IPV6家庭用ルータに求められる機能とは
IPv6普及・高度化推進協議会 IPv4/IPv6共存WG
IPv6家庭用ルーターSWG・Chair、
株式会社インテック・ネットコア
北口善明

2009/06/19

1/39

目次


IPv6家庭用ルーターSWGに関して

必要とされるルータ機能

今後検討が必要な課題

2009/06/19

2/39

IPv6家庭用ルーターSWGに関して◆設立の背景◆SWG概要2009/06/19

3/39

SWG設立の背景
海外

国内

z 家庭内用のIPv6接続機器の仕様検討が様々な団体
において展開されている• ケーブルラボ• ブロードバンドフォーラム• IETFetc.

z 業界を横断した検討がされていない
z 業界内の各社は検討の必要性を感じている

家庭用ルータのIPv6対応における問題点の共有などの議論が国内でも必要
2009/06/19

4/39

IPv6家庭用ルーターSWGの概要
SWGの目的

インターネット利用者がスムーズにIPv6環境に対応できるようにISPのIPv6サービス提供に必要な「家庭内ルータ機能のベースライン（最小限の共通認識）」 をインターネット利用者の視点からまとめること

進め方
家庭用ルータベンダ、ISPおよびアクセス系事業者等の立場から検討する
 国際的な動向を考慮する

2009/06/19

ケーブルラボ、ブロードバンドフォーラム、IETFなど
5/39

SWGで想定する環境IPv6家庭用ルータ装置を利用する環境IPv6家庭用ルータは拡張性を十分考慮した上で最低限の機能を想定する
ISP

対象外ネットワーク例
企業ネットワーク ホットスポット等の公共のネットワーク
 家庭用ルータがないネットワーク
 多段NATを併用したネットワーク

家庭用ルータ

2009/06/19

6/39

LAN

必要とされるルータ機能① アドレス／プレフィックス設定機能② 経路制御機能③ アクセス制御機能④ サーバ機能※第1版ガイドラインにおける検討内容より

2009/06/19

7/39

① アドレス／プレフィックス設定機能
プレフィックス情報の受信 アドレス／プレフィックス情報の配布
 WAN側のアドレス設定
IPv6 ISP
ISP側のユー
ザ収容ルータ・プレフィックス情報
・WAN側のアドレス設定

家庭用ルータ・アドレス／プレフィックス情報
2009/06/19

8/39

プレフィックス情報の受信IPv4との相違点の一つ


ISPにより割り当てられるもの
IPv4：アドレス

IPv6：プレフィックス

IPv6ではプレフィックス情報受信機能が必要

利用できる実装としてDHCPｖ６-PDが一般的


DHCPv6-PD：DHCPv6の機能でプレフィックスを割り当てる機能

DHCPv6-PDの実装は必須
2009/06/19

9/39

割り当てプレフィックスプレフィックスサイズ
/48〜/64の幅で受信できる必要がある

「JPNICにおけるIPv6アドレス割り振りおよび割り当てポリシー」より

プレフィックスサイズはサービスに依存する/48〜/64の範囲を扱えることが必須

固定／非固定

固定プレフィックス


ユーザに割り当てられるプレフィックスが常に同じ

非固定プレフィックス

2009/06/19

接続のタイミングや時間経過によってプレフィックスが変化する
10/39

非固定プレフィックスの必要と課題


プライバシー問題からの必要性
IPv4では割り当てアドレスは非固定が主流


IPv6のプライバシ拡張は下位64ビットが対象


接続の都度もしくは時間でアドレスが変わるなどプレフィックスが固定だとアドレス（プレフィックス）からユーザを特定可能

非固定時の課題
宅内機器のアドレス変更が都度発生
 通信中の変更ではマルチプレフィックスに

2009/06/19

各機器において使い分けができるかが問題
11/39

固定／非固定プレフィックスの比較
カテゴリ

具体的なイメージ

対象

固 ISPとの契約を解除 ユーザがISP-Aから運用管理が容易
定 する都度アドレス ISP-Bに契約を変更が変わる
する場合
場所が変わる都度 ユーザが引っ越しアドレスが変わる をする場合

セキュリティ/プライバシー攻撃の対象になっていない
ユーザは固定アドレスのメリットを享受

プライバシー問題あり

オペレーション都 ISPバックボーンの合の都度アドレス 設計変更等数年にが変わる
一回程度
ユーザの申告の都 DoS 攻 撃 を 受 け た
度アドレスが変わ のでアドレスを変る
更したい場合宅内すべてのアドレスが変わってしまう
可能性がある

非家庭用ルータもし固定 接続の都度アドレ くはPCを起動する
度にアドレスが変
スが変わる・リンクダウン時
わる（ユーザは気・家庭用ルータ交換時付かない程度)
2009/06/19

12/39

攻撃の対象になっているユーザ
は攻撃を回避できるアドレス／プレフィックス情報の配布プレフィックスの再配布

DHCPv6-PDで得たプレフィックスからLAN側に/64のプレフィックスを配布
DHCPv6-PDとの連携機能は必須

二種類の割り当て手法
RA

DHCPv6○×（IETFで議論中）

プレフィックス割当

アドレス割当○RAから学習※△（実装は少ない）○

デフォルト経路
アドレス／プレフィックス
プレフィックス長
サーバ情報※RAのプレフィックスオプションで指定されるプレフィックス長を利用する



RAの機能を最低限持つこと（必須）2009/06/12

13/39

WAN側アドレスは必要か？
グローバルアドレスを利用するかどうか

IPv4ではWAN側にグローバルアドレスを付与

IPv6ではリンクローカルアドレスのみでも可能

固定アドレスサービスではUnnumbered接続
グローバルアドレス付与を希望するISPは多い

グローバルアドレスの利用目的
ISP側からの死活監視 家庭用ルータのリモート制御

2009/06/19

WAN側アドレスに対するアクセス制御の考慮が必要

14/39

WAN側アドレスの設定


付与するグローバルアドレスに関して

ユーザ割り当て空間とは別のアドレスを推奨

ユーザが認識しているアドレスと異なることに注意

設定手法（グローバルアドレス利用時）
SLAAC（Stateless Address Auto-Configuration）
設定アドレスを別途通知する仕組みが必要

DHCPv6
 手動設定：最低限必要とされる機能として必須

2009/06/19

15/39

② 経路制御機能
経路設定
 不到達アドレス／プレフィックス制御
 マルチキャスト機能

IPv6 ISP
ISP側の
ユー
ザ収容ルータ・デフォルトルート

家庭用ルータ・デフォルトルート，その他の経路
2009/06/19

16/39

経路設定（デフォルトルート）
デフォルトルート設定


ISPからの経路設定：


RA受信による設定か手動設定（必須）

LAN側への経路設定：
RAを利用RA

DHCPv6○×（IETFで議論中）

プレフィックス割当

アドレス割当○RAから学習△（実装は少ない）○

デフォルト経路
アドレス／プレフィックス
プレフィックス長
サーバ情報2009/06/19

17/39

経路設定（その他の経路）


その他の経路設定


ISPからの経路設定：
手動設定できることは必須 ルーティングプロトコルは提供されないと想定される




LAN側への経路設定
RIPng，More-Specific Route（RA）
 いずれもオプション機能程度

2009/06/19

18/39

未使用アドレス／プレフィックス制御
IPv4にはなかった制御の一つ
割り当て空間が広いため未使用空間が存在 未使用空間へ通信制御が必要に

割り当て空間が/64より広い場合

未使用プレフィックス宛ての通信をISPに転送しない実装が必須

WAN側PtoPリンクの場合


WAN側アドレス以外の同一プレフィックスアドレ
ス受信時にはパケットを破棄する実装が必須

2009/06/12

19/39

転送禁止の例
未使用プレフィックスの扱い

WAN側リンクにおける未使用アドレスの扱い

IPv6 ISP

IPv6 ISP:1

Prefix delegation
2001:DB8:1::/48

Destination2001:DB8:1::/48

2001:DB8::/64

Destination
2001:DB8::3/64:2

2001:DB8:1:1::/64

2001:DB8:1:1::/64

2001:DB8:1::/48中2001:DB8:1:1::/64しか利用していない場合には他の空間への通信をデフォルトルートに転送しない

PtoPリンクにて2001:DB8::/64を設定した
際に対向の2アドレス以外宛への通信をデフォルトルートに転送しない

2009/06/19

20/39

参考：IPv6のPtoPリンクにおける/127IPv4では/30を利用してループ防止可能

/30は2アドレスしか利用できない空間
192.168.1.0/30



192.168.1.0
192.168.1.1
192.168.1.2
192.168.1.3

ネットワークアドレス
利用可能アドレス利用可能アドレスブロードキャストアドレス

IPv6における/127は？


サブネットルータエニーキャストのため不可
2001:DB8:1:1::/127

2001:DB8:1:1::0
2001:DB8:1:1::1

サブネットルータエニーキャストアドレス
利用可能アドレス（1つしか使えない）/126だと3つのアドレスが利用できてしまう
2001:DB8:1:1::/126

2009/06/19

2001:DB8:1:1::0
2001:DB8:1:1::1
2001:DB8:1:1::2
2001:DB8:1:1::3
21/39

サブネットルータエニーキャストアドレス
利用可能アドレス利用可能アドレス利用可能アドレスマルチキャスト機能

サービスに依存する機能

機能自体はオプション扱いの可能性が高い

マルチキャスト機能の実現方法


PIM機能
端末管理としてMLDの実装も必須となる
 詳細な仕様定義ができないと相互接続性が失われる

MLDプロキシ機能
端末からのMLD要求を代理通信する
 PIM機能の実装よりも利用される可能性が高い

2009/06/19

22/39

③ アクセス制御機能
宅内ネットワークへのアクセス制御
 IPv6におけるフィルタ制御ルール
 ルータ自身へのアクセス制御

IPv6 ISP
ISP側のユー
ザ収容ルータ
遮断通過

家庭用ルータ2009/06/19

23/39

宅内ネットワークへのアクセス制御


IPv4と異なる配慮が必要な点
IPv4ではNAT/NAPTによりアクセス不可 IPv6では宅内（LAN側）もグローバルアドレス
IPv6ではアクセス制御機能は必須

必要とされる機能

静的アクセスフィルタ：必須

外部からのTCP SYNを遮断など

動的アクセスフィルタ（SPI）：推奨
 RH0のフィルタ：必須

2009/06/19

RFC5095により扱いが禁止となっている
24/39

IPv6におけるフィルタ制御ルール
IPv4と比較して条件が増える
機能



必要度

IPv6始点/終点アドレスでアクセスを制限できること

必須

次ヘッダ（プロトコル）を認識できること
プロトコル種別（拡張ヘッダ種別等）でアクセスを制限できること
次ヘッダチェーンを辿ること

必須

ICMPv6のTypeとCodeでアクセスを制限できること
TCP/UDPの始点/終点ポート番号でアクセスを制限できること推奨

推奨
必須
必須

ICMPv6の扱いに注意が必要
PMTUDなどで必須のものが存在する
 IPv4の場合と異なり全て遮断することは問題2009/06/19

25/39

ICMPv6を遮断する際の注意点


遮断が禁止されるICMPv6タイプ
ICMPv6タイプ

必要な理由

Neighbor Discovery Protocol（NDP）
タイプ135：Neighbor Solicitation
にてリンクレイヤアドレス解決するた
タイプ136：Neighbor Advertisement
めに必要
タイプ2：



ルータでのフラグメントができないた
めPath MTU Discovery（PMTUD）で通過パスのMTUを知る必要あり

Packet Too Big

遮断を推奨しないICMPv6タイプ
ICMPv6タイプ

タイプ1：

2009/06/19

必要な理由

Destination Unreachable

IPv6からIPv4へのTCPフォールバッ
クを速やかに実現するために必要

26/39

ルータ自身へのアクセス制御


ルータの設定インターフェイスへの制御
アクセス制御できることが必須
 基本的にLAN側からのみの制限
 WAN側アドレスへのアクセス制限も考慮

2009/06/19

ISPからのサービスに依存

27/39

④ サーバ機能
DNSプロキシ、リゾルバ機能
 ネットワーク情報の取得と配布
 ルータ自身の設定
DNSサーバ（IPv4/IPv6）

IPv6 ISP
ISP側のユー
ザ収容ルータ・DNSなどのサーバ情報

家庭用ルータ・ネットワーク情報
2009/06/19

28/39

DNSプロキシ機能（1）

デュアルスタックでは以下の考慮が必要

利用トランスポート
IPv4/IPv6の双方をサポートする必要がある（必須） 基本的に問い合わせトランスポートを合わせる

ISPのDNSサーバ選択方法
プライマリ・セカンダリにそれぞれIPv4/IPv6が存在 複数のDNSサーバを順次サーチ利用できることが最低限必要（必須） オプションとして任意に選択する実装も可能

2009/06/19

29/39

DNSプロキシ機能（2）IPv6では以下の考慮が必要

待ち受けアドレスグローバル／ユニークローカル／リンクローカル

アドレスしの種類
グローバルアドレス

メリット／デメリット
WAN側切断時にアドレスが消える場合がある

ユニークローカルアドレ LAN側からのみ応答する実装とする実装が可能だ
スがグローバルアドレスとの使い分けが必要
リンクローカルアドレス

LAN側リンクからのみ応答する実装が可能だが端末リゾルバにおいて設定できない可能が存在

ユニキャストアドレスの待ち受けが必須

2009/06/19

30/39

DNSリゾルバ機能
IPv6特有のものではないが必要とされる


リソースレコードを透過的に扱う機能対応リソースレコードを限定しない（必須） DNSSECにおけるリソースレコードも含め透過的に扱う必要がある


EDNS０への対応


512バイトを超えるUDP通信への対応が必須

TCP 53番での受付

2009/06/19

DNSの仕様上必須

31/39

ネットワーク情報の取得と配布


ISPからのネットワーク情報受信機能


IPv4と同様にDHCPv6機能は必須
手動設定ができることも必要
 DHCPv6クライアントではなくDHCPv6リレーも可

LAN側へのネットワーク情報配布機能


実質的にDHCPv6利用が一般的であり必須
RA

DHCPv6○×（IETFで議論中）

プレフィックス割当

アドレス割当○RAから学習△（実装は少ない）○

デフォルト経路
アドレス／プレフィックス
プレフィックス長
サーバ情報2009/06/19

32/39

今後検討が必要な課題
第1版に含めることができなかった項目

2009/06/19

33/39

ISPへの接続機能に関する議論

具体的なアクセスサービスを定義した議論


フレッツ接続などの具体的なサービス事例を想定した議論が必要

ガイドラインに対する別冊的な扱いを想定

実際に取られる接続形態の整理

できるだけ網羅的な整理を検討

Point-to-multipointの扱い，認証方法，リモート監視の有無など

WAN側のグローバルアドレスに関する再考

2009/06/19

34/39

マルチプレフィックスに関する議論


複数のISP接続（マルチホーム）時の整理

マルチプレフィックス環境の対策検討

PPPoEなどのマルチセッションの議論


ポート分割，IPv6 NAT，ポリシー制御など
デフォルトルートの扱いも含む

非固定プレフィックス運用の課題整理
プレフィックス変更時にはマルチプレフィックス環境となるため同じ議論が必要
 ユニークローカルアドレス利用の検討2009/06/19

35/39

アクセス制御時の挙動再考

フラグメントパケットに対する処理


拡張ヘッダチェーンに対する処理


フィルタリングルールチェックのためにはパケット再構成が必要
拡張ヘッダの設定上限は仕様上未定であるため推奨値が求められる

その他


他のトランスポートプロトコルへの対応

SCTP，DCCPなど

フィルタリングの推奨値の定義

2009/06/19

36/39

トランスレータに関する議論


必要性も含めた議論
IPv4のみのクライアントがIPv6サーバに接続する機会があるのか？
 必要なパターンの整理

必要となる仕様

現状デファクトとなるヘッダ変換による仕様は存在しない

2009/06/19

NAT-PTは現状”historical”扱い（RFC4966）

37/39

その他


DNSサービスに関する議論
利用トランスポートに関する再整理
 DNSのセキュリティに関する考察

サブネットルータエニーキャストの扱い


仕様上MUSTだが必要性の再考

以上のような検討結果を基に第2版を検討

2009/06/19

38/39

ご清聴ありがとうございました
IPv6普及・高度化推進協議会 IPv4/IPv6共存WG
IPv6家庭用ルーターSWG
http://www.v6pc.jp/jp/wg/coexistenceWG/v6hgw-swg.phtml「IPv6家庭用ルータ ガイドライン 第1.0版」
http://www.v6pc.jp/pdf/v6hgw_Guideline_1_0.pdf（予定）
2009/06/19

39/39