IPv6導入の設計
IPv4だけの社内ネットワークに、IPv6を加えるときの設計の考え方。デュアルスタックを基本に、アドレスの割り当て、名前解決、経路制御、セキュリティ、監視を、IPv4との違いを意識しながら検討する。
イマシルちゃんの解説
IPv6を入れるといっても、IPv4をいきなりやめるわけじゃないんだ。
しばらくは、IPv4とIPv6の「二刀流」で動かすことになるよ。
でも、IPv6はIPv4とルールがあちこち違うんだ。
住所の決め方、ルータの見つけ方、ファイアウォールの考え方……。
「IPv4と同じつもり」で設計すると、思わぬ落とし穴にはまっちゃう。
午後の問題では、この「違い」に気づけるかがよく問われるんだよ！
より深い解説
検討の観点
| 観点 | IPv4との主な違い | 設計で考えること |
|---|---|---|
| 共存の方式 | − | IPv6に対応していないサービスへの接続を残すため、デュアルスタックにする |
| アドレスの割り当て | ISPから /48 や /56 の大きなプレフィックスを受け取る | 端末のネットワークは /64 にする。拠点やセグメントごとにサブネットIDを決める |
| 端末のアドレス設定 | DHCPではなく、SLAAC（RA）で自動設定できる | SLAACかDHCPv6かを決める。一時アドレスによる端末の特定のしにくさへの対応 |
| アドレス解決 | ARPではなく、ICMPv6の近隣探索（NS、NA） | ICMPv6を遮断しない |
| デフォルトゲートウェイ | DHCPで配布するのではなく、RAの送信元のリンクローカルアドレスを使う | ルータがRAを送るように設定する |
| 経路制御 | OSPFv2ではなく、OSPFv3。隣接関係はリンクローカルアドレスで作る | ルータ間のネットワークにGUAを付けるかを判断する |
| 名前解決 | AAAAレコード。DNSのメッセージが大きくなりやすい | キャッシュDNSサーバのEDNS対応、TCP/53の許可 |
| セキュリティ | NAPTがなく、すべての端末がグローバルなアドレスを持つ | ファイアウォールで外部からの通信を明示的に制御する。必要なICMPv6を許可する |
| 監視 | Happy Eyeballsで、IPv6の障害が利用者に見えにくい | IPv6の経路を、IPv4とは別に監視する |
アドレス設計の例
ISPから 2001:db8:yyyy::/48 の割り当てを受けた場合
| 用途 | プレフィックス |
|---|---|
| データセンターのサーバセグメント | 2001:db8:yyyy:1::/64 |
| 拠点との間のネットワーク | 2001:db8:yyyy:2::/64 |
| 拠点1の端末のセグメント | 2001:db8:yyyy:3::/64 |
| … | サブネットIDの16ビットで、最大65,536個の /64 を作れる |
経路の設計で注意すること
| 注意点 | 内容 |
|---|---|
| 出口のデフォルトルート | 境界のルータに、ISPのルータのリンクローカルアドレスをネクストホップとするデフォルトルートを設定し、OSPFv3で社内に配布する |
| 未使用のアドレス | 割り当てられた /48 のうち、使っていないアドレス宛てのパケットが、境界のルータとISPのルータの間でループしないように、/48 のNullルートを設定する |
| 経路の選択 | Nullルート（/48）と社内の /64 の経路が重なっても、ロンゲストマッチで /64 が選ばれる |
インターネットから見えなくする部分
境界のルータやファイアウォールのインターネット側のインタフェースには、あえてGUAを割り当てないことで、インターネットからこれらの機器に直接アクセスされないようにする設計がある。逆に、社内のルータ間のネットワークにGUAを静的に割り当てると、traceroute6 で経路を調べるときに機器を識別しやすく、監視の宛先にもできる。
ファイアウォールで許可を検討するICMPv6
| メッセージ | 理由 |
|---|---|
| Packet Too Big（タイプ2） | パスMTU探索で、経路上の最小のMTUを知るために必要。遮断すると、大きなパケットだけが届かない障害になる |
| 宛先到達不能、時間超過 | 通信の失敗の原因を知る、traceroute6 で使う |
| エコー要求・応答 | ping6 による監視 |
| 近隣探索（NS、NA、RS、RA） | 同じリンクの中で必須（ルータを越えない） |
午後での問われ方
| 問われ方 | 押さえるポイント |
|---|---|
| NDPの各メッセージの役割 | NSとNAでアドレス解決と重複アドレス検出、RSとRAでルータとプレフィックスの発見 |
| SLAACで作られるアドレス | RAのプレフィックス ＋ インタフェース識別子 |
| 監視が必要な理由 | IPv4へのフォールバックで、利用者が異常に気付かない |
| 経路表の穴埋め | ネクストホップはリンクローカルアドレス、出口はインタフェース名 |
| Nullルートの意味 | ルーティングループの防止と、ロンゲストマッチ |