要約

  • IPv6 Neighbor Discovery YANGモデル第08版は、2026年9月16日までIETF最終意見募集に付されている。書き込み可能なauto-resolveは、ログ記録、NDメッセージの破棄、送信元ホストの遮断につながり得る。
  • 9月5日に完了したINTDIRレビューは「問題はあるが準備済み」と評価しつつ、enhanced-dad/auto-resolveが機微な書き込み可能ノードの列挙から漏れているように見えると指摘した。
  • 標準モデルが示す統計は集計値であり、個々の遮断判断を復元する記録や解除操作ではない。導入時には帰属根拠、各措置の成否、期限、解除手段を別々に保証する必要がある。

構文の合格と運用判断の合格は別である

この草案は、IPv6のアドレス解決、Redirect、Proxy Neighbor Advertisement、Neighbor Unreachability Detection、通常および拡張Duplicate Address Detectionを、共通の管理モデルに収めようとしている。Datatrackerでは第08版がProposed Standardを目指す最終意見募集の状態にあり、YANG検証はエラーも警告もゼロだ。

形式検証がきれいであることは重要だが、設定がもたらす権限まで検証したことにはならない。Carlos PignataroによるINTDIRレビューは、まさにそこを分けた。草案は安全な管理通信、相互認証、NACMによるアクセス制御を挙げている。それでも、誰がスイッチを変更できるかと、変更後に装置が誰をなぜ遮断したかは別の問いである。

RFC 7527が想定したのは限定された信頼関係だ

自動処理の出発点はRFC 7527にある。同RFCは、信頼されるルーターが信頼されないIPv6ホストを収容するネットワークを想定した。代表例はケーブルブロードバンドである。アクセス集約装置が自分の仮アドレスまたはOptimistic DAD中のアドレスとの真の重複を見つけた場合、管理メッセージを残し、受信したNDメッセージを落とし、レイヤー2のサービス識別子に結び付くモデムを遮断することを推奨している。

ここで重要なのは、遮断があらゆる重複検出の一般則ではないことだ。同じ信頼モデルを持つネットワークに限った追加措置であり、通常の基準はRFC 4862の失敗処理に戻る。YANGの説明も信頼されるルーターと信頼されないホストという文脈を残すが、葉そのものは再利用可能なインターフェース設定に置かれる。したがって、導入プロファイル側で、信頼境界と帰属手段が実際に成立していることを示さなければならない。

DADの検出結果だけでは本人確認にならない

拡張DADは、ノード自身のNeighbor Solicitationがネットワークから戻り、本物の重複に見える問題をnonceで見分ける。分類精度を上げる仕組みではあるが、暗号学的な本人確認を完成させる仕組みではない。

RFC 4862はDuplicate Address Detectionが完全には信頼できないと明記する。RFC 7527も、攻撃者がnonceを変えたり、偽のNeighbor AdvertisementですべてのDADプローブに応答したりできると説明し、SENDを推奨する。SAVIも関連する防御として示される。攻撃者が引き金を作れる余地がある以上、観測したパケットとサービスを止める対象との間には、検証可能な帰属の鎖が必要になる。

ケーブル網ではレイヤー2サービス識別子がその鎖を支える。他の媒体や仮想化されたアクセスでは、識別子が共有、短命、あるいは未提供かもしれない。IPv6アドレスをそのまま永続的な加入者識別とみなすことはできない。

集計カウンターから個別の判断は再現できない

第08版には、インターフェース単位でNDメッセージの受信、送信、破棄を数える詳細な統計がある。異常の発見や傾向把握には役立つ。しかし、あるホストが遮断された理由を一件ずつ説明する台帳ではない。

草案の標準ツリーには、検出したメッセージ種別、インターフェース、対象アドレス、レイヤー2での帰属、ポリシー版、各処理の結果、解除条件を一つに結ぶ執行イベントが定義されていない。標準化されたunblock操作や自動失効もない。ベンダーが独自に通知やログ、復旧コマンドを追加することは可能だが、同じ標準スイッチをオンにしても同じ説明能力が得られるわけではない。

実装を採用する前に、運用者は判断票を要求すべきだ。検出分類、時刻、インターフェース、重複したアドレス、帰属方法、設定の出所、ポリシー版を保存し、記録、破棄、遮断の結果を別々に示す。遮断には範囲、期限、理由コード、試験済みの解除経路が要る。これらがなければ、簡単な真偽値は複雑な失敗を不可視にする。

情報源