パスワードを忘れた? アカウント作成
16488070 story
セキュリティ

米国家安全保障局、IPv6 セキュリティガイダンスを公開 31

ストーリー by headless
移行 部門より
米国家安全保障局 (NSA) が IPv6 移行期におけるセキュリティの問題を特定・緩和するためのガイダンスを公開している (プレスリリースガイダンス: PDFThe Register の記事)。

ガイダンスは国防総省 (DoD) やその他のシステム管理者向けに書かれており、ネットワークが IPv6 を使い始めて間がないこと、それにより成熟した IPv6 構成やツールがないこと、IPv4 を同時使用するデュアルスタックシステムでの運用になること、などによる攻撃面増加に注目した内容になっている。ガイダンスの主なポイントは以下のようなものだ。
  • プライバシーの問題がある SLAAC を使わず、DHCPv6 を使用する
  • 必要な場合を除いてトンネリングを避ける
  • デュアルスタックシステムの IPv6 側に IPv4 と同等または上回るサイバーセキュリティシステムを実装
  • 複数の IPv6 アドレスを割り当てたホストがすべてのトラフィックをデフォルトで拒否する設定になっていることを ACL で確認し、すべてのトラフィックを記録することを確実にする
  • すべてのネットワーク管理者が IPv6 ネットワーク管理に必要なトレーニングを受ける

このほか、スプリット DNS の使用や IPv6 トラフィックのフィルタリング、デュアルスタックシステムでのネットワークアドレス変換使用回避などが追加の対策として紹介されている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Canalian (19238) on 2023年01月30日 2時01分 (#4402214)

    光回線でISP側から飛んでくるRAを、途中に機器を入れてインターセプトして、せき止めろってこと?

    それとも、個々のIPv6対応機器「すべて」にRAを無視するように設定して回れと?
    (AndroidやiOS含む)

  • by Anonymous Coward on 2023年01月28日 18時18分 (#4401869)

    これ系で仕事している人は、こういう感覚を持っているんだろうけど、英語を読めるだけの中途半端な素人個人のOPNSENSE使いにはこういう情報はありがたいんですよ。なんとなくボンヤリ考えていたことに、大まかな方向性ができた。勉強する優先順位ができるね。情報提供者に感謝。

  • by Anonymous Coward on 2023年01月28日 18時29分 (#4401872)

    IODATAのルーターで、安価でIPv6対応を謳っている物があったが作りがガバガバだった。

    IPv4がPPPoE認証の時、IPv6はパススルーしか選べず、SPI等外部からのパケットを弾くオプションも選択出来なかった。危なすぎる。

    (今は流通してないと思いたい)

    • by Anonymous Coward

      OSのファイヤウォールじゃあかんの?

      • by Anonymous Coward

        そういえば思ったんですが、AndroidやiOSみたいなモバイルOSってファイヤーウォールに相当する仕組み持ってるんですかね?
        インバウンド通信は全部弾くのがデフォルト?

    • by Anonymous Coward

      IPv4がPPPoE認証の時、IPv6はパススルーしか選べず、SPI等外部からのパケットを弾くオプションも選択出来なかった。危なすぎる。

      万全だとは言わないけど家庭用ならその仕様でも普通じゃないかな。
      あとパススルーとフィルタリングするかって、必ずしも対義語じゃないよ。

      • by Anonymous Coward

        >家庭用ならその仕様でも普通じゃないかな。

        条件を満たすとIPv6 SPIのオプションが現れるのですが、IPv4がPPPoEだとそのオプションが表示されない。
        IODATAに問い合わせた所「それが仕様です。フィルタは機能しません。」との事だったので普通の挙動なのかもしれませんね。

        尚Buffaloだと同条件でもNDプロキシが使用できます。

        >あとパススルーとフィルタリングするかって、必ずしも対義語じゃないよ。

        確かにそれぞれ独立した単語で対義語ではないですね。あくまで「パススルーの時にフィルタ設定が出来ない」という話です。

        • by Anonymous Coward

          尚Buffaloだと同条件でもNDプロキシが使用できます。

          パススルーだとL2スイッチと同じ振る舞いでL3から見て透過だけど、NDプロキシを有効化すると同時にL3を見るようになってセキュリティ機能が使えるようになる機器が多いってことかな。それはNDプロキシの仕様じゃなくて、そのホームルーターの実装がそうってことだよね。

          もちろんFWがあるに越したことはないんだけどさ、個別の機器のセキュリティの重要度があがってて、いまどきAndroidもiPhoneもセルラー回線でグローバルなIPv6アドレスが振られてるわけで。

          • by Anonymous Coward

            NEC atermだとインバウンドは基本的に全拒否のはず。

  • by Anonymous Coward on 2023年01月28日 19時00分 (#4401882)

    中小の一人情シスだけど、アドレス配布やファイアウォール許可禁止と、v4よりやること多くてウンザリ。DHCPでv6情報も送れたらラクなのに

    • by Anonymous Coward

      零細ひとり情シスの俺はv6対応無期限延期中。
      目を配らなきゃいけない箇所が増えてポカミスやらかしそうなので。
      v4のアドレス数増やしただけ版が欲しかった。

      • by Anonymous Coward

        > v4のアドレス数増やしただけ版が欲しかった。
        そうだよなー。v6は機器が勝手にやっちゃうことも多すぎるし、安易には使えない。

      • by Anonymous Coward

        >無期限延期中
        あ、これv6が廃れることにオールインして逃げ続けるやつだ
        俺は違うぞ、ちゃんとv6勉強するから…するから…
        みんなはこうなっちゃだめだぞ…

  • by Anonymous Coward on 2023年01月28日 19時11分 (#4401884)

    IPv6のネットワーク管理に必要なトレーニング

    IPv6を独習するとしたら、何かおすすめの書籍などありますか?
    有識者の方お願いいたします…。

    • by Anonymous Coward on 2023年01月28日 21時17分 (#4401922)

      とりあえず無料の「プロフェッショナルIPv6」から始めるのはどうでしょう?
      https://forest.watch.impress.co.jp/library/software/proipv6/ [impress.co.jp]

      親コメント
    • by Anonymous Coward

      IPv6のネットワーク管理に必要なトレーニング

      IPv6を独習するとしたら、何かおすすめの書籍などありますか?

      習うより慣れろかなぁ
      ググってわからなければ仕様が載っているもの読んでも複雑すぎて分からんと思うよ
      ルーターはメーカごとどころか機種ごとに用語違ったりするから選んだ本が何向けを想定して例示するかでわかりやすさがだいぶ変わるし
      v6環境作って自分で攻撃して防御方法を構築していくほうが身につくと思われ
      一旦慣れれば別の用語使っているものも読み替えで理解できるようになるんじゃないかな

      # 自鯖環境を複製して外から攻撃しどう守るかを構築していけば自然と身につくよ

  • by Anonymous Coward on 2023年01月28日 20時53分 (#4401915)

    現状、イントラネット内からIPv6でインターネット側と通信させる必要性を感じられない
    どうしても業務上通信が必要なサーバやPCを除いて、IPv6なんて全部ブロックしておけばいいとおもう

    • フレッツ光等で IPv6 IPoE なら MTU 1500 octet(byte)。イントラと共通にできます。
      IPv4はPPPoEにしろ、IPv6経由のトンネリングにしろ、2〜3%小さい。

      1フレームに載せられる情報量が違うということもありますが、それよりもMTUを調整する方法によってパフォーマンスが劣化することがあります。

      もちろん通信相手が IPv6 に対応していないと意味がないですが、サイト数ではなくトラフィック量で考えると Google/YouTube, Facebook/instagram などが牽引して結構な量になりますよ。

      国内から Google へのアクセスは IPv4/6 がほぼ半々という時代ですし。
      https://www.google.com/intl/ja/ipv6/statistics.html#tab=per-country-ip... [google.com]

      # インドでは7割がIPv6アクセスなのか…

      親コメント
      • あと IPv6 をブロックしているとフォールバックによるパフォーマンス劣化も珍しくありません。こいつもクライアントの台数が多ければ撲滅するのは至難です。

        親コメント
      • by Anonymous Coward

        そういやDLSiteがIPv6 やな。
        Dアニメも動画データ配信はv6ぽい。

        • サーバを多数接続するときに IPv6 対応していれば IPv4 アドレスを節約することができる時代になっています。国内のクライアントの50%が v6 で通信可能であれば、その分 v6 のみでも良いわけです。

          また、某○○系ネットワークでは余裕のある IPv6 アドレスを Google に払い出しています。IPv4 なら外部アクセスになるところ、IPv6 だと IXP 等を経由しないで Google と通信可能になっており、通信速度がかなり違いました。

          親コメント
      • by Anonymous Coward

        IPv6よりもジャンボフレームをインターネットで通せるように世界中の機器を更新できないものか。1500バイトなんて時台錯誤なフレームサイズが大幅にパフォーマンスを損なっているのは明らかだろうに

        • ある程度ネットワークが組み合わさっていれば、MTU を増やしても再送が増えるばかりでメリットはないと思います。

          イントラネットだけでもジャンボフレームで統一というのはとても難しいと思います。LAN内にギガビット非対応機器をつなげなくなります。プリンタとか。まして無線が絡むと…

          # 世界中の機器を更新できるなら IPv4 も廃止できますね
          # NAT を廃止できれば新しいトランスポート層を設計することもできて、
          # UDP で包まなければならないという制限も外れるか

          親コメント
    • by Anonymous Coward

      まあ、確かにスラドアクセスにはいらんしな。

    • by Anonymous Coward

      哀しいことにその通りなんだよな、IPv6を普及させたい人たちの思いとは裏腹に

    • by Anonymous Coward

      現状IPv6は必須ではなく、使わなくても困らない(IPv6使えなくて困るのはダンシングカメが見れないくらい)、
      なので、IPv6運用ノウハウや、IPv6本格対応が進むまで、IPv4オンリーで困らない

  • これを行うにはIPv6アドレス/64につきユニークなIPv4アドレスが1つ必要になるはずだが、それならもう「たとえば、IPv6を避ける」でいいのでは

    • by Anonymous Coward

      なにを勘違いしてるのか知らんが、IPv6はグローバルアドレスを割り当てられるもんなんだから、むやみにNAT66するなって書いてあるだけだ。
      ストーリーの「デュアルスタックシステムでのネットワークアドレス変換使用回避」はたしかに意味わからんけど。

  • by Anonymous Coward on 2023年01月28日 23時43分 (#4401961)

    IPv6ガン無視して 192.168.x.x で構成してるんだけど、IPv6意識して良いことあるの? 教えてエロい人。

    • Re:家内LAN (スコア:2, 参考になる)

      by Anonymous Coward on 2023年01月29日 9時57分 (#4402029)

      IPv6はトラフィックが空いてるので副次的にNetflixとかAmazon Prime Videoが快適になる。
      ネットゲームの遅延も場合によっては小さくなる。

      全ノードにグローバルアドレスが振られるので、外からアクセスするためにNAT超えを考えなくてよくなる。
      これは逸般的にとても便利。

      親コメント
    • by Anonymous Coward

      IPv6ガン無視して 192.168.x.x で構成してるんだけど、IPv6意識して良いことあるの? 教えてエロい人。

      素人はLAN内IPv6ガン無視でIPv4だけ使っておけば良し。
      慣れてきたらファイアウォール用にLinuxでも飼ってインバウンドは全dropするとともに、LAN側への転送は一切のIPv6パケット通さないようにして壁の外側でだけIPv6喋っとけば尚良し。
      *nixは難しそうだと感じるならL3スイッチ買って、LAN内に一切のIPv6パケットが流れないよう設定しとけばそれでも良し。

      さらにいうとIPv6は全てのデバイスにグローバルアドレスを、がモットーなんで、
      バッファローのNDプロキシとかはジョーク機

typodupeerror

アレゲは一日にしてならず -- アレゲ研究家

読み込み中...