IPinfoのRPKI（Resource Public Key Infrastructure : IPアドレスの経路告知が正しい発信元から出ているかを確認する仕組み）データをもとに、保護範囲の広がり、検証結果の読み方、設定と運用の注意点を整理します。
目次
経路告知の信頼性をどう見ればよいか
企業が外部サービス、クラウド、IPアドレス情報を業務で使うとき、通信が意図した相手へ届いているかは重要ですが、日々の運用では見えにくい領域です。インターネットの経路告知は、これまで信頼に大きく依存してきました。そのため、あるネットワークが本来告知すべきでないアドレスを誤って、または意図的に告知すると、通信が別の場所へ送られ、サービスへ到達できなくなる可能性があります。この記事では、IPinfoのRPKIデータを手がかりに、経路保護の広がり、検証結果の読み方、設定と継続運用で確認したい点を整理します。RPKIは、IPアドレスのまとまりを持つ組織が、どのネットワークにそのアドレスの告知を許すかを署名付きのRoute Origin Authorization (ROA)として公開できる仕組みです。RPKIを確認するネットワーク運用者は、実際の告知をその記録と照合し、確認に失敗した告知を退けることができます。
RPKIで確認できること
RPKIが検証するのは、あるプレフィックス、つまりIPアドレスのまとまりを、どのネットワークが起点として告知してよいかです。ここでいう起点の確認は、経路全体のあらゆる問題を一度に解くものではなく、告知してよい相手かどうかを記録と照らし合わせる作業です。IPinfoの分析では、RPKIの記録がある経路と記録がない経路は、典型的にはそれぞれ596か所と595か所の観測点で見られ、到達の広がりは同程度でした。一方、十分な数のネットワークが確認するようになると、確認に失敗した経路は落とされるようになります。8月にInternet Society Pulseが見た範囲では、RPKI関連の動きは1日あたりのBGP更新量の1%未満で、割合は上がっているものの小さく、RPKI自体が経路を不安定化させているわけではないとされています。導入を検討する側は、記録を作ることと、その記録を照合する側がどう扱うかを分けて理解すると、後続の設定確認へ進みやすくなります。
保護範囲はどこまで広がっているか
全体の広がりを見ると、RPKIで有効とされる経路はすでに大きな割合を占めています。IPinfoの集計では、ルーティングされているプレフィックスの70.3%がRPKI有効で、1年前の54.0%から増え、30%の上昇とされています。この伸びは16.4ポイントで、その前の2年間の3.9ポイント、3.2ポイントより大きい動きでした。IPv4アドレス数で各年9月28日を比べると、RPKI有効な経路にある割合は2023年の42.7%から2024年に47.9%、2025年に53.1%、2026年に65.0%へ上がっています。直近の上昇幅は11.9ポイントで、過去各年のおよそ5ポイントと比べて大きいものです。こうした数値は、導入判断で全体傾向をつかむ材料になりますが、次に見るべきなのは、その増加がどこで起きているかです。
全体の数値だけでは、変化の内訳を見落とすことがあります。中国では、RPKI有効な経路にあるIPv4アドレスの割合が3.7%から83.0%へ上がり、アドレス数で見た世界全体の増加分のほぼ60%を占めました。別の見方をすると、中国のIPv4アドレスは2025年9月に3.7%が有効経路にあり、その1年後には83.0%でした。中国を除いて見ると、この変化が1つの国に大きく寄っていたことが分かります。ただし、ほかの国にも大きな動きがあります。エジプトは23%から99%、カザフスタンは16%から84%、メキシコは37%から78%、南アフリカは38%から60%へ変化しています。担当者が自社の接続先や顧客地域を確認する場合、世界全体の割合だけでなく、国や地域ごとの変化も合わせて見ることで、次の検証対象を絞りやすくなります。
検証結果は数だけでなく広がりで読む
検証の結果を読むときは、無効な経路がいくつあるかだけでなく、どれだけ遠くまで広がったかも合わせて見る必要があります。IPinfoの分析では、典型的な有効経路が596か所の観測点で見られる一方、無効な経路は2か所で見られるにとどまります。また、無効な経路のほぼ半数は1か所の観測点にしか届きません。誤ったネットワークがアドレスを告知する、乗っ取りや誤設定として分かりやすい種類では、71%が1か所にしか届いていません。このため、単に無効な経路の数だけを数えると、ある国がどれだけ影響を受けているかを大きく見せてしまう場合があります。運用レポートや社内説明では、件数、観測点での広がり、誤った起点の種類を分けて示すと、検証結果を次の対応へつなげやすくなります。
RPKIだけでは防げない設定上の隙間
RPKIで有効と判定されることは重要ですが、許可の出し方が広すぎると、別の隙間が残ります。Hetznerの例では、ROAが周辺の/16を対象にし、これは256倍大きなブロックで、/24までの小さい告知を許していました。そのため、偽造された経路はRPKIの条件を満たしていました。さらに、その経路はRPKI有効で、競合する正規の/24がなく、最長一致の仕組みによって優先されました。この状態は、本物のTLS証明書を取得し、Virtualizorの悪意ある更新をハイパーバイザーへ配信するのに足りたとKentikが記録しています。IPinfoの測定では、RPKIで保護されている855,217件のIPv4経路のうち、138,698件、つまり16.2%が、告知された経路より緩いROAを持ち、その隙間を埋める自前のより細かい経路がありませんでした。ここから、RPKIの有無だけでなく、ROAがどの範囲まで許可しているかを確認する必要が見えてきます。
この隙間に関わる代表的な設定がmaxLengthです。maxLengthは、ROAが内部のより小さなブロックも対象にできるようにする設定で、未設定にするとROAは実際に告知されたブロックだけに一致します。RFC 9319では、maxLengthを未設定にすることがベストプラクティスとされています。Hetznerは事象後に3つのプレフィックスを厳しくし、その中には乗っ取られた1つも含まれていましたが、保護対象63経路のうち49経路はなお開いたままとされています。設定レビューでは、ROAを作成したかどうかだけで完了にせず、実際に告知しているブロックとROAが一致しているか、より細かい経路の隙間を残していないかを確認する流れが必要です。
運用では消える保護を監視する
設定したROAは、作って終わりではありません。ROAがなくなると、保護が外れるだけで、見に行かなければ気付かれない場合があります。IPinfoは、過去1年にそうした例を複数見つけています。SEACOMは1月1日に6件のROAのうち4件を失いました。その1つは105.16.0.0/12を対象にしており、およそ100万アドレスのブロックで、その46%がモーリシャスにあります。保護が静かに外れるという性質を考えると、経路の有効性だけでなく、ROAが継続して存在しているかも確認対象になります。これは導入時の一度きりの検査ではなく、運用中に状態が変わる前提で見るべき項目です。
復旧の動きも含めて追うと、運用上の確認ポイントがよりはっきりします。Saudi Telecomは、6つの大きなブロックに対応するROAが3月30日から4月13日の間に消えたことで、合計約160万アドレスを含むその6ブロックを含め、19経路でRPKI保護を失いました。その後、ROAが9月21日と22日に戻ったことで、サウジアラビアのカバレッジは回復しました。モロッコでは、ROAを公開している大規模運用者はOrange Marocだけで、その大半が2025年7月から2026年7月まで、さらに7月25日から9月3日までの2回、見えなくなっています。こうした変化は、ROAの作成、設定範囲の確認、消失時の検知、復旧後の確認を分けずに、継続的な運用の流れとして扱う必要があることを示しています。
改善に向けて確認したい観点
改善の観点は、保護率を上げることだけではありません。IPinfoは、緩いROAが残ることを大きな穴として挙げており、保護対象のIPv4経路の16.2%では、偽造されたRPKI有効経路を許す余地が残るとしています。また、SEACOM、Saudi Telecom、Orange Marocでは、それぞれROAが数か月失われた例がありました。一方で、IPv6のRPKI採用については、2025年初めに減速への懸念がありましたが、その後は加速し、現在はIPv4を上回ったとされています。別の指標でも変化があり、ROAあたりの平均アドレスブロック数は12月末の2.31から2.62へ戻り、公開ポイントは、以前に63から53へ下がったものが73から91へ増えました。改善を考える際は、有効率、ROAの細かさ、消失の有無、IPv4とIPv6の動き、公開の形を合わせて見ることで、次に見直す設定や監視対象を整理できます。
まとめ
IPinfoのRPKIデータからは、経路保護が広がる一方で、設定の緩さとROAの消失を運用上の確認項目として扱う必要があることが分かります。ルーティングされているプレフィックスの70.3%がRPKI有効で、1年前の54.0%から増えていることは、確認の仕組みが広がっていることを示します。RPKIを確認する運用者は告知を署名付き記録と照合し、失敗したものを退けることができますが、RPKIで保護されたIPv4経路855,217件のうち138,698件、16.2%には、緩いROAによる隙間が残っていました。また、ROAがなくなれば保護は外れ、見に行かなければ気付かれません。導入時は、有効率を見るだけでなく、許可範囲の細かさと継続的なROAの存在確認まで含めて判断することが重要です。