IPv4とIPv6を共存させる理由

IPv4は現在も多くの社内システム、ネットワーク機器、アプリケーション、インターネットサービスで利用されています。 一方で、IPv6へ対応した回線、クラウド、OS、モバイルネットワーク、コンテンツも増えています。

企業ネットワークでIPv6を導入するとき、次のすべてを同じ日に変更するのは現実的ではありません。

共存・移行で使う3つの方法

IPv4とIPv6の共存方式は、大きく次の3つに整理できます。

デュアルスタックの仕組み

デュアルスタックでは、端末、ルーター、サーバーなどがIPv4とIPv6の両方を実装し、 それぞれのアドレス・ルーティング・通信処理を持ちます。

デュアルスタック端末の設定例

デュアルスタックのメリット

• IPv4専用の相手にはIPv4、IPv6対応の相手にはIPv6で通信できる
• 既存のIPv4サービスを維持したままIPv6を追加できる
• アドレス変換を行わず、ネイティブなIPv4・IPv6通信を実現しやすい
• 段階的にIPv6対応範囲を広げられる

デュアルスタックの注意点

• IPv4用とIPv6用の2系統を設計・監視する必要がある
• ACLやファイアウォールを片方だけ設定すると、意図しない通信経路が残る
• DNS、ロードバランサー、プロキシ、監視ツールなども両方へ対応させる必要がある
• 障害時に、実際にどちらのプロトコルが使われたか確認する必要がある

IPv4とIPv6はどのように選ばれるか

デュアルスタック端末がホスト名で通信するときは、DNSの応答が重要です。 DNSでは、IPv4アドレスをAレコード、IPv6アドレスをAAAAレコードで通知します。

1. クライアントがホスト名を名前解決する DNSへAレコードとAAAAレコードを問い合わせます。
2. 利用可能な宛先アドレスを取得する サービスが両方へ対応していれば、IPv4アドレスとIPv6アドレスを取得できます。
3. OSやアプリケーションが接続先を選ぶ 端末のアドレス、経路、アドレス選択ルール、接続結果などに応じて利用するIPバージョンが決まります。
4. 選ばれたIPバージョンの経路で通信する IPv4を選んだ場合はIPv4ルーティング、IPv6を選んだ場合はIPv6ルーティングを使用します。

トンネリングの仕組み

トンネリングは、あるIPプロトコルのパケットを別のIPプロトコルのパケットへ格納し、 途中のネットワークを通過させる方法です。

代表的な考え方は、IPv6に対応した拠点同士の間にIPv4専用ネットワークがある場合、 IPv6パケットをIPv4パケットで包んで運ぶ構成です。

トンネリングの処理

1. 入口装置が元のIPv6パケットを受信する 宛先はトンネルの先にあるIPv6ネットワークです。
2. IPv6パケットをIPv4パケットの中へ格納する 外側のIPv4ヘッダーには、トンネル入口と出口のIPv4アドレスを使用します。
3. IPv4専用ネットワークを通過する 途中のルーターは外側のIPv4ヘッダーを見て転送します。
4. 出口装置が外側のIPv4ヘッダーを取り外す 元のIPv6パケットを取り出し、IPv6ネットワークへ転送します。

トンネル設計で注意すること

NAT64・DNS64による変換

プロトコル変換は、IPv6専用ネットワークとIPv4専用ネットワークの境界で、 パケットのアドレスやヘッダーを変換する方法です。

代表例が、NAT64とDNS64を組み合わせた構成です。 IPv6専用クライアントからIPv4専用サーバーへ、ホスト名を使って接続できるようにします。

DNS64の役割

IPv4専用サーバーにはAレコードしか存在しません。 IPv6専用クライアントがAAAAレコードを必要とすると、DNS64はAレコードを基に、 NAT64で使用するIPv6プレフィックスを付けた合成AAAAレコードを生成します。

IPv4サーバーのAレコード
example.test.  A     192.0.2.80

DNS64が返す合成AAAAレコードのイメージ
example.test.  AAAA  64:ff9b::c000:250

上の末尾c000:0250は、IPv4アドレス192.0.2.80を16進数で表した部分です。 実際に使用するNAT64プレフィックスは環境設計によって決まります。

NAT64の役割

IPv6クライアントは、合成されたIPv6アドレス宛てにパケットを送ります。 NAT64装置は宛先に埋め込まれたIPv4アドレスを読み取り、IPv4パケットへ変換してサーバーへ送ります。 戻りのIPv4パケットは、対応するIPv6パケットへ変換してクライアントへ返します。

NAT64・DNS64で確認する項目

• DNS64がAレコードを取得し、正しい合成AAAAを返しているか
• NAT64プレフィックスへのIPv6経路が存在するか
• NAT64装置に変換セッションが作成されているか
• NAT64装置からIPv4サーバーまでの経路・戻り経路があるか
• IPv6側とIPv4側のファイアウォールポリシーが許可されているか
• アプリケーションがIPv4アドレスを直接埋め込んでいないか

464XLATの基本

464XLATは、IPv6専用ネットワーク上で、IPv4通信を必要とするアプリケーションを動かすための変換方式です。 端末側または端末に近い場所で行う変換と、ネットワーク側のNAT64を組み合わせます。

共存方式の比較と選び方

基本的な判断順序

1. 通信する両端がIPv6へ対応できるか確認する 両端と経路が対応できるなら、ネイティブIPv6またはデュアルスタックを検討します。
2. 途中のネットワークだけがIPv6へ対応していないか確認する 両端はIPv6対応だが中間区間がIPv4専用なら、トンネルが候補になります。
3. 片方がIPv4専用、もう片方がIPv6専用か確認する 直接同じプロトコルを使えない場合は、NAT64などの変換方式を検討します。
4. 運用・セキュリティ・障害対応まで比較する 導入できるかだけでなく、監視、ログ、試験、切り戻し、担当者の運用負荷を確認します。

設計・運用で確認するポイント

IPv6を有効にする前の試験項目例

IPv4・IPv6共存環境の確認コマンド

共存環境では、IPv4とIPv6を明示的に分けて確認することが重要です。 コマンドの構文や出力はOS・機種・バージョンによって異なります。

Windowsでの確認

Linuxでの確認

Cisco IOS系での確認例

Router# show ip interface brief
Router# show ipv6 interface brief
Router# show ip route
Router# show ipv6 route

Router# ping 192.0.2.80
Router# ping 2001:db8:80::80
Router# traceroute 192.0.2.80
Router# traceroute 2001:db8:80::80

Router# show ipv6 interface GigabitEthernet0/0

GigabitEthernet0/0 is up, line protocol is up
  IPv6 is enabled, link-local address is FE80::1
  Global unicast address(es):
    2001:DB8:10::1, subnet is 2001:DB8:10::/64
  Joined group address(es):
    FF02::1
    FF02::2

障害切り分けの進め方

共存環境の障害対応では、最初に「IPv4の問題か、IPv6の問題か、両方の問題か」を分けます。

1. 実際に使用しているIPバージョンを確認する A・AAAAレコード、接続先アドレス、パケットキャプチャー、セッション情報を確認します。
2. IPv4とIPv6の疎通を個別に試験する ping -4とping -6を使い、片方だけ失敗していないか確認します。
3. 端末のアドレスとデフォルトルートを確認する IPv4アドレス、IPv6グローバルアドレス、リンクローカルアドレス、双方の経路を確認します。
4. 経路と戻り経路をプロトコル別に確認する IPv4ルーティングテーブルとIPv6ルーティングテーブルは別々に確認します。
5. ACL・FW・NAT・トンネルを確認する 片方のプロトコルだけ許可設定が不足していないか、トンネルや変換セッションが成立しているか確認します。
6. DNSとアプリケーションの動作を確認する A・AAAA・合成AAAA、IPv4リテラル、プロキシ、ロードバランサーなどを確認します。
7. パケットキャプチャーで失敗地点を特定する IPv4はARP・ICMP・IPv4、IPv6はNDP・ICMPv6・IPv6を分けて追跡します。

症状から考える原因候補

パケットキャプチャーで見るポイント

調査結果の報告例

IPv4とIPv6の共存に関するよくある勘違い

自分の言葉で説明する課題