要約

  • RFC 9898 は、Neighbor Discovery の十五の問題を、マルチキャスト、同一リンク上の全ノードへの信頼、Router-NCE-on-Demand という三つの原因で整理する。
  • REACHABLE は ND の手順で最近到達性が確認されたことを示す。アドレスの所有、加入者の本人性、調査期間を通じた権限、アプリ処理の成功は示さない。

調査担当者が欲しかったのは利用者名だった。ネットワーク担当者が最初に出せたのは Neighbor Cache の一行である。IPv6 アドレス、リンク層アドレス、REACHABLE。転送できたことは説明できる。しかし、その一行をどれほど拡大しても、契約者名は現れない。

欠落していたのは表示項目ではなく、別の観測系との接続だった。ルーターは転送のために隣接関係を管理する。加入者を認証するのはアクセス系であり、プレフィックスを付与するのは委任系である。役割を混ぜれば、正常な実装が誤った証言に使われる。

RFC 9898 は新しい解決策を規定する文書ではない。二十を超える RFC に散在した ND の課題を集め、十五の潜在問題を三つの原因にまとめた Informational RFC である。ND が多くの場面でマルチキャストを使うこと、リンク上のノードを信頼する前提、未知の on-link 宛先に対してルーターが NCE を都度作ること。この三点が、規模や利用環境によって別々の弱点になる。

RFC 4861 では、Neighbor Cache、Destination Cache、Prefix List、Default Router List が概念上分けられている。Neighbor Cache は on-link のユニキャストアドレスをリンク層情報へ結び付ける。Destination Cache は宛先の次ホップを保存する。Prefix List は on-link 判定に使われ、Default Router List は利用可能なルーターを管理する。製品内部で同じ表に実装されても、証拠としての意味は別である。

次ホップのリンク層アドレスが分からなければ、ノードは INCOMPLETE の NCE を作り、マルチキャストの Neighbor Solicitation を送り、パケットを待たせる。正当な solicited Neighbor Advertisement を受ければリンク層アドレスを記録し、REACHABLE にして待機パケットを送れる。その後は STALE、DELAY、PROBE を通じて到達性を検証する。

REACHABLE は「この隣接 IP 層への順方向が最近確認された」という実務的な状態だ。STALE はリンク層情報を持つが最近の確認がない状態である。いずれも権利者欄を持たない。契約、貸与、認証、利用期間の連続性を記録せず、キャッシュから消えた後の履歴も保証しない。

Router-NCE-on-Demand は、表を単なるホスト一覧にできない理由を示す。外部から on-link プレフィックス内の存在しない多数のアドレスへパケットを送ると、ルーターは INCOMPLETE を作って解決を試みる。攻撃者が同じリンクにいる必要はない。実在しない宛先が CPU、メモリ、処理時間を消費する。

したがって、INCOMPLETE の行は「ホストがいる」ではなく「問い合わせが未解決」を意味し得る。逆に行がないことも、ホスト不在の証明にはならない。タイムアウト、追い出し、再起動、上限、最近の通信がないことのいずれでも消えるからだ。

RFC 9898 は影響を三つに分ける。NCE 枯渇、初回パケットの遅延や損失、そしてアドレスの説明責任不足である。SLAAC ではホスト自身がアドレスを生成し、ルーターは転送が必要になるまで知らない場合がある。DHCPv6 があっても、snooping や登録などを設計しなければ、転送ルーターに完全な履歴が集まるわけではない。

RFC 6583 が示す未使用空間のフィルタリング、ND 処理のレート制限、既存 NCE の優先は、資源枯渇に対する対策である。インターフェースごとの上限は暴走を止めるが、正当なアドレス数が上限を超えれば必要なエントリーも保持できない。防御されたキャッシュも本人確認台帳にはならない。

RFC 9131 の Gratuitous Neighbor Discovery は、戻りの最初のパケットが来る前に first-hop router へ STALE エントリーを用意できる。解決待ちによる遅延や損失を減らすための仕組みだ。STALE はリンク層情報の先取りであり、現在の到達性や利用権の認証ではない。

SAVI、RA-Guard、DHCPv6 のアドレス登録も目的が違う。SAVI はアドレスを L2 ポートに結び付け、他ポートからの詐称を拒む。RA-Guard は Router Advertisement を送れるポートを制限する。登録は自己生成または静的アドレスを管理系へ知らせる。RFC 9099 はこれらを含む運用上の脅威を整理する。一つの「ND 保護済み」表示にまとめれば、どの事実が未観測か分からなくなる。

RFC 9898 が見いだした共通解はホスト隔離の強さである。L3 と L2 の両方を分ければ、マルチキャスト範囲と信頼範囲が小さくなり、固有プレフィックスによるルーティングで host 向けの on-demand 解決をなくせる。L3 のみなら媒体を共有する余地がある。部分的 L2 隔離は proxy によりマルチキャスト領域を分割する。非隔離型は個別の症状を抑える。

強い隔離には条件がある。多数の論理インターフェース、対応ルーター、集中するホスト間通信、mDNS などのマルチキャストサービスへの影響が生じ得る。RFC 8273 は、同じリンク層アドレスに毎回同じ固有プレフィックスを渡すと追跡しやすくなる点を指摘する。RFC 9663 は DHCPv6-PD で大規模にクライアント別プレフィックスを配れることを示すが、プライバシー判断まで自動化しない。

帰属調査では、各観測を時刻付きで接続する。プレフィックスの委任と有効期間、アクセス認証と session epoch、ポートや無線 bearer、SAVI binding、DHCPv6 登録、NCE の状態遷移を別々に残す。パケット観測とアプリの記録は、その先の配送や処理を証明する。

事故後の現在値で過去を埋めてはならない。privacy address、MAC randomization、再接続、router failover、cache refresh によって、同じ文字列の一部が残ったまま主体が替わり得る。時刻の不確実性と欠落期間も証拠の一部である。

Heng Lu の Running-Code Primacy は、稼働中のコードへ無制限の権威を与える考えではない。ルーターは自ら実行した NCE 遷移を証明し、アクセス系は認証したセッションを、委任系は発行したプレフィックスを、アプリは確定した処理を証明する。それぞれの直接観測を尊重するからこそ、越境を許さない。

現実の層 は表示を実体そのものにしないための規律であり、技術的な支配と実際の主権 の区別は転送能力を所有権へ膨らませない。Minimum Initial Specification に従えば、ND の共通部を薄く保ち、隔離、容量、記録、プライバシー、保持、rollback は現場へ残せる。

経営判断で問うべきなのは、Neighbor Cache に行があったかではない。どのシステムが、どの時間帯に、どの関係を観測し、どの独立記録がその転送状態を責任主体へ結んでいるかである。

Sources