IPv4では、アドレススキャン攻撃やポートスキャン攻撃は日常的に行われています。 ファイアウォールなしの状態でグローバルIPv4アドレスに接続していれば、すぐに攻撃を観測できます。 IPv6でもアドレススキャン攻撃は発生しています。私の家のネットワークでも、IPv6でのアドレススキャン狙いと推測されるトラフィックを簡単に観測できました。 ただ、いまのところ、私の家では、実際に利用しているIPv6アドレスを外部から発見できているようなスキャンの形跡を発見できておらず、主にステートフルDHCPv6や手動設定でのIPv6アドレスを探しているように見えました。 やはり、IPv4と比べると、IPv6の方がIPv6アドレススキャン攻撃の難易度は高いのだろうと思います。 ということで、IPv6でのアドレススキャン攻撃や、その他方法によって、稼働しているIPv6アドレスをどのように探すのかに関して解説して

2021年12月20日追記：第2版できました！ IPv6を解説した「プロフェッショナルIPv6」をラムダノート株式会社から出版しました。 初版は456ページになりました。紙版の厚さは23mmになる予定です。 現時点で、IPv6に関して世界で最もまとまっているIPv6本であると個人的に考えています。 「プロフェッショナルIPv6」は、株式会社日本レジストリサービス様、BBIX株式会社様、NTTコミュニケーションズ株式会社様、日本ネットワークイネイブラー株式会社様、クラウドファンディング(「すごい技術書を一緒に作ろう。」という企画です)でのみなさまによるサポートにより実現しました。 IPv6に関する技術情報を広く公開するという趣旨に賛同いただき、本書の執筆と制作、公開にあたって多大な協賛をいただきました。ありがとうございます！！！ 「プロフェッショナルIPv6」は、通常の書籍として5000円で

コンピュータの中で扱うときにはIPv6アドレスは128ビットの情報として扱われますが、その128ビットを人間が理解するために文字列で表記することもあります。 IPv4の場合は、「192.0.2.100」のように8ビットごとに「.（ドット）」で区切るドット付き十進表記 (dotted decimal notation)で表現されますが、IPv6の場合は16ビットごとに「2001:db8:11aa:22bb:33cc:44dd:55ee:66ff」のように「:（コロン）」区切りの十六進法で表現されます。 IPv6表記には省略を行うことを前提とした表記ルールがあります。 IPv6アドレスをテキストでそのまま全部書くと長くなりがちなためです。 IPv6の表記に関して注意が必要なのが、2006年に発行されたRFC 4291定義されたIPv6表記法では同じIPv6アドレスに対して複数の表記方法が存在す

IPv6の基本仕様を規定したRFC 2460が廃止されました。RFC 2460が発行されたのは1998年なので、IPv6の基本仕様を規定したRFCが廃止されるのは約19年間ぶり、2回目の廃止です。今後は、RFC 2460を廃止するRFC 8200がIPv6の基本仕様を規定したRFCになります。 Internet Protocol, Version 6 (IPv6) Specification 今後、IPv6の基本仕様に関して勉強、参照、紹介などをする場合には、今回廃止されたRFC 2460ではなく、RFC 8200を利用する必要があります。 RFC 8200が発行されるまでに行われてた議論や、6月時点におけるIETFでの議論に関しては、先月、NTTコミュニケーションズ株式会社の西塚要さんが書かれた記事が素晴らしいので、是非そちらをごらんください。 Internet Watch: 20歳を超

さくらインターネットが、VPSの標準OSイメージでIPv6設定デフォルト無効化を発表しました。 さくらのVPS、標準OSイメージの仕様変更のご連絡 (IPv6設定デフォルト無効化) 発表では、以下のようにあります。 初期状態のおけるセキュリティ向上のため、以下のOSについてIPv6のデフォルト無効化を実施いたします。 有効化手順につきましては、ヘルプページをご用意しておりますのでそちらをご確認ください。 個人的には、IPv6が普及しつつある現状に対する一歩先を行く対応だと思いました。 流石だなぁと。 気づかずに放置されるIPv6セキュリティ 現段階では、IPv6環境でのセキュリティが放置されがちです。 IPv4環境とIPv6環境のセキュリティの差に関して述べられている発表が昨年ありました。 ITU/APNIC/MICT IPv6 Security Workshop : Securing t

IPv6の利用が世界中で増えつつあり、IETFなどのコミュニティではIPv4を廃止しようという動きが以前よりも活発化しています(参考)。 いまのところは、TCP/IPを解説するような文章を書くのであればIPv4を前提とした文章を書きつつ、IPv6の存在も紹介するという方法になりがちですが、今後の状況によっては、IPv4の紹介は「昔はそういうプロトコルがありました」と記述しつつ、IPv6を前提とした技術解説文を書く可能性も考えられます。 IPv6利用者数がIPv4利用者数を大きく超えるような状況になるのかならないのか、なるのであればそれがいつなのかに関しては、現時点では良くわかりません。ただ、「IPv6への移行」を目指して活動するネットワーク関係者の勢いは以前よりも強くなっている印象です。 例示用IPv6アドレスがわかりにくい 「IPv6への移行」を目指す動きが活発化しているものの、TCP/

世界中でIPv6対応が進んでいます。昔は「次世代インターネットプロトコル」と言われていたIPv6ですが、「次世代」ではなく、既に現実として運用されるプロトコルへと成長しました。2016年6月から、iOSアプリの審査基準としてIPv4に依存するコードの禁止が追加され、IPv6対応をiOSアプリの義務なったことからも、IPv6に関する知識が必須となったエンジニアも多いのではないかと思います(Appleの発表)。 IPv6といえば、IPv4で32ビットだったIPアドレスが128ビットへと増えたということ以外は特に知らない方々も多いと思います。ここでは、そんな方々に向けて、IPv6理解のための3つのポイントを紹介をします。 1. IPv4とIPv6は全く別のプロトコル IPv4とIPv6は全く別のプロトコルです。しかも、互いに直接的な互換性はありません。IPv4とIPv6を直接つなぎ合わせても互い

CentOS 6.x で ipv6 を無効化する方法です。 Google で検索すると色々な方法が出てきますが、本家 wiki.centos.org に方法が書いてありました。 5. How do I disable IPv6? ipv6 モジュールは無効化しない ipv6 モジュールを無効化すると SELinux など別の箇所で問題が出るようなので、これはやらない方が良いようです。 /etc/sysctl.conf で設定 /etc/sysctl.conf に以下の設定を追加します。追加した後は再起動もしくは /sbin/sysctl -p で設定を反映させます。 # ipv6 disable net.ipv6.conf.all.disable_ipv6 = 1 net.ipv6.conf.default.disable_ipv6 = 1 $ sudo /sbin/sysctl -p /

○ DNSトラブルシューティング IPv6,DNSSECなどで、DNSサーバの要件が大きくかわっていました。 ISP運用なら不可避な内容なのでメモを。 □ DNSの512byteの壁 元来、DNS問い合わせ・応答は(ヘッダを除く)データサイズが512byte以下でないといけませんでした。*RFC1035 当時のインターネットの信頼性を考慮した時、1パケットでうけとれるサイズ=576byteに入るようにしていたのでした。*RFC791 ＊Aレコードのラウンドロビンで8レコード以上を見ないのはこのサイズが限界になるからのようで IPv6の登場、DNSSEC対応、spam対応のTXTレコード、DomainKeysなどなどDNSデータを使ったやりとりが ふえてきたことにより、DNS応答のデータサイズが512byteというのは現実的ではなくなってきました。 で、512byteの壁をこえるための手法が

相手さんがEDNS0に対応していないDNSサーバーを使っているとこんなエラーが出ます。 Jun 12 04:19:07 test named[915]: DNS format error from 69.50.136.87#53 resolving ipussy.com/AAAA for client 127.0.0.1#58182: invalid response

何年も前の記事で、BINDとMyDNSの連携についてまとめたことがあった。その記事が未だに参照される事が多いので、今回は現在のDNS周りの考え方を整理しておく。結論から言うと、以前と考え方は大分変わり、BIND+MyDNSの構成は既にやめて、BIND単体での運用に切り替えている。MyDNSをコンポーネントから外した理由は幾つかあるのだが、最も大きな理由がオープンリゾルバの問題だ。数年前にオープンリゾルバの脆弱性を利用して悪質な攻撃の踏み台にされてしまう問題が起きた。それ以降リゾルバの利用に対し制限をかけて最低限の範囲でのみ使える設定に変更した。 BINDでオープンリゾルバの問題を回避するには、自ゾーンのみはどこからでも無制限に引けて、それ以外のゾーンは任意の接続元のみ引けるような設定にしたい。しかし、前段BINDで自ゾーンのみ後段MyDNSにforwardする構成の場合はそういう設定が出来

DNS拡張EDNS0の解析 ■0x01.) はじめに 「512バイトの壁」という言葉をご存知だろうか？ TCP/IPネットワークにおいて、信頼性と速度はトレードオフの関係にある。あ たかも仮想的な空間を構築しているかのように見えるインターネットにおいても、 リアル世界の物理的距離を無視しているわけではない。日本のコンピュータから 送信されたデータが、ブラジルのコンピュータに必ずしも届くとは限らない。だ からこそ、信頼性を保障するためのTCPである。 しかし、インターネットの根幹を支えている技術のひとつであるDNS（Domain Name System）ネットワークは、信頼性を失うことと引き換えに速度を重視した UDPにより実現されている。名前解決はインターネットの根幹のひとつであると言 えるだろう。しかし、その割にはあまり注目度が高くない。 今回はそんな、縁の下の力持ちの話である。 ■0x

インターネットの土台「ＩＰアドレス」の日本の管理団体「日本ネットワークインフォメーションセンター」は１日、国際管理団体「ＩＣＡＮＮ」（米カリフォルニア州）が管理していた最後のアドレス在庫が、アジア太平洋地域の管理団体「ＡＰＮＩＣ」に分配されたと発表した。これで中央は在庫切れとなり、ＡＰＮＩＣなど世界に五つある地域管理団体の在庫も今年後半には底をつくと見られる。 　一方でインターネット利用者は世界的に急増しているため、アドレス数を増やした次世代規格への移行作業が進められている。 　３０年前に規格化された現行のＩＰアドレス「ＩＰｖ４」は全部で約４３億個ある。これを２５６のブロックに分けてＩＣＡＮＮが管理、分配している。これまで七つのブロックが残っていたが、最後の五つは地域管理団体に均等配分される取り決めになっているため、残る在庫は二つだけだった。これが日本時間の１日、ＡＰＮＩＣに分配された。残

今のインターネットはIPバージョン4で動作していますが、そのIPv4で各機器を識別するためのIPv4アドレスが遂に事実上枯渇しました(参考)。 長年「枯渇する」と言われ続けていましたが、それが遂に現実の物となりました。 ここでは、IPv4アドレス枯渇とは何かと、それによって何が起きるのかを紹介します。 IPv4アドレス枯渇に関して、アナログ放送の停波と地デジへの移行や、原油枯渇と似たようなものであるような認識が多く見られますが、個人的にはIPv4アドレス枯渇後のIPv4アドレスのアナロジー(類比)としては相撲の親方株の方が近い気がしています。 まず、アナログ放送の停波と地デジへの移行ですが、アナログ放送は2011年7月に一斉に停止します。 しかし、IPv4アドレスの場合は、ある日突然IPv4が使えなくなるわけではなく、今まで使っているIPv4アドレスはそのまま使い続けられるという意味でアナ