Number Resource Society
RPKI と IRR：違いは何か、なぜ両方が必要なのか
RPKI は、どの AS がプレフィックスを起源として広告できるかを暗号学的に検証します。IRR は、経路ポリシーと運用上の意図を記録します。役割が違うため、両方を運用に組み込む必要があります。
このページの内容
ルーティングにおける二つの信頼の仕組み
この解説では、RPKI と IRR が答える問いの違い、組み合わせ方、そして資源ガバナンスとの関係を整理します。現在の数値として扱う前に、原文の主張は最新資料で確認してください。
ルーティングの安全性は、ツールを一つ導入すれば終わるものではありません。更新されるデータ、独立した検証、説明可能な判断が必要です。
なぜルーティングセキュリティが重要なのか
BGP はネットワーク間の到達性を伝えますが、広告の正当性を暗号学的に証明する仕組みをもともと持っていません。設定ミスや経路漏えい、意図的なハイジャックは、停止やトラフィックの迂回を引き起こします。
インターネットへの依存が深まるほど、暗黙の信頼だけに頼ることはできません。
IRR が提供するもの
IRR は、どのプレフィックスをどの AS が起源とし、どのような関係で経路を交換するかという運用上の意図を公開します。RPSL オブジェクトはフィルター作成にも使われます。
一方、登録内容は人が更新します。古いオブジェクトや矛盾した記録は、誤ったフィルターにつながるため、IRR は継続的な確認が必要です。
RPKI が変えること
RPKI は署名された ROA によって、プレフィックスと許可された起源 AS を結び付けます。検証器は VRP を作り、ルーターは ROV によって公告と照合できます。
これは起源の許可を検証する仕組みです。完全な所有権の証明や、すべての経路・ピアリング関係を表すものではありません。
なぜ RPKI は IRR の代わりにならないのか
RPKI が答えるのは「この AS はこのプレフィックスを起源としてよいか」という問いです。IRR はより広い経路ポリシーを扱います。片方だけでは運用上の情報が不足します。
RPKI の導入と検証はまだ一様ではありません。ROA がない場合や NotFound の場合にも、IRR の文脈は役に立ちます。
両方を組み合わせる方法
IRR を基礎的なフィルターとポリシーに使い、RPKI で起源を別に確認する方法が実務的です。Invalid は拒否し、NotFound の扱いは自組織のポリシーとして明記します。
記録が衝突したときの優先順位、例外、手動確認、ロールバックを事前に決めておくことが重要です。
ルーティングはガバナンスでもある
二つの仕組みの品質は、データに責任を持つ人と、誤りを訂正できる仕組みに左右されます。資源の責任が曖昧なら、技術的な制御も弱くなります。
NRS は、IP 資源の透明な責任、追跡可能な判断、運用者が参加できるガバナンスを重視します。ツールを支える制度も、ツールの一部です。
よくある失敗
ROA を作ったままネットワーク変更に合わせて更新しないと、正当な公告が Invalid になることがあります。RPKI だけを導入し、IRR を整理しない場合も同じように危険です。
プレフィックス、起源 AS、ROA、IRR を変更管理に含め、定期確認と判断の記録を残してください。
多層防御が必要な理由
インターネットは分散し、ネットワークごとに機器とポリシーが違います。一つの仕組みですべてを守ることはできません。IRR は意図を、RPKI は起源の許可を扱います。
監視と復旧手順も必要です。制御の限界を定義せずツールだけ増やすと、かえって誤った安心感を生みます。
まとめ
IRR と RPKI は別の弱点に対応します。IRR は広い文脈を与えますが、記録の精度を維持する必要があります。RPKI は強い起源検証を提供しますが、対象は限定されています。
両方を使うことは現実的な防御になります。ただし効果は、資源の責任、データの質、影響を受ける運用者が判断に異議を唱えられるかどうかにかかっています。
よくある質問
RPKI は IRR より安全ですか？
起源検証では署名により強い証明を提供します。ただし IRR のポリシー情報を置き換えるものではありません。
なぜ今も IRR を使うのですか？
RPKI が扱わないポリシーや関係を記録でき、RPKI の適用が不完全な範囲でも使えるからです。
RPKI ですべての BGP ハイジャックを防げますか？
いいえ。起源型の問題を減らしますが、経路操作や設定ミス、未カバーの資源には別の対策が必要です。
IRR と RPKI が食い違ったらどうしますか？
公開したローカルポリシーに従い、Invalid の扱いを実行し、記録と実際の変更を人が確認します。
NRS はルーティングセキュリティとどう関係しますか？
NRS は IP 資源の透明な責任と参加できるガバナンスを促します。各運用者の技術判断を代行するものではありません。
編集注：現在の数値として再確認する
2026 年 1 月 1 日公開、2026 年 6 月 12 日更新。原文の統計と引用は日付付きの資料として残しています。現在の判断には RFC、APNIC、関係する RIR の最新情報を使ってください。
委任する前に理解する
まず IRR、ROA、ROV の範囲を確認してください。NRS Shield は支援への入口です。代表権限を委任する POA は、範囲・期間・撤回方法を別途確認する書面上の判断です。