ホスティング事業者向けIPブロックリース入門：/24ネイティブIP・LOA・ROA広報の実践

ホストノードでVPSを販売している方や、サイト群（サイトクラスター）を運営している方ならご存じのとおり、ハードウェアはいつでも買い足せますが、本当のボトルネックはIPアドレスです。1台のホストノードで何台のVPSを提供できるか、1つのサイト群でいくつのサイトを運営できるかは、クリーンなCクラス（/24）ブロックをいくつ持っているかで決まります。IPv4はとうに枯渇しており、いまブロックを手に入れる方法は2つしかありません。RIRの移転制度を通じて購入するか、保有者からリースするかです。本記事ではリースに絞り、大口・長期で調達する立場から、ブロックの選び方、必要な手続き、経路広報の方法、そして長く付き合える上流事業者の見極め方を解説します。

要点まとめ

• IPv4はすでに枯渇しているため、ホスティング事業者がIPブロックを入手する方法は、RIRの移転制度による購入か、保有者からのリースの2つしかありません。
• リースしたIPブロックを自社ASNから広報するには、通常LOA・IRRルートオブジェクト・RPKI ROAの3つがそろっている必要があり、ROAがない、またはROAのASNが誤っていると、ROVを実施しているネットワークでは経路がinvalidと判定されます。
• IPブロックをリースする前に、ブロック全体のRBLブラックリスト・不正利用の履歴、ジオロケーションデータベースの登録内容、現地のネイティブIPかどうかを確認すべきです。
• 自社ASNを持たない事業者は、IMIDCの日本・韓国・台湾・米国・モスクワの専用サーバーで、最大 /24 フルブロックまでの複数IPをそのまま利用できます。
• IMIDCはRIPE NCC、APNIC、ARIN、AFRINICの4つのRIRのメンバーであり、LOA、ルートオブジェクト、ROAなどの認可資料の手配をサポートできます。

まず試算を：リースか、購入か、データセンターのIPをそのまま使うか

NodeSeekやHostLocでは、多くの事業者が同じ問題を議論してきました。事業を始めたばかりの段階で、複数IP付きの専用サーバーを借りるべきか、それとも自社でASNを取得し、ブロックをリースして自分で広報すべきか。どちらを選ぶべきかは、主に事業規模とネットワーク運用のスキルがあるかどうかで決まります。

私たちの考えはこうです。まだASNを持っていないなら、まずはIMIDCの日本・韓国・台湾・米国・モスクワの専用サーバーでCクラスのフルブロックをそのまま利用し、最小のコストでホストノード事業やサイト群事業を軌道に乗せましょう。事業が拡大してから、自社ASNとBGP広報を検討すれば十分です。IMIDCはBGP、Anycast、ASN関連のサービスも提供しているため、後からスムーズにステップアップできます。

LOA・IRR・ROA：それぞれの役割

新しく参入した事業者の多くがこの3つを混同し、その結果、ブロックを手に入れても広報できなかったり、一部のネットワークからしか到達できなかったりします。簡単に整理しておきます。

• LOA（Letter of Authorization、委任状）：IP保有者が、あなたのASNに特定のプレフィックスの広報を許可する書面です。通常、保有者、許可されたASN、正確なCIDR、有効期間が記載されます。多くの上流事業者は、BGPセッションを設定する前にこの書面を確認します。
• IRRルートオブジェクト：RIPE、APNIC、RADBなどのレジストリに登録するrouteまたはroute6オブジェクトで、「あるASNが、あるプレフィックスを発信してよい」ことを宣言します。多くの通信事業者はIRRのデータからフィルターを自動生成しているため、登録がないと、一部のネットワークでは経路がそのまま破棄されます。
• RPKI ROA：デジタル署名付きの認可情報です。ROAに基づいて経路発信元検証（ROV）を行うネットワークが増えています。ROAがない、またはROAに記載されたASNが誤っていると、ROVを実施しているネットワークではあなたの経路がinvalidと判定されます。

LowEndTalkやNANOGで繰り返し議論されているように、LOAは書面にすぎず偽造が容易ですが、ROAはRIRが発行するもので検証が可能です。本当にプロフェッショナルな貸し手は、PDFを1枚渡して終わりではなく、3つをまとめて整えてくれます。RIPEコミュニティでも「上流事業者が顧客のプレフィックスを代わりに広報する」運用が議論されており、ROAとIRRの両方で正しい発信元ASNが認可されていれば、これは通常のビジネスであるという結論になっています。また、同じプレフィックスに異なる発信元ASNのROAを複数同時に作成できるため、移行時には新しい経路を先に立ち上げてから古い経路を切ることで、サービスを止めずに移行できます。

ここで4つのRIRのメンバーであることが意味を持ちます。IMIDCはRIPE NCC、APNIC、ARIN、AFRINICのメンバーであり、IPリソースはRIRから正式に割り当てられたもので、出所が明確です。LOA、ルートオブジェクト、ROAといった認可資料が必要な場合もIMIDCが手配をサポートできるため、何社も仲介を経て本当の保有者を探し回る必要はありません。

ブロックの「素性」：レピュテーション、地理情報、履歴

フォーラムで事業者が最も不満を漏らしているのは、価格ではなく「汚れた」ブロックです。前の利用者がスパムを送ったりスキャンを行ったりしてブラックリストの記録が大量に残っている、あるいはIPデータベース上の地理情報が別の国のままで不正スコアが高く、サイト群のインデックスが伸びず、VPSの利用者からも問い合わせが絶えない、といったケースです。

ブロックを受け取る前に、次の3点を確認することをおすすめします。

1. ブラックリストと不正利用の履歴：ブロック全体をSpamhausなど主要なRBLで一括チェックし、隣接するブロックも確認しましょう。同じ /16 内に汚染があると、巻き添えになることもあります。
2. ジオロケーションデータベース：MaxMindやIPinfoなどのデータベースは更新に時間差があり、移転されたばかりのブロックはしばらく旧所在国のまま表示されることがあります。信頼できる上流事業者であれば、データベース事業者とのやり取りを任せきりにせず、修正申請を代行してくれます。
3. ネイティブIPかどうか：日本・韓国・台湾・米国のネイティブIPブロックは、「現地の身元」が必要なサイト群やホストノードの利用者にとってプラス要素です。IMIDCはこれらすべての地域にデータセンターを持ち、現地のネイティブIPを提供しています。モスクワのノードには中国本土へ直結するCN2回線もあり、戻り経路（リターンルート）も中国国内のユーザーに適しています。インドネシアとベトナムのネイティブIPおよび家庭用回線IP（レジデンシャルIP）も、補完的な選択肢として用意しています。

信頼できる上流事業者の条件：不正利用に対応し、KYCを実施している

上流事業者の管理が厳しい、KYCを求められる、苦情を受けると下流に転送してくる、といった点を面倒に感じる事業者もいます。しかし逆の立場で考えてみてください。不正利用にまったく対応しない上流事業者のブロックは、遅かれ早かれRBLでブロックごとブラックリストに載るか、保有者に回収されてしまいます。そうなれば、あなたのホストノードの利用者は一斉にオフラインになり、上流事業者が夜逃げしたのとほとんど変わらない事態になります。

不正利用や追跡に関する苦情に真剣に対応する上流事業者は、Cクラスブロック全体のレピュテーションを守っています。下流の顧客にKYCを求めるのも、あなたの再販事業をコンプライアンスに沿った長期的に安定したものにするためです。サイト群を運営するチームにも改めてお伝えしておくと、ここでいうサイト群とは、現地の法律や検索エンジン・プラットフォームの規約を順守したうえでの複数サイト運営のことであり、自動収集によるスパムサイトやブラックハットSEOではありません。クリーンなブロックにふさわしいのは、クリーンなコンテンツだけです。

調達・受け入れチェックリスト（ホスティング事業者向け）

ブロック、またはフルブロック付きの専用サーバーを受け取ったら、次のチェックリストを1項目ずつ確認し、記録を残しておきましょう。

• [ ] 契約内容とプレフィックスを照合し、CIDR、数量、ゲートウェイ情報が正しいことを確認する
• [ ] whoisで登録元のRIRを確認し、inetnumまたはNetRangeの情報が明確であることを確認する
• [ ] IRRに対応するrouteオブジェクトがあるか、発信元ASNが正しいかを確認する
• [ ] RPKI検証ツールで、プレフィックスのROAステータスがvalidであることを確認する
• [ ] 自社ASNから広報する場合は、LOAの有効期間と許可されたASNが正しいことを確認する
• [ ] ブロック全体をRBLブラックリストで一括チェックし、隣接ブロックも抜き取りで確認する
• [ ] 複数のジオロケーションデータベースで国と都市を抜き取り確認し、不正スコアを記録する
• [ ] rDNSを自分で設定できるか、上流事業者に代行してもらえるかを確認する
• [ ] ホストノード側では、IPMI/KVMが使えるか、Virtualizor、PVE、SolusVM、Convoyをインストールできるか、複数IPを正しくバインドできるかをテストする
• [ ] mtrを実行して往路と復路の経路を確認し、IPが中国本土でブロックされていないことを確認する
• [ ] 不正利用チケットの転送フローと対応方法を把握する
• [ ] 更新、回収、移行に関する条件を契約に明記する

よくある質問

リースしたIPブロックを自社ASNから広報できますか？

できます。ただし、自社ASNを持っていること、そして上流事業者がBGPの設定に応じてくれることが前提です。保有者がLOAを発行し、IRRルートオブジェクトとRPKI ROAの発信元ASNをあなたのASNに変更する必要があります。IMIDCはこれらの認可資料の準備をサポートできます。具体的なご要望は営業担当にご相談ください。

サイト群用サーバーには複数のCクラスが必要です。1台で最大いくつのIPを使えますか？

IMIDCの専用サーバーは複数IPに対応しており、最大で /24 のフルブロックまで提供できます。日本・韓国・台湾・米国では現地のネイティブIPも選べます。複数Cクラスの組み合わせは、プロジェクトの要件に応じてサポートまでご相談ください。

新しくリースしたIPブロックが別の国と表示される場合は？

通常は、ジオロケーションデータベースがまだ更新されていないことが原因です。まずwhoisとgeofeedの情報が正しいことを確認し、そのうえでMaxMindやIPinfoなどのデータベースに修正を申請してください。反映までの期間はデータベースごとに異なり、信頼できる上流事業者であればフォローアップを手伝ってくれます。

VPSを再販するのに、なぜ上流事業者からKYCを求められるのですか？

KYCと不正利用への対応は、IPブロック全体のレピュテーションを守るためのものです。上流事業者の審査が厳しいほど、あなたのブロックがまとめてブラックリストに載ったり回収されたりするリスクは低くなります。これこそ、長期的な上流事業者を選ぶ際に重視すべきポイントです。

長く付き合えるIP上流事業者を選ぶなら

IMIDC（Rainbow Network Limited）は2014年から運営しており、これまでに5,000社以上の顧客にサービスを提供してきました。9拠点のデータセンターを運営し、IPリソースは24か国をカバー、4大RIRすべてのメンバーです。SSD搭載の専用サーバー、10Gbpsアップリンク、DDoS対策を提供し、データセンターはTier3+クラスで2N電源を備え、99.9%の可用性を約束しています。さらに、24時間365日の多言語サポートと無料移行サービスもご用意しています。日本・韓国・モスクワ・台湾・米国でホストノード用やサイト群用のサーバーをお探しの方、Cクラスのフルブロックが必要な方は、大口・長期のご契約について営業・サポート担当までお気軽にご相談ください：https://www.imidc.com

関連記事

• 自社ASNとIPブロックを持つメリット
• BGP・Anycast・ASN入門
• LinuxサーバーにIPを複数バインドする方法

参考資料

• https://lists.ripe.net/pipermail/members-discuss/2019-November/003478.html
• https://kb.leaseweb.com/kb/network-services/how-to-create-route-object-and-roa-records/
• https://ipv4center.com/blog/what-are-roa-loa-ipv4-leasing-transfers
• https://dev.to/kohanevich/the-ipv4-leasing-mistakes-that-will-cost-you-thousands-2i69
• https://lowendtalk.com/discussion/comment/4820199/
• https://ipinfo.io/compare/maxmind-alternative