いアドレスをネットワーク上のルータから削除

z参考
ydraft-baker-ipv6-renumber-procedure-01.txt

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

12

Mobile-IPv6
z現状
y基本仕様はRFC化承認済
xRFC発行待ち
xICMPv6オプション番号も正式割当済

y実運用上の課題を検討中
x高速ハンドオーバ
xホームプレフィックスの自動割当方法
xIPsecとの相性
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

13

経路制御関連z概要
zマルチホーム

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

14

経路制御プロトコル全般
zIPv6固有なプロトコル課題は稀
yIPv6でプロトコル課題が見つかったら、大抵同じ課題がIPv4にもあるz「複数のプロトコルを同時に扱う」という点での課題はいくつかある
yベンダー向けの課題
yオペレータはほとんど気にする必要はない

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

15

マルチホームz概要
yあるサイトが複数の上流ISPとつなぎたいときには、どうすればいいのか?
x1. AS番号を取得して、E-BGP運用
x2. 各ISPからプレフィックスを取得し、宛先に応じて適切なソースアドレスを選択

y今のIPv4の流儀でマルチホームをしたとして、経路表エント
リ数は多くなりすぎないか?

z状況
yMulti6 WGで議論中
xマルチホームをするにあたっての要求事項を整理• Locator/Identifierの分離• モビリティを考慮するか否か

xそれに基づき様々な提案を分析
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

16

DNS関連の課題
zDNSサーバ検出
zAAAA vs A6
zip6.int vs ip6.arpa
zPTR recordの使い方
zIPv6問合せ処理の典型的なバグ

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

17

DNSサーバ検出(概要)zRAではIPv6アドレス以外の情報を自動設定不能
ye.g. DNS server, NTP server, ...

z特にDNS関連は、IPv6アドレス長を考えると大切
yDNSサーバアドレス
yDNSドメインサーチパス

zDNSOP WGで議論中

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

18DNSサーバ検出(現状)z3種類の候補
ywell-knownな固定アドレス
x具体的なアドレスは未定

yRA拡張
ystateless DHCPv6

zどうするかは未定
y1候補に絞る?
y複数候補使い、使い分ける?

z主な課題

RS送信PC

RouterRA返答（新NDPオプション付)

DNSサーバアドレス=新NDPオプション内のアドレス
DHCPv6
Information-Request

PC

Router
DHCPv6 Reply(DNSサーバオプション付)

DNSサーバアドレス
yDNSサーバアドレス更新方法=DNSサーバオプションのアドレス
y複数サーバ存在時の挙動
y他のDNSサーバ自動設定(e.g. DHCPv4)との競合
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

19

AAAA vs A6
z概要
y2種類のDNSレコードが存在
xAAAA: AレコードをIPv6向けに単純拡張
xA6: Router Renumberingを考慮したIPv6レコード

z結論
y通常運用ではAAAAのみ使う
yRenumberingは運用でカバー

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

20

ip6.int vs ip6.arpa
z概要
yかつては、IPv6逆引きレコード=“ip6.int”
y“ip6.int”は国際TLDとして予約された

z現状
y“ip6.arpa”を用いる
x2001::/16については、“ip6.arpa”を使用
x3ffe::/16は、“ip6.int”を使用• “ip6.arpa”導入は計画中

z参考
ydraft-ymbk-6bone-arpa-delegation-01.txt
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

21

逆引きレコードの使い方
zDNSの逆引きレコードを認証に使うアプリ・プロトコルが存在
yソースアドレスの逆引きレコードがあれば、信頼できるz本当に実用的?
y全てのIPv6アドレスが逆引き登録されるわけではない
xLink-localアドレス
xRAで生成されたIPv6アドレス
xPrivacy address extension

y単にアドレスから名前を引きたいだけならば、ICMPv6でも実現可能(Node-Information-Query)
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

22

IPv6問合せ処理の典型的バグ
z概要
yDNSサーバがIPv6レコード問合せを処理するときの典型的なバグをリストアップ:
x(IPv6レコードの有無にかかわらず)IPv4レコードがなければ、常に「エントリなし」エラーを返す
xIPv6アドレス問合せを無視する
xAレコードでIPv6アドレスを答える

z参考
ydraft-morishita-dnsop-misbehavior-against-aaaa00.txt
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

23

移行メカニズムの課題
z分類
z課題
zv6ops WG

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

24

移行メカニズムの分類
zTunnelベース
yトンネルセッションプロトコル
xDTCP, TSP

y自動トンネルプロトコルx6to4, ISATAP, Teredo, DSTM

zTranslatorベース
yNAT-PT, SIIT, FAITH

zProxyベース
yアプリケーションレベルゲートウェイ(HTTP proxy,SMTP gatewayなど)
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

25

課題
z完全なメカニズムは存在しない
yTunnelベース

xIPv6 network topology ≠ IPv4 network topology
xIPv4アドレス必須• i.e. IPv4アドレス不足の根本解ではない

xNAT経由では動かない• (Teredoは唯一の例外だが、複雑すぎ)

yTranslatorベース
xIPv4→IPv6変換は困難
xアプリケーションデータ内に埋め込まれたアドレスは変換不能• <a href=“http://192.168.0.1/”>link</a>yProxyベース
x特定のプロトコルについてしか動かない

z結局何をいつ使えばいい?
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

26

V6ops WG
z概要
y適用場面ごとに、移行に必要な技術要素を解析
x携帯xISPxUnmanaged(家庭/SOHOネットワーク)
xManaged(企業/エンタープライズネットワーク)

z現状
y具体的なソリューションの議論は、上記解析が済んでから
x現在は解析を進めている段階

z参考
yv6ops WG
xhttp://www.6bone.net/v6ops

yIssue Tracker
xhttps://rt.psg.com/ (id=ietf/passwd=ietf)
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

27

セキュリティ関連の課題
zSecuring Neighbor Discovery
z自動トンネルのセキュリティ課題
zIPv6 Firewall Architecture

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

28

Securing Neighbor Discovery
z 概要
yPlug & Playは不正ネットワーク使用につながりうるxNA spoofingによる、偽NDPキャッシュ生成
xRA spoofingによる、誤ったRA広告z 現状
yCGA (Cryptographically-Generated Address)
x公開鍵のハッシュから生成されたリンクローカルアドレスを用いてNDP通信xSEND WGで議論中

yL2認証
xPAP/CHAP (PPP), 802.1x (Ethernet)...

z 参考
ydraft-ietf-send-psreq-04.txt
ydraft-ietf-send-cga-02.txt

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

29

自動トンネルのセキュリティ課題
z概要
y自動トンネル(e.g. 6to4)
xIPv6アドレスに埋め込まれたIPv4アドレスを、IPv6 over IPv4トンネリングに使用

y自動トンネルリレーを悪用すると、攻撃も可能
xSource spoofingxIPv4/v6 DoS attack

z現状
y起こりうる攻撃とその対策の分析

z参考
y draft-ietf-v6ops-6to4-security-00.txt
Copyright(c)2003 All rights reserved, Hitachi, Ltd.

30

IPv6 Firewall Architecturez2種類の課題
yIPv6プロトコル由来の課題
x数珠繋ぎの拡張ヘッダスキャン, Privacy Address Extension...

y‘End-to-End’通信との相性の悪さ
xIPsec, P2P ...

z現状y問題点の洗い出しを開始
y具体的な方策については未定
x本当にIPv6WGやv6ops WGで行うべき仕事?

z参考
ydraft-savola-v6ops-firewalling-02.txt

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

31

まとめ
IETFにおけるIPv6関連動向の最新状況
z基本仕様
yICMPv6, RAなどの仕様の不明点の明確化

z経路制御関連yマルチホーム関連の議論方針で紛糾中

zDNS関連yDNSサーバ検出方法の標準化がホットトピック

zIPv4→IPv6移行
yどの移行技術をどの場面で使うかの整理中

zセキュリティ関連
yプロトコル別のセキュリティ課題の洗い出し中

Copyright(c)2003 All rights reserved, Hitachi, Ltd.

32