Internet Week 2015
T8  押さえておきたいIPv6最新技術動向

IPv6 Transition
and Co-existent with IPv4
Tetsuya Innami
Cisco Systems
November 19th, 2015

Agenda1. IPv6とインターネット
2. IPv6の普及とその尺度度
3. IPv6導⼊入の指針
4. 構成モデルと移⾏行行のステップ
5. 必要な技術と標準化
6. IPv6におけるセキュリティー
7. 移⾏行行・共存のためのデザイン© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential2自己紹介 +α
• 1992年年  「AT&T  Jens」⼊入社
ü 当初はUNIX  System上でCodingの業務にあたる。その後、まだ⼀一
般的でなかった商⽤用UUCPやISPの業務を担当。

1993年頃 JPNIC CIDRパイロットプロジェクト開始
1995年頃 BGP4への移行

1998年頃 IPv6の標準化作業がほぼ完了
2000年頃 IPv6対応機器が出荷開始

PCの低価格化
コンシュマーイン
ターネットサービスの一般化• 2004年年「SoftBank  BB」⼊入社

ü コンシュマー向けインターネットサー
ビスやIPv6を担当。

• 2011年年「Cisco  Systems」⼊入社

ブロードバンドインター
ネットの爆発的普及とIPv4アドレス消費の加速

2011年
IANAのIPv4 Poolが枯渇
NTT東西 フレッツネクストでIPv6インターネット接続サービスを開始© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential3

IPv6とインターネット• IPv6  はなぜ作られたか？
• IPv4  addressの枯渇とは• World  IPv6  Launch© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

4IPv6 はなぜ作られたか？
• 標準化されたのは1995〜1998年頃

ü 当時既にIPv4 Addressの”枯渇”が予想されていた

IPv4 Pool Size	

Size of the Internet	

IPv6 Transition using Dual-Stack	

IPv6は緩やかに普及し、インターネットの成長を落とすことなく、
徐々にIPv4と置き換わる計画でした。
Time	© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential5実際には…
• IPv4は、本当になくなるのか？

ü IPv6は普及してきているのか…？！	

IPv4 Pool Size	

Size of the Internet	

IPv6 Deployment	

2011年、IPv4 Address
割当プールがなくなりま
した。
Time	
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

6ネットワーク利用者の増加傾向は変わっていない
World
Population

6.3 Billion

6.8 Billion

7.2 Billion

7.6 Billion

Connected
Devices

500 Million

12.5 Billion

25 Billion

50 Billion

1.84

3.47

6.58

2010

2015

2020

Connected
Devices Per
Person0.08

2003

More connected
devices than people

2008

Source: Cisco IBSG, 201042.8億  =  IPv4  address  では不不⼗十分です  © 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

7

IPv4 Addressの枯渇とは？！
• 現在使われているIPv4  Addressがなくなってしまう訳ではない

ü IP  Addressの管理理機関は、新しいIPv4  Addressを割り当てるための”在庫”を管理理しているü この”在庫”が⼀一定レベルを下回った段階で、今までとは異異なる新規割当てルールが適⽤用されることになる• 今までの割当てルールとは、

ü 既に割り当てられているaddressを⼀一定レベル以上使⽤用済みで、今後⼀一定期間内で⼀一定レベル以上のaddressを使⽤用する予定がある場合、必要な⼤大きさのaddressの割り振りを(複数回)受けることができる

ところで、”IP Address 管理機関”とはなんでしょう？！

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

8IPアドレス管理の階層構造	
IANA	
  
RIPE	
  NCC	  ARIN	  APNIC	
  

AfriNIC	  CNNIC	  KRNIC	  ISP

IANA:	  Internet	
  Assigned	
  Numbers	
  Authority	
  RIR:	
  Regional	
  Internet	
  Registry	  ARIN:	
  American	
  Registry	
  for	  Internet	
  Numbers	
  RIPE	
  NCC:	
  Resource	
  IP	
  Europeans	
  Network	
  Coordina?on	
  Centre	
  	
  LACNIC:	
  La?n	  American	
  and	  Caribbean	  Internet	
  Address	
  Registry	
  AfriNIC:	
  African	
  Network	
  Informa?on	
  Centre	
  JPNIC	
  Data
CenterLACNIC	
  etc.

APNIC:	
  Asia	  Paciﬁc	
  Network	
  Informa?on	
  Center	  JPNIC:	
  Japan	
  Network	
  Informa?on	
  Center	KRNIC:	
  Korea	  Network	
  Informa?on	
  Center	
CNNIC:	
  China	
  Internet	
  Network	
  Informa?on	
  Center	© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

9IPv4 Address 枯渇予想
(generated at 18-Nov-2015 08:25Z)

IANA Unallocated Address Pool Exhaustion: 割当てblockが残り5個になった時点でそれらを1つづつ、5つのRIRに割り振りました。

03-Feb-2011

Projected RIR Address Pool Exhaustion Dates:
APNIC:
RIPE/NCC:LACNIC:ARIN:
AfriNIC:

19-Apr-2011
14-Sep-2012
10-Jun-2014
24-Sep-2015
07-Jul-2019

AfriNIC以外は、最終割当て方式に移行しました。

Source: http://www.potaroo.net/tools/ipv4/© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

10枯渇後は、どうなってしまうのでしょう？
既に割り当てられているIPv4 Addressは、今後もそのまま使い続けることができるü 枯渇後ルールが適応されるのは、これから割当てを受けるときのみü このルールは、1組織につき1回かぎり/22 block(=host数で約1,000)の割り振りを受けることができる
新しいネットワークを作るにはどうしたらいいのか？
1. 既に取得済みのIPv4 Addressを節約して使う
ü Private Addressを有効に活用し、Global AddressはNATなどを介して複数のユーザーが共同で使うなどの方法が考えられる

2. 他の組織からIPv4 Addressを移転してもらうü 2011年8月から、日本国内では他の組織が割り振りを受けたIPv4 Addressの移転(名義変更)ができるようになった

3. IPv6を導入する© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

11World IPv6 Launchとは？！
• 2012年年6⽉月6⽇日12:00(UTC)から、IPv6対応を⼀一⻫斉に開始するkick-‐‑‒oﬀ

イベント
ü 昨年年実施された、”World  IPv6  Day”は24hの時間限定のテストイベ
ントü 今回は、永続的にIPv6を使⽤用する前提であり終了了しない• ISOCが運営を⾏行行った• 3種類の参加カテゴリが⽤用意された(W6DはWeb  Siteのみ)ü  Website  Operatorü  Network  Operatorü  Home  Router  Vendor© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

12World IPv6 Launchへの参加条件• Web  Site  Operatorü メインとなるWeb  SiteにAAAA  RRが付加されてIPv6によるアクセスが可能であることが必要です。ipv6専⽤用siteなどは不不可とされている• Network  Operator

ü 全ての新規ユーザーにIPv6が標準的に提供され、既存ユーザーを含む全体の1%以上のユーザーがIPv6  Web  Siteにアクセス可能である必要がある• Home  Router  Vendor

ü コンスマー向けCPE製品が、IPv6に固有の設定をエンドユーザーが⾏行行うことなく標準的にIPv6を使⽤用可能で、かつUNH-‐‑‒IOLの相互運⽤用テストシナリ
オを完了了したことを⽰示すリストにあげられていることが必要© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

13

Network OperatorにとってのW6L「全体の1%以上のユーザーがIPv6  Web  Siteにアクセス」とは？
• World  IPv6  Launchに参加しているWeb  Siteの⼀一部に対するIPv6とIPv4のTraﬃc⽐比率率率が1%を超えることが求められている• ただし、これらのWeb  Siteの中には、IPv6によるアクセスがIPv4と⽐比較して遅延が⼤大きい場合などに、IPv6によるアクセスを制限している場合が存在しているü ⽇日本国内では、フォールバック問題の存在などにより、この問題の影響を受けているNetwork  Operatorが多く存在していると⾔言われているü いろいろな問題が、克服されつつあると⾔言われるが、IPv6の本格的な導⼊入を⾏行行うために、周囲の状況を把握することが重要であると考えられる© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

14

(For Your Reference) Fallback問題とは
1. wwwサーバーのアドレスをDNSに問い合わせる
2. DNSからAAAA  RRとA  RRを得る3. AAAA  RRが存在するのでIPv6で接続を試みるが、閉域網でインターネットに接続されていないので失敗する
4. タイムアウトを待ち、フォー
ルバックして、IPv4で接続を
試みる

DNS
２

IPv6
internet

IPv4
internet

Web

1
IPv6 閉域網

43© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

15

IPv6の普及とその尺度• IPv6  普及度度の統計• IPv6対応状況• IPv6  利利⽤用者数統計• 国内  IPv6  普及の現状© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

16

IPv6  普及度度の統計  -‐‑‒  必要性lnternet事業のビジネス判断
商⽤用インターネット

投資の合理理性

判断基準

投資を⾏行行うためには、合理理的な理理由が必要。

IPv6  サービスの事業化判断のための情報を収集ü 商⽤用ISP

ü IPv4アドレスの枯365
渇と事業継続性ü だれがサービスを提供しているか？

ü コンテンツサービ
スü 市場・競合他社の状況

ü 誰がサービスを利利⽤用しているか？

ü 携帯電話ü ⾏行行政の規制⽅方針ü 収益性と投資の回
収

現在のインターネットは、その多くが“商⽤用=ビジネス”で提供されている。

ü 技術的な優位性による差別化

サービス事業者は IPv6 事業化の判断を行うために、普及度の統計情報が必要© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

17

IPv6 普及度の統計 – 統計の対象
サービス事業者の統計
サービス⽤用ネットワークのIPv6対応
コンテンツ・アプリケーションのIPv6対応
IPv4とIPv6の利利⽤用⽐比率率率

地理理・ルーティング的統計
国及び地域ごとの統計
AS毎の統計

利利⽤用者数の統計
特定のアクセスサービスにおけるIPv6利利⽤用者数
特定のコンテンツに対するIPv6利利⽤用者数

必要な統計値の選択が必要© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

18

IPv6対応状況 - サービスネットワーク
国及び地域別・AS別

RIPE/NCCによるASの統計

ルーティングテーブル上のASのうち、IPv6  Preﬁxを広告しているASの⽐比率率率の統計。

Eric  Vyncke  の統計

割り当て済み・広告済み・IPv6到達可能なIPv6  Preﬁxの数の統計。
国単位で参照可能。

http://v6asns.ripe.net/v/6?s=_̲ALL;s=_̲RIR_̲APNIC;s=JP© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

19

IPv6対応状況 - アプリケーション
国及び地域別・サイト単位

Eric  Vyncke  の統計Alexa  Top  500のドメインに対し、HTTP/SMTP/DNSの各プロトコルをIPv6で定期的に試⾏行行する。この結果の統計
情報を国毎に表⽰示する。
https://www.vyncke.org/ipv6status/

Eric  Vyncke  の統計⽇日本国内のWeb  Serverのうち、IPv6が有効である物の数の推移を表⽰示。
https://www.vyncke.org/ipv6status/project.php?
metric=w&country=jp© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

20

IPv6利用者数統計 - IPv6 普及・高度化推進協議会
フレッツ光ネクスト等の利用者数• IPv6インターネット接続を利利⽤用可能な、NTT東⻄西が提供する、”フレッツ光ネクスト”の加⼊入者のうち、有効と思われるIPv6利利⽤用者の加⼊入者の全体に対する指標値
IPoE⽅方式及びPPPoE⽅方式それぞれにおける、フレッツネク
スト全体に対するIPv6利利⽤用者数を推定し、合算する。
ü IPoE  VNE事業者から提供されるIPoE⽅方式加⼊入者数から、全体に対する加⼊入者の割合を算出する
ü 統計に協⼒力力しているPPPoE  ISPが、利利⽤用実績のあるPPP  アカウント数を集計し、全体加⼊入者に対するシェアを考慮した、全体に対する加⼊入者の割合を算出する
4半期毎に集計を⾏行行い、IPv6⾼高度度化・普及推進協議会のWebサイトにて公表する

http://v6pc.jp/jp/spread/ipv6spread.phtml© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

21

フレッツ光ネクスト IPv6利用率指標値
18,000,000	
  16,000,000	
  14,000,000	
  12,000,000	
  12.00%	  フレッツネクスト	
  
加入者数	
  

10.00%	
  IPv6	
  利用率指標	  8.00%	
  10,000,000	
  6.00%	
  
8,000,000	
  6,000,000	
  4.00%	
  4,000,000	
  2.00%	
  2,000,000	
  
0	
  

0.00%	
  協力会社 - 東日本電信電話株式会社、西日本電信電話株式会社、BBIX株式会社、日本ネットワークイネイブラー株式会社、インターネットマルチフィード株式会社、エヌ・ティ・
ティ・コミュニケーションズ株式会社、株式会社インターネットイニシアティブ、ソネットエンタテインメント株式会社、KDDI株式会社、中部テレコミュニケーション株式会社© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

22KDDI auひかり・CTC コミュファ光 IPv6普及率
100%	
  
90%	
  
80%	
  
70%	
  
60%	
  
50%	
  
40%	
  
30%	
  

KDDI	
  
AUひかり	  CTC	
  コミュファ光	
  

20%	
  
10%	
  
0%	
  

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

23

国内 IPv6 の普及の現状
通信事業者

コンテンツ事業者

エンドユーザー大手を中心に通信事業者の多くは
IPv6対応の準備を行っているコンテンツ事業者のIPv6対応はこれから着実に増加しているü 中小規模の事業者には未だ課題が残っているü 携帯通信事業者の本格対応はこれからü 通信事業者とは考え方・立場が違うü 課題の整理が必要ü エンドユーザーが直接IPv6を必要とする動機は未だ少ないü ユーザー数の増加は間接的なもので、絶対数もまだ小さい

継続的な統計の実施がIPv6の普及を促進しする© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

24(参考) 統計サイト

http://www.google.com/ipv6/statistics.html
http://www.vynche.org/ipv6status/
http://6lab.cisco.com/stats/
http://www.worldipv6launch.org/measurements/
http://v6asns.ripe.net/v/6© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

25

IPv6 導入の指針• IPv6移⾏行行の動機と前提条件• Dual-‐‑‒Stack環境• NAT  -‐‑‒  IPv4  addressの節約© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

26

IPv6移行の動機と前提条件• 基本的な動機

ü IPv4  addressの枯渇をネットワーク拡張の制限にしないü 外部のIPv6サイトへの接続性を担保する• 前提条件ü 既存の機器を有効に活⽤用する
ü 既存の環境に与える影響を最⼩小限に抑えるü IPv6の広⼤大なアドレス空間を使⽤用可能にするだけでなく、IPv4ア
ドレスの節約を同時に⾏行行う© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

27Dual-StackとIPv4 Address	
当⾯面IPv4  Internetは使われ続けると思われるため、可能であればエンドユーザーの環境としては、Dual-‐‑‒Stack環
境が必要ü 基幹ネットワークは、必ずしもDual-‐‑‒Stackである必要はなく、IPv6ネットワーク上に、IPv4を重畳させたり、その逆を⾏行行うような移⾏行行技術も存在している

IPv4  Address資源は、既に枯渇しており、潤沢に使⽤用することは難しいü ⼀一つのIPv4  Addressを複数のユーザーで、”共⽤用”する技術を組み合わせて使⽤用することが求められる© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

28

Dual-Stack環境
IPv6の直接のMotivationは、IPv4をなくすことではない

ü 当⾯面は、既存のIPv4環境に影響を与えず、共存することを考慮す
べき

アプリケーションの両端はDual-‐‑‒Stackü エンドユーザーおよびアプリケーション・プロトコルのサーバー
は、基本的にIPv4/IPv6両⽅方で同等なサービスを利利⽤用・提供可能であるべき

基本的にエンドユーザーとサーバーの間のネットワーク・
機器がすべてdual-‐‑‒stackである必要はない
将来的にIPv4を全く使う必要がなくなった時点で、IPv6  single  stackとなる© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

29Dual-StackとDNS
My IPv4 Address à IPv4 content"
My IPv6 Address à IPv6 content"

www.example.com = * ?"
IPv4

DNS
"

192.0.2.1"

IPv4/v6
Dual-stack
www.example.com
IPv6

2001:db8::c:1sc0"

www IN A
192.0.2.1
www IN AAAA 2001:db8::c:1sc0

DNS  (Domain  Name  System)のDual-‐‑‒Stack対応• DNSのデータ(RR)はIPv4  records  (A)  and/or  IPv6  (AAAA)  recordsに対応している• DNSの問い合わせ/返答protocol⾃自体は、IPv4/IPv6から独⽴立立している• エンドユーザーは、任意のTransport(v4  or  v6)で、必要な資源レコード(A  and/or  AAAA  RR)を問い合わせできる© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

30

基幹ネットワークへのDual-stack導入の手法• 完全Dual-‐‑‒Stackü エンドユーザーとサーバーの間のすべての区間がIPv4/IPv6双⽅方をroutingする

IPv4/v6
Dual-Stack• Tunnelingü 例例えばIPv6のパケットを転送する場合、IPv4でカプセル化することにより、IPv4イ
ンフラ上でもIPv6の転送を可能とする

IPv4/v6

IPv4

IPv4/v6

IPv4/v6

IPv6

IPv4/v6• Double  Translationü 例例えばIPv4のパケットを転送する場合、⼀一度度IPv6に変換してからIPv4に戻すことにより、IPv6インフラ上でもIPv4の転送を可能とする© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

31

IPv4 addressの節約
⼀一般的なIPv4接続サービスは、“加⼊入者⼀一⼈人” 　＝ 　“IPv4アドレス⼀一個”
これを更更に節約するには、“加⼊入者⼀一⼈人” 　＜ 　“IPv4アドレス⼀一個”
すなわち、⼀一つのIPv4アドレスを複数の加⼊入者で共有する必要がある© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

32

IPv4 addressの共有• 複数の加⼊入者が”同じ”IPv4  addressを使⽤用する
ü 加⼊入者を区別するためには、トランスポートプロトコル(TCP4/
UDP4)のポート番号を使⽤用する
ü 加⼊入者間でのポート番号の重複を避けるためNATと同時にポート番号も変換する(NAPT:  Network  Address  and  Port  Translation)• NAPTの利利⽤用
ü RFC3022• NAPTの使⽤用に関する課題ü 利利⽤用可能なポート数の制限
ü 常に”内側”からのコネクション・TCP/UDP/ICMPのみ
ü NAPTの設置場所・トポロジー© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

33

NAPTにおけるポート数の制限
同時に多くのポートを使⽤用するアプリケーションは、ポート数の制限により機能が限定される場合が存在する• ポート数制限環境における(ちょっと前の)Google  Mapsの例例• -‐‑‒  AJAXアプリケーション,  etcReﬀerence:
Hiroshi  Esaki,  Ph.D:  www2.jp.apan.net/meetings/kaohsiung2009/presentations/ipv6/esaki.ppt© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

34

Max Numbers of Connections	30 Connections
20 Connections
15 Connections
10 Connections

5 Connections….
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

35NATの位置
NAT装置の設置位置によりIPv4アドレスの共有形態に差異異が存在する• 理理論論的には、より集中させるほど共有効率率率は向上する• 同⼀一のIPv4アドレスを異異なるNAT装置で使⽤用する場合はポート番号の割り振りメカニズムが必要© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

36CPEにおけるNAT
NAT44
privateNAT

globalIPv6 (bypass NAT44)

CPE

ISP
Backbone

NAT44
privateNATInternet
CGN

globalIPv6 (bypass NAT44)

CPE• CPE(宅宅内設置ルーター)にNAT機能を実装する• 今⽇日最も⼀一般的な形態• 各加⼊入者の⾃自由度度が⾼高いが、IPv4アドレスの共有効率率率は低い

ü 共有効率率率をあげるために、CPE毎のポート番号に制限を付加し、複数のCPE
で共通のIPv4  addressを使⽤用する場合も存在する  –  Port  Restricted  NAT
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

37

CGN (Carrier Grade NAT)
privateNAT

globalIPv6 (bypass NAT44)
NAT44

CPE

ISP
BackboneInternet
CGN

privateNAT

globalIPv6 (bypass NAT44)

CPE• ISPの基幹設備内に設置し、複数の加⼊入者が利利⽤用する

ü ISPの設備内に、加⼊入者毎の状態を保存しなければならないため運⽤用負荷が⾼高い• 容易易に複数の加⼊入が⼀一つのIPv4アドレスを共有できるため、その効率率率は⾼高い• 加⼊入者からGlobal  Addressを操作不不可© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

38Double NAT (CPE NAT+CGN, a.k.a. NAT444)
NAT44
privateprivateNAT

NAT

globalIPv6 (bypass NAT44)

CPE

NAT44
ISP
Backbone

NAT44
privateNATInternet
CGN

privateNAT

globalIPv6 (bypass NAT44)

CPE• CPEによるNATとCGNの併⽤用
ü CPE  NATは⾮非常に⼀一般化しているため、CGNの導⼊入は、実質的にDouble  NAT環境となる• 加⼊入者からGlobal  Addressを操作不不可で、特にUPnPなどへの対応も困難となりうるü 現在この問題を解決するために新Protocolの検討作業も進められている© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential39• 構成モデル  –  既設IPv4イン構成モデルと移行のステップ

フラの活⽤用• 構成モデル  -‐‑‒  IPv6  onlyイン

フラ• 移⾏行行のステップ© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

40

構成モデル – 既設IPv4インフラの活用	
IPv6 over IPv4 Tunneling + Carrier Grade NAT	

IPv4Internet

IPv6IPv6
Internet
Internet
6rdなどのIPv6  over  IPv4技術を利利
⽤用し、容易易にIPv6
サービスを提供。
既存のIPv4インフ
ラをそのまま使⽤用することで、新たな設備投資を控える。

既設IPv4インフラ

IPv4/IPv6
Dual-stack

IPv4在庫Addressの消費を極⼒力力抑えるため、CGNを使⽤用し、複数のユー
ザー間で⼀一つのア
ドレスを共有する。
エンドユーザーには、IPv4(private)とIPv6のDual-‐‑‒Stack環境を提供する。
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

41

構成モデル - IPv6 onlyインフラ	
Native IPv6 + IPv4 overlay → 前項の逆パターン	

IPv6 Internet
IPv6Internet

IPv6はネイティブ
でインターネット
へのアクセスを提供IPv4Internet

IPv6
インフラ

IPv4  InternetへはTranslation技術、或はTunneling技術を使⽤用する。

IPv6 (/ IPv4)
NTT-‐‑‒NGNの
IPoEサービスに近い構成?!
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

42移行のステップ
Network and Applications
IPv4 Internet
IPv6 over IPv4
Tunnel+NAT44

All IPv4

Dual-Stack

IPv4 over IPv6
with NAT44	

IPv6 Internet

All IPv6© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

43Step.0 これまでのインターネット

Private IPv4NAT

ISP Backbone

IPv4 Internet

Global IPv4

Private IPv4
NAT

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

44Step.1 TunnelingによるIPv6接続

Private IPv4

ISP Backbone

IPv4 Internet

NAT

IPv6

Global IPv4

IPv6 over IPv4
TunnelPrivate IPv4
NAT

IPv6
IPv6 Internet

IPv6

CPEとISPのTunnel  Concentratorの間はIPv6  over  IPv4  Tunnelで接続© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

45

Step.2 BackboneのDual-Stack化

Private IPv4

ISP Backbone

IPv4 Internet

NAT

IPv6
Global IPv4/IPv6
Dual-Stack
Private IPv4
NAT

IPv6 Internet

IPv6

Native  IPv6接続© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential46

Step.2+ CGNの導入
ISP Backbone

Private IPv4

IPv4 Internet

NAT

IPv6

IPv6
Private(or RFC6598)
IPv4

Private IPv4

Global IPv4
IPv6 Internet

NAT

IPv6

NAT

CGNの使⽤用によるIPv4  Dual  NAT接続© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

47

Step.3 IPv4接続をOverlayに移行

Private IPv4

ISP Backbone

IPv4 Internet

NAT

IPv6
IPv6
IPv4 over IPv6
Tunnelor NAT464

Private IPv4
NAT

Global IPv4
IPv6 Internet

IPv6

IPv4  Backboneを極⼩小化
し、IPv6インフラ上でIPv4
接続
CGNを併⽤用することもあり© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

48

Step.4 IPv6に移行

IPv6

ISP Backbone

IPv6

IPv6 Internet

IPv6

すべてのアプリケーショ
ンがIPv6を使⽤用する© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

49

必要な技術と標準化• アクセス環境の変遷• 移⾏行行のための要素技術• StatefulとStateless• 各種移⾏行行技術の紹介© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

50

アクセス環境の変遷
宅宅内環境

ISP/Network  Operator
IPv4

IPv4  Private

Dual-‐‑‒Stack

IPv6  +  IPv4CGNの提供v4  over  v6
Tunnelのサポート

IPv6  Only

IPv4

v6  over  v4
Tunnel接続サポート
BackboneのDual-‐‑‒Stack化

Dual-‐‑‒Stack(IPv6  +  IPv4  Private)Internetとコンテンツ

IPv6  Only

IPv6  Only

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

51

移行のための要素技術
すべてのrouting  nodeをDual-‐‑‒Stack化すると、運⽤用コストが上昇する• Tunneling/Translation技術とNATを組み合わせて、効率率率化をはかる• MPLSなどの基幹ネットワーク技術を併⽤用することも可能

基幹ネットワークにおける加⼊入者の状態保存• インターネットでは、中継ノードで利利⽤用者の状態を保持しないことが基本とされているが、NAT等の導⼊入により状態保持の必要性が発⽣生したü 状態を保持することで加⼊入者単位の管理理を⾏行行うことも可能ü ⼀一⽅方で、状態を保持することで、加⼊入単価の上昇、スケータビリティの低下を招く恐れがある

中継ノードが状態を、保持する⽅方式→  Stateful⽅方式

保持しない⽅方式  →  Stateless⽅方式© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

52StatefulとStateless
IPv6 over IPv4

StatefulStateless

IPv4 over IPv6

IP in IP configured Tunnel
GRE
PPPoE + L2TP
Etc….

DS-Lite (RFC6333)
464XLAT

6to4 / 6rd

MAP-E/T
4rd
Etc…

⼀一般的には、Statefulの⽅方がより管理理しやすく、Statelessの⽅方がよりスケーラブルなソリューションになる© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

53

6rd – IPv6 Rapid Deployment (RFC5969)
6to4(RFC3050)をベースに、任意のpreﬁxを使⽤用可能にしたstateless  tunnel• 6rd  CPE間で直接通信することが可能• IPv4  addressをIPv6  address中に埋め込むことにより実現するが、⼀一部を”省省略略”することも可能
ISP Backbone

IPv6

6rd BRIPv4

6rd CPE:
192.0.2.1

IPv60

2001:db8:c000:201::/48が使用可能

IPv6 Internet

IPv6

16

48

32

64

2001:db8：

c０００：０２０１:

any subnet

2001:db8::/16
ISP’s 6rd prefix

0xC0000201↑
192.0.2.1

Available forsubnet use© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

54

IPv4 over IPv6 – Protocolのカテゴリ
StatelessStateful

Encapsulation

MAP-E

DS-Lite / LW 4 over 6

Translation

MAP-T

464XLAT© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

55

IPv4 over IPv6 – 標準化の変遷
by Ole Troan, Cisco Systems, Softwire WG, IETF
MAP-DHCP

MAP
IVI

dIVI

MAP-DEPLOYMENTNAT64
XLAT464
dIVI-pd

NAT-PT
NAT464

MAP-T

Public 4over6

DS-liteLightweight 4over6

A+P

Stateless DS-lite

6to4 (RFC3056)

Automatic tunnels (RFC1933)

6over46rd (RFC5969)

ISATAP

Teredo

MAP-E

SAM

4rd
4rd-(H,U)• Source: http://tools.ietf.org/agenda/83/slides/slides-83-softwire-10.pdf© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential56DS-Lite – Dual Stack Lite (RFC6333)• ISPが設置したトンネル終端装置は、CGNも実装し、トンネルの端点(CPE)の

IPv6  Addressで加⼊入者を識識別する• DS-‐‑‒LiteのCPEは”B4”、トンネル終端装置は”AFTR”と呼ばれる• Statefulだが、⽐比較的状態保持の負荷は低い

ISP Backbone

IPv4

AFTR

IPv6

IPv4

IPv4 Internet

NAT

IPv4

B4

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

57464XLAT – Stateless + Stateful XLAT
CPE側でStateless  XLAT(RFC6145)、ISP内でAddress共有型Stateful  XLAT(RFC6146)を⾏行行うことでIPv6上でIPv4  Traﬃcを転送する
ü 既に標準化作業が完了了している2つの技術を組み合わせて実現しているü この組み合わせでの利利⽤用法も”Best  Current  Practice”としてRFCされる⾒見見込みü (XLAT:  Translation)

ISP Backbone

IPv4

PLAT

IPv6

IPv4 Internet

IPv4
NAT

IPv4

CLAT

§ DS-‐‑‒Liteに似たトポロジー
DS-‐‑‒LiteがIPv4  over  IPv6のEncapsulationを⾏行行うのに対し、464XLATは、
v4/v6  Translationを⾏行行う。このためCLAT/PLATの負荷は⽐比較的低い。
IPv6転送区間のペイロードも⼩小さく、シンプルな転送が可能。

§ CLAT/PLATはそれぞれ単独でNAT64のTranslatorとしても動作可能© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential58

MAP-E – Mapping Address and Port
• IPv4アドレスの⼀一部と使⽤用可能なポート番号レンジをIPv6アドレスに埋め込むことで状態を保持することなくIPv6インフラ上でIPv4トラフィックの転送を⾏行行う。

ü CPE単位で使⽤用できるポート範囲が固定されているため、NATは常にCPEで⾏行行う(ただしPort  Restricted  NAT)
ü CPE間で直接通信が可能• MAP-‐‑‒Eはトンネリング(Encapsulation)を⾏行行うが、同様の仕組みをTranslationで⾏行行うMAP-‐‑‒Tも存

在する。

IPv4

ISP Backbone

NAT

MAP-E BR

IPv6

IPv4
NAT

MAP-E CPE

IPv4

IPv4 Internet§ Address  Mapping  Ruleは複雑§ 変換ルールは同時に複数使⽤用可能ながら、ルールごとに固定されているためIPv4アドレスの使⽤用効率率率はやや低い§ IETFにおける標準化作業が進められているが、⾮非常に多くのバリエーションが存在し、現在はMAP-‐‑‒EがStandard  Trackとされている© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential
MAP-‐‑‒T,  4rd(-‐‑‒U)はExperimental

59

まとめ – 移行技術の選択• 移⾏行行技術はDual-‐‑‒Stackの実現⽅方法とNATの配置がポイントになる• Dual-‐‑‒Stackを実現するために、オーバーレイ技術等を活⽤用して柔軟な構成を検討するü ⾮非常に多くの⽅方式が存在するため、それぞれの環境への適合性や、標準化動向を⼗十分考慮する• NATの配置は慎重に検討するü 将来的になくなるべきものü 設置箇所によりネットワーク構成に影響© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential60参考 – IPv6 decision flowchart

Source: http://www.apnic.net/community/ipv6-program/ipv6-cto/IPv6_decision_flowchart.png© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential61IPv6におけるセキュリティー

• IPv4との違い• IPv6に固有の課題• IPv6とセキュリティー

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

62IPv4との違い• 根本的には同じもの
ü アドレス空間の⼤大きさや、Protocolの構造に起因する差異異は存在しますが、IPv4とIPv6には根本的なセキュリティーの性質の差はそれほど⼤大きくありません。
(例例)  L2アドレスの解決・Spooﬁng・Source  Routing・Routing  Protocol・Application・DoS• IPsecü IPv6の標準的な実装ではIPsecが必須ですが、これはセキュリティーが担保されていることを意味するわけではありません。IPsecを使⽤用することが有効でないケー
スも多数存在します。またIPsecはIPv4でも使⽤用可能です。

基本的な考え⽅方としては、IPv6でもIPv4と同じ⼿手法で対策をとることが可能です。

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

63IPv6に固有の課題 – アドレス空間
IPv4と⽐比較して⾮非常に⼤大きなアドレス空間を持つIPv6は、⼤大きさ⾃自体に起因するいくつかの違いがあります。また、明確なアドレス・スコープの区別が存在することも⼤大きな差異異の⼀一つです。
  攻撃対象の選定
ü 例例えば、攻撃者がその対象をしらみつぶしに⾒見見つける様なタイプの攻撃を⾏行行うた
めには、より多くの労⼒力力が必要となります。
ü 逆に、空間の⼤大きさに余裕があるため、常に同じアドレスを使⽤用することが多いと考えられます。この問題への対応として、プライバシー拡張機能も利利⽤用可能ですが、安全性が⾼高まる反⾯面、管理理が⼤大変になってしまうデメリットもあります。

  Link-‐‑‒Local  アドレスü Link-‐‑‒LocalアドレスはOn-‐‑‒Linkのみで使⽤用できます。この特性を利利⽤用することで外部との通信を制御することも可能です。

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential64IPv6に固有の課題 - Protocol
ICMP,  NDP,  ARPü IPv4のARPに相当する機能は、整理理統合されておりARP単体では存在しません。
ü Plug-‐‑‒and-‐‑‒Playを実現するための機能が追加されており、セキュリ
ティーとして考慮すべきIPv6とIPv4が⼤大きく異異なっている箇所と⾔言えます。
拡張ヘッダとフラグメント
ü 拡張ヘッダのチェーンに制限がないため、チェックする機構のスケー
ラビリティに影響を与えます。またフラグメントが発⽣生していると、さらに複雑なチェックメカニズムが必要になります。

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential65IPv6に固有の課題 – 運用性
現実的な運⽤用としてIPv4と違いを認識識するべきものが存在します。
ü   運⽤用データベース
Spam  DatabaseなどIPv6では未整備のものが存在します。

ü   Path  MTU  Discovery
PMTUdは、ICMPを使⽤用して実現されています。⼀一部IPv4で⾏行行われている様な、セキュリティーを⽬目的として全てのICMPを通過させない様な運⽤用は接続性に影響を与えます。

ü   Dual-‐‑‒Stack/Tunnel  over  IPv4
IPv4/IPv6それぞれのセキュリティーを考えなくてはいけないのは、もちろんのこと、移⾏行行⼿手段としてのTunnel技術は管理理が複雑になりがちで、セキュリティーの低下が懸念念されます。

ü   ノウハウとトレーニング
運⽤用⾃自体の経験の少なさから⽣生じる問題は最も⼤大きな課題といえるでしょう。同様にトレー
ニングの不不⾜足もこれを助⻑⾧長します。

  Topologyの隠蔽ü IPv4ではNAT/NAPTの使⽤用が⼀一般的であるため、Topologyが隠蔽されていることが前提とされた運⽤用が⾏行行われていることがあり、注意が必要です。
© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential66IPv6とセキュリティー	IPv6は多くの⾯面で、アドレス空間の⼤大きなIPv4と捉えることができます。
そしてセキュリティーの観点では両者にそれほど著しい差異異はありません。
• Link-‐‑‒Local  Addressのように、⼤大きくセキュリティが向上しているものや、拡張ヘッダのように取り扱いが難しいものも存在します。
• すべてでIPsecを使⽤用するといったような、誤った認識識も改める必要があります。
最も危険なのは、運⽤用経験やトレーニングの不不⾜足が不不⾜足していることが根本的なセキュリティー脅威の原因になってしまうことです。

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential67• IPv6対応と事業継続性への影響

まとめ –移行・共存のためのデザイン• IPv6導⼊入のMotivation• 企業ネットワークにおけるIPv6の導⼊入• 移⾏行行のステップ• IPv6の実ネットワークへの導⼊入• いつIPv6を導⼊入すべきなのか？

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

68IPv6対応と事業継続性への影響予測
201１

2012

• 2010:  影響⼩小  –  ただし調達傾向の変化が起こり、IPv6の必要性に対する認識識が拡⼤大する。
Globalization

Transition
Planning

Early  Adopters

201x

IPv6  Government  Mandate  Deadlines

IPv4/IPv6  Co-‐‑‒
existence•2014:  IPv6必要性の顕著化  –    調達におけるIPv6対応が必須条件となる。事業継続性のためには製品・サービスのIPv6対応が前提となる。
• 2015:  IPv6の⼀一般化  –  より低コストでシンプルなIPv6ソ
リューションが⼀一般的になる。  

IPv6 Business Impact – The Cost of Waiting Goes Up
Low Risk

Moderate Risk

High Risk© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

69

内的要因

外的要因

IPv6導入のMotivation
addressが枯渇してもInternetの成長傾向は継続する。
成長/投資保護 •• IPv4
エンタープライズには市場の維持・拡大が必要。

パートナー• パートナー或は競合のIPv6導入• 政府機関・業務提携先によるIPv6の要件

ソフトウェア• ほとんどのOSが標準的にIPv6をサポート• OSサポートの一部のProtocolがIPv6専用の物も登場

旧来の問題• 企業買収・統合によるネットワーク拡大• NATによる技術的制限

消費の拡大• サーバーの仮想化• IoT / Sensor Network© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential70IPv6普及の流れ
US  Federal,  OMB  Mandate主要なコンテン
ツプロバイダが1⽇日IPv6でサービスを提供!
業界全体の⼤大き
な⾃自信に

ISP:
1%の加⼊入者がIPv6加⼊入
新規ユーザーはIPv6サービ
スがdefault
主要コンテンツプロバイダ:              IPv6  in  production.

2016年年。⽇日本国内でも本格的な普及期が訪れる！
か？

ARIN
RIPE

IANA

APNIC

⽶米国政府の公衆向けサービスはIPv6が必須に© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

71

企業ネットワークにおけるIPv6の導入
Outside  –  In•••

インターネットの⾰革新
ビジネス持続性
B2C,  B2B

IPv4  Enterprise

IPv6  Internet

Inside  –  Out
•
•
•
•

国際化
技術的優位性業界によっては必須
BYOD-‐‑‒Security-‐‑‒Visibility

Dual-Stack Enterprise

IPv4 Internet

http://www.cisco.com/en/US/netsol/ns817/networking_solutions_program_home.html© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential72IPv6の実ネットワークへの導入 – アンケート結果
No#plan#
24#months#
12months#
6months#

Internal(Network(

Done#
0%#

5%#

10%#

15%#

20%#

25%#
1:#When#are#you#deploying#
IPv6#in#producBon#

1:#When#are#you#deploying#
IPv6#in#producAon#

Internet&Presence&No#plan#
24#months#
12months#
6months#
Done#
0%#

5%#

10%# 15%# 20%# 25%# 30%# 35%# 40%#

© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential73いつIPv6を導入すべきなのか？！
“Adoption follows an S curve”

普及度度

より多くのユーザーが利利⽤用することで、普及が加速される。
普及度度の限界

共存期の初めに導⼊入した機器がなくなり、IPv4の使⽤用が徐々に減少する

機器のライフサイクル

IPv6導⼊入が開始され、IPv4との共存期に⼊入る

時間
全世界での普及度度12〜～13%© 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential

74