いにしえのネットワーク入門

• ルーターの仕事 ── 受け取って、表を引いて、TTL を減らして、次へ渡す
• 経路表と traceroute ── いちばん長く一致する行、寿命 TTL と道のりの調べ方（実測）
• ICMP ── 「時間切れ」「その宛先への道はない」というお知らせ
• 家のルーター ── NAT で住所を付けかえる。外す・外から入るとどうなるか（実測）
• インターネット ── AS と BGP、約107万本の経路

今回の練習用ネットワークは、家（新井さんの PC と家のルーター r1）から、プロバイダの r2、中継の r3、データセンターの r4 を通って、申請を受け取るサーバーまでの一本道です。住所は第4回の 10.0.x.x から、家らしい 192.168.1.10 に変えました。

ルーターは、2つ以上のネットワークに足を持つ機械です。図の r2 なら、左のネットワーク（198.51.100.0/30）では 198.51.100.1、右のネットワーク（198.51.100.4/30）では 198.51.100.5 という、2つの住所を持っています。ルーターが小包を受け取ると、することは毎回同じです。

1. 自分の MAC あてのフレームを受け取り、第2層の封筒（第3回）を開ける。
2. 中の IP の見出しの宛先の住所だけを見る。送信元は見ない。
3. 経路表を引いて、次に渡す相手と、出ていく足を決める。
4. 見出しの TTL を1つ減らす。0 になったら捨てて、送り主に知らせる。
5. 次の相手の MAC を ARP で調べ、新しい封筒に入れて送り出す。

ルーターは、小包がどこから来たのかを気にしません。宛先を見て、次へ渡すだけ。後で、このことが家のルーターの話に効いてきます。

# 家のルーター r1：知らない宛先は全部プロバイダ（198.51.100.1）へ
r1$ ip route
    default via 198.51.100.1 dev wan0
    192.168.1.0/24 dev lan0
    198.51.100.0/30 dev wan0
# プロバイダの r2：デフォルトがない。知っている3つだけ
r2$ ip route
    198.51.100.0/30 dev e0
    198.51.100.4/30 dev e1
    203.0.113.0/24 via 198.51.100.6 dev e1
# データセンターの r4：自分の LAN 以外はすべて r3 へ
r4$ ip route
    default via 198.51.100.9 dev e0
    198.51.100.8/30 dev e0
    203.0.113.0/24 dev e1

1行が1つの道案内です。読み方は3通りしかありません。

家のルーター r1 は、家の中（192.168.1.0/24）と、プロバイダとの間の小さなネットワークしか知りません。それ以外は全部 default、つまり「分からなければプロバイダへ」です。第4回の PC の「デフォルトゲートウェイ」と同じ考え方で、ほとんどの機械はこれで足ります。

プロバイダの r2 には、default がありません。プロバイダの中心のルーターは、世界中のネットワークへの道を1本ずつ持っていて、「分からなければ誰か」に頼る相手がいないからです（第8章）。練習用の r2 は、3行だけ知っています。

いちばん長く一致する行を使う

宛先が2つ以上の行に当てはまったら、どれを使うのでしょう。r2 に大ざっぱな行 203.0.0.0/8 を足して試します。

# r2 に、大ざっぱな経路 203.0.0.0/8 を1本足してみる
r2$ ip route add 203.0.0.0/8 via 198.51.100.6
# 203.0.113.20 は /8 にも /24 にも当てはまる → 長い /24 が選ばれる（行き先が同じなので結果は同じ）
r2$ ip route get 203.0.113.20
    203.0.113.20 via 198.51.100.6 dev e1 src 198.51.100.5 uid 0
r2$ ip route get 203.0.9.9
    203.0.9.9 via 198.51.100.6 dev e1 src 198.51.100.5 uid 0
# 8.8.8.8 はどれにも当てはまらず、デフォルトもない → 送れない
r2$ ip route get 8.8.8.8
    RTNETLINK answers: Network is unreachable

203.0.113.20 は、前の 8 ビットで見ても 24 ビットで見ても当てはまります。こういうとき、ルーターはいちばん長く一致する行（最長一致、longest prefix match）を選びます。長く一致するほど、詳しい道案内だからです。default は長さ 0 の行、つまり「何にでも当てはまるが、いちばん弱い行」です。どれにも当てはまらない 8.8.8.8 は、Network is unreachable（その宛先への道はない）で送れませんでした。

この練習では、経路表を筆者が手で書きました（スタティックルート）。会社やプロバイダのルーターは、となりのルーターと道を教え合って、表を自動で作ります（ルーティングプロトコル。外とは第8章の BGP、中では OSPF などが使われます）。

IP の見出しには、TTL（Time To Live、寿命）という 8 ビットの数があります。送るときに 64 などで始まり、ルーターを1台越えるたびに1つ減って、0 になると捨てられます。サーバーで ping を受けると、届いた TTL は 60 でした。64 から始まり、ルーター4台で4つ減っています。

この寿命を逆手にとって、道のりを調べるのが traceroute です。

# 新井さんの PC から、データセンターのサーバーまでの道のり
$ traceroute -n -q 1 203.0.113.20
    traceroute to 203.0.113.20 (203.0.113.20), 30 hops max, 60 byte packets
     1  192.168.1.1  0.070 ms
     2  198.51.100.1  0.046 ms
     3  198.51.100.6  0.042 ms
     4  198.51.100.10  0.038 ms
     5  203.0.113.20  0.040 ms
# 4台のルーターを越えて、5つ目でサーバーに着いた

TTL 1 の小包は最初のルーターで寿命が尽き、そのルーターが「時間切れ（Time exceeded）」を送り返してきます。その差出人が、1番目のルーターの住所です。TTL 2 なら2番目……と増やしていき、最後は相手に届きます。Linux の traceroute は、使われていなさそうな UDP の番号（33434 番から）あてに送るので、相手は「その番号は使っていない」と返し、それで「着いた」と分かります。

表紙の写真は、このときの記録です。「時間切れ」の知らせの中には、寿命が尽きた元の小包の見出しがそのまま入っていて、送り主は、どの小包の知らせなのかを照らし合わせられます。

r2 は 203.0.113.0/24 を r3 に渡します。その r3 の行を、わざと r2 に向けます。すると、小包は r2 と r3 の間を行ったり来たりします。

# r3 の 203.0.113.0/24 を、わざと r2 に向けて（r2 は r3 に向けたまま）輪にする
r3$ ip route replace 203.0.113.0/24 via 198.51.100.5
pc$ ping -c 1 203.0.113.20
    From 198.51.100.1 icmp_seq=1 Time to live exceeded
# r2 と r3 の間の線を数えると、1回の ping で行き 31 回・帰り 31 回
    r2 e1  tx 31  rx 31  (tcpdump 62)

PC が送った ping は、r1 と r2 で TTL が2つ減って、62 で r2 と r3 の間に入りました。そこから1往復で2つずつ減り、62個目で TTL が 1 になって捨てられ、r2 が「時間切れ」を返しました。この間 0.085 ミリ秒です。TTL がなければ、この小包は線の上を永遠に回り続け、輪に入る小包が増えるほど線が埋まっていきます。

第3回のスイッチのループ（ブロードキャストストーム）と似ていますが、第2層のフレームには寿命がなかったので STP で輪そのものを断ちました。第3層には TTL があるので、輪ができても、小包はいずれ消えます。

「時間切れ」や「その番号は使っていない」は、ICMP（Internet Control Message Protocol）という、IP のためのお知らせです。ping もその一つで、「返事をください（Echo request）」と「はい（Echo reply）」の組です。うまくいかなかったときの知らせを、練習用ネットワークで集めました。

# 道のない宛先へ：プロバイダの r2 が「その宛先への道はない」と返す
pc$ ping -c 1 8.8.8.8
    From 198.51.100.1 icmp_seq=1 Destination Net Unreachable
# 外（サーバー）から家の中の 192.168.1.10 へ：途中の r3 で止まる
srv$ ping -c 1 192.168.1.10
    From 198.51.100.9 icmp_seq=1 Destination Net Unreachable
# 外から家のルーターの住所 198.51.100.2 へ：待ち受けているものがない
srv$ curl http://198.51.100.2:3000/
    Failed to connect to 198.51.100.2 port 3000 after 0 ms: Couldn't connect to server

ICMP は、会社やクラウドのファイアウォールで止められていることがよくあります。ping が通らないのに Web は見られる、ということは珍しくありません。ping が通らないことだけで「つながっていない」と決めつけないように（第12回）。

家の箱は、本来のルーターに、スイッチ（第3回）、Wi-Fi の親機（第2回）、DHCP（第4回）、DNS の中継（第9回）などを詰めこんだものです。中でも、家の中から外へ出ていけるのは、NAT（Network Address Translation、住所の付けかえ）のおかげです。

家の中の PC の住所 192.168.1.10 はプライベートアドレス（第4回）です。世界中の家で同じ 192.168.1.10 が使われているので、外のルーターはこの住所への道を知りません。そこで家のルーターは、外へ出る小包の送信元を自分の外側の住所 198.51.100.2 に書きかえ、その対応を表に覚えておきます。返事は 198.51.100.2 に届くので、表を見て 192.168.1.10 に戻します。申請はちゃんと届き、201 が返りました。

# 家のルーターが覚えている「付けかえの表」（conntrack）
r1$ conntrack -L -p tcp
    tcp      6 119 TIME_WAIT src=192.168.1.10 dst=203.0.113.20 sport=40418 dport=3000
      src=203.0.113.20 dst=198.51.100.2 sport=3000 dport=40418 [ASSURED]
# 行き：192.168.1.10 → 203.0.113.20 ／ 帰り：203.0.113.20 → 198.51.100.2（を 192.168.1.10 に戻す）

表には住所だけでなく 40418 や 3000 といった番号（ポート）も入っています。家の中の何台もの機械が同時に外とやりとりしても、番号で見分けて正しい機械に戻せるわけです（今回は番号はそのままでしたが、ぶつかればルーターが番号も変えます）。この番号の正体は、次回の TCP です。

NAT を外すと

# 家のルーターの NAT を外して、もう一度 ping
pc$ ping -c 3 203.0.113.20
    3 packets transmitted, 0 received, 100% packet loss
# サーバー側の記録：届いて返事もしたが、返事は r3（198.51.100.9）で「その宛先への道はない」と止められた
    192.168.1.10   -> 203.0.113.20   Echo (ping) request seq=1/256, ttl=60
    203.0.113.20   -> 192.168.1.10   Echo (ping) reply seq=1/256, ttl=64
    198.51.100.9   -> 203.0.113.20   Destination unreachable (Network unreachable)

NAT を外すと、ping は全滅しました。サーバー側の記録を見ると、意外にも申請（ping）は届いていて、返事もしています。ルーターは宛先しか見ないので、送信元が 192.168 でも行きは運ばれるのです。ところが返事の宛先は 192.168.1.10。r3 はその住所への道を知らないので、「その宛先への道はない」と捨てました。行きは届いて帰りが迷子になる、というのが NAT のない家の姿です。

外からは入れない

前の章の ICMP の記録の2つ目と3つ目が、外（サーバー）から家の中へ入ろうとしたものです。192.168.1.10 あては途中の r3 で道がなく、家のルーターの住所 198.51.100.2 あては、ルーター自身に届くだけで、中のどの機械に渡せばよいかの表がありません。NAT の家には、外から話しかけられないのです。守りとしては都合がよく、たいていの家のルーターは、さらにファイアウォールで外からの接続を止めています。

家で動かしている開発中のサーバーを外から見せたいときは、決まった番号を中の機械に向けるポート転送（ポート開放）を設定するか、中から外へつないだまま外の入口を借りるトンネルのサービスを使います（第11回）。プロバイダ側でもう一段 NAT をしている場合（CGNAT、第4回の 100.64.0.0/10）は、ポート転送もできません。

インターネットは、プロバイダ、クラウド、大学、大きな会社など、それぞれが自分の方針で運営するネットワークの集まりです。この一つ一つを AS（Autonomous System、自律システム）と呼び、番号（AS 番号）が付いています。AS どうしは、BGP（Border Gateway Protocol）で「この住所のかたまりは、うちの先にある」と教え合います。

データセンターが「203.0.113.0/24 はうちにある」と知らせると、中継は自分の AS 番号を前に足して、プロバイダに伝えます。プロバイダは、届いた道の中から、方針（料金や契約）と通る AS の数を見て1本を選び、経路表に入れます。番号の列に自分がいれば受け取らないので、AS どうしの間では輪ができにくくなっています。

AS どうしは、直接線をつないだり、IX（インターネットエクスチェンジ）という、たくさんの AS が集まって線をつなぎ合う場所でつながったりします。BGP は互いの申告を信じるしくみなので、誰かが間違った道を知らせると、遠くまで影響します。2021年10月に Facebook が数時間つながらなくなったときは、保守作業の命令で自社の基幹網が切れ、それを見た DNS サーバーが自分への道を BGP で取り下げたため、世界中から Facebook の名前が引けなくなりました。

家から traceroute をすると、1番目に家のルーター（192.168 で始まる住所）、2番目あたりからプロバイダのルーターが現れるはずです。途中に * * * が並んでも、最後まで届けば問題ありません。PC の経路表には、default の行と、家のネットワークの行のほかに、VPN や Docker を入れているとその分の行も並んでいます（第11回）。