インターネットレジストリが機能しなくなると、実際には何が壊れるのか？

記録管理者が機能しなくなっても、ネットワークは動き続けることがあります。より難しいのは、管理者が交代しても、その記録と依存関係を維持できるかという問いです。

レジストリの機能不全は、一種類の障害ではない

まず、ごく普通のネットワークを考えてみましょう。機器を運用し、他のネットワークに接続し、番号資源を使うことで、他のネットワークがそのトラフィックを別のネットワークのものと区別できるようにしています。レジストリは、それらの資源の記録が一意で利用可能な状態に保たれるよう支援します。すべてのパケットを運ぶ回線ではなく、調整を担う層なのです。

何をもって機能不全とするかを考えるとき、この違いが重要になります。レジストリは、利用不能になることもあれば、信頼できる記録を維持できなくなることもあります。権限の根拠をめぐる紛争に直面したり、運用者が実際には逃れられない条件を課したりすることもあります。ネットワークには電力も顧客も正常なルーターもあるのに、その管理上の基盤が不確かになることがあるのです。

通常、一つにまとめられてしまう四つの異なる問い

レジストリがインターネットを支配していると言うとき、人々はしばしば四つの異なる役割を混同しています。誰がネットワークを運用するのか、誰が番号資源を記録するのか、誰が経路を受け入れるかどうかを決めるのか、そして誰が、その決定の影響を受ける人々を拘束する権限を持つのか、という役割です。

記録が重要だからといって、その管理者がネットワークの所有者になるわけではありません。経路フィルターが運用者を保護するからといって、その作成者に政治的な権限が与えられるわけでもありません。これらの役割を分けると、機能不全が見えてきます。技術的なサービスは続いていても、他のシステムが依存する組織の交代は難しくなりうるのです。

• 運用上の管理権：誰がネットワークと顧客のサービスを稼働させ続けられるのか？
• 記録の完全性：どの資源がどの運用者に対応するのかを、他のネットワークは検証できるのか？
• 経路の受け入れ：どの技術システムが、どの証拠に基づいて経路広告を受け入れるのか？
• 権限の根拠と責任：誰がその決定を行う権限を与え、誰が結果を引き受けるのか？

危険なのは、離脱手段のない依存

一つの組織の内部で冗長性を確保することは有用です。しかし、それは組織自体を交代可能にすることとは違います。サーバー、事務所、委員会がいくつあっても、すべて同じ管理者に属していることがあります。そして、その管理者から離れるには、番号を付け直し、承認を失い、あるいはあらゆる依存関係について交渉し直さなければならないかもしれません。

これが、Lu Hengが論考42と論考52で追っている権力の問題です。運用者、顧客、他のネットワークが管理者の記録を前提としてシステムを構築すると、管理者の事務的な役割は経済的な力を帯びることがあります。組織そのものは小さくても、それを交代させる費用は市場全体に広く及びます。

障害に強い代替体制が守るべきもの

答えは、共通の記録を放棄することでも、互換性のない複数の管理主体が同じ番号への権利を主張することを認めることでもありません。他のネットワークは、一意性について引き続き信頼できる答えを必要としています。必要なのは、より広いネットワークがその資源を認識できる証拠を維持しながら、調整を担う管理者を交代可能にすることです。

論考72は、この提案を最も明確な形で示しています。正確な記録、検証可能な管理権、継続性、そして調整者を変更できる実効性のある権利です。交代の道筋は、危機が起きる前に設計しておかなければなりません。機能不全に陥ってから離脱を交渉すれば、機能不全に陥った当の組織が、なお条件を決める立場に残るからです。

なぜ機能不全を待っていては、すでに遅いのか

紛争は、理論上の権利と、運用で使える権利との違いを明らかにします。運用者は番号を保持したまま記録管理者を変更できるでしょうか。別の管理者は、重複する権利主張を生まずに、同じ事実を検証できるでしょうか。経路、セキュリティに関する表明、契約、顧客の許可リストは、移行後も維持できるでしょうか。

これらの問いに答え、検証するには時間がかかります。論考37は、その緊急性をインフラの問題として捉えています。分散化が有用なのは、会議をより多くの参加者に分散させるときではなく、組織が機能しなくなっても、稼働中のネットワークが存続できる現実の手段をもたらすときです。

読者が実務で確かめるべきこと

所属する組織が依存しているアドレスブロック、またはネットワーク識別情報を一つ選んでください。誰が運用し、誰が記録し、誰が記録を変更できるのか。どのルーティングシステムやセキュリティシステムがそれに依存しているのか。記録管理者が利用不能になれば何が起きるのか。これらを書き出してみてください。そのうえで、決定的な問いを投げかけます。適格な別の調整者が、ネットワークを一からやり直させることなく、引き継げるでしょうか。

答えが「いいえ」なら、リスクはレジストリの稼働率だけにとどまりません。システムによって交代が難しくなっている管理者への依存そのものがリスクです。本シリーズは、ルーティング、事業継続、取締役会レベルでのインフラに関する意思決定を通じて、この問題を追っていきます。