【ITニュース解説】I checked 288 cloud provider IPs against public records. A few numbers surprised me.

システムエンジニアがクラウド上でサーバーを立てる際、割り当てられるIPアドレスの「素性」が重要になることがある。例えば、そのIPアドレスがスパム行為に使用された履歴がないか、メール送信に問題がないかといった疑問はしばしば発生する。この調査は、大手クラウドプロバイダー（AWS、GCP、Cloudflare）が提供するIPアドレスが、公開情報から見てどのような状態にあるのかを検証したものである。ランダムに抽出された288個のIPアドレスを対象に、リバースDNS、メールブロックリストへの登録状況、BGPによる広告元、RDAP登録情報の4つの観点から分析が進められた。その目的は、個々のIPアドレスの評価方法だけでなく、多数のIPアドレスをまとめた際の全体的な傾向を把握することにある。

リバースDNS (PTR) の調査結果では、リバースDNS（PTRレコード）とは、IPアドレスからドメイン名を検索する仕組みで、メールサーバーの運用などにおいて信頼性を示す重要な要素であることが示された。この調査では、プロバイダーによってPTRレコードへの対応が大きく異なることが明らかになった。GCPのIPアドレスは、調査対象の123個すべてがPTRレコードを持っており、一貫して「xxx.xxx.xxx.xxx.bc.googleusercontent.com」のような形式で統一されていた。一方、AWSのIPアドレスでは、約半数（52%から42%）がPTRレコードを持っていた。これらは「ec2-15-181-82-64.compute-1.amazonaws.com」のような形式であったり、顧客が独自に設定したドメイン名を指したりするケースが見られた。CloudflareのIPアドレスについては、15個中1個（6.7%）のみがPTRレコードを持っていた。そのレコードもCloudflareのDNSノードを指すものであった。これは、CloudflareのIPアドレスが主にプロキシやオリジンサーバーへの接続（オリジンプル）のために使用されるという意図を示唆している。PTRレコードは特にメール送信において重要である。Googleのガイドラインでは、メール送信元のIPアドレスが有効な逆引きDNSを持つことを要求しており、MicrosoftもPTRレコードがないIPアドレスからのメールは拒否することが多いと明言している。つまり、PTRレコードが適切に設定されていないIPアドレスからメールを送信した場合、ブロックされることは予測可能なリスクとなる。

メールブロックリストの調査結果では、メールブロックリストとは、過去にスパムメール送信元として報告されたIPアドレスを登録し、スパム対策に利用されるデータベースであることが示された。この調査では、選定された8つの主要なブロックリストに対して288個のIPアドレスが照合された。結果、調査対象のIPアドレスのうち約4.5%、具体的には13個が少なくとも1つのブロックリストに登録されていた。興味深いことに、これらの13個のうち12個は「dnsbl.spfbl.net」という特定のブロックリストに集中して登録されていた。プロバイダー別の内訳では、AWSシンガポールが3個、GCP全体で5個、Cloudflareが5個（15個中33%）ブロックリストに載っていた。Cloudflareの登録率が比較的高く見えるが、これはサンプル数が少ないため断定はできない。この調査には重要な制約が一つある。Spamhausの「ZEN」リストが公開DNSリゾルバからのクエリを拒否したため、調査対象から外された点である。そのため、示された4.5%という登録率は、実際のブロックリスト登録率の最低値であり、Spamhaus ZENを含めれば、さらに高くなる可能性がある。この結果から、大手クラウドプロバイダーが提供するIPアドレスの大部分は「クリーン」であることが読み取れる。もしIPアドレスがブロックリストに登録された場合、それは通常、利用者の運用方法（大量メールの送信、不用意に公開されたプロキシなど）に起因することが多いと推測される。

BGPによるIPアドレスの広告者の調査結果では、BGP（Border Gateway Protocol）は、インターネット上でIPアドレスブロックがどのネットワークによって管理・広告されているかを示す重要なプロトコルであることが示された。これはIPアドレスの「所有者」を特定する上で有用な情報となる。この調査では、288個のIPアドレスのBGP広告元が確認された。調査対象のIPアドレスのうち96.5%はBGPによって広告されていることが確認された。広告が確認できなかったIPアドレスはAWS us-east-1リージョンに集中しており、AWSがより大きなIPアドレスブロック単位で広告しているため、調査で使われた「/24」という単位では特定しきれなかった可能性が高い。特に興味深いのは、一部のIPアドレスが、そのIPアドレスが含まれるクラウドプロバイダーの公開範囲内にあるにもかかわらず、異なる組織によって広告されているケースが発見された点である。例えば、AWS us-east-1リージョンのIPアドレス（155.146.3.47など）が「Verizon Business」の自律システム（AS）によって広告されていたり、GCP us-central1リージョンのIPアドレス（34.0.225.187など）が「YOUTUBE, Google Ireland」のASによって広告されていたりする事例があった。これらの事例は、「クラウドプロバイダーが公開しているIPアドレス範囲内のIPアドレスが、必ずしもそのクラウドプロバイダー自身のASに属しているわけではない」という重要な事実を示している。大規模な顧客がBYOIP（Bring Your Own IP）という仕組みを利用して自社のIPアドレス空間をクラウドプロバイダーに持ち込む場合、そのIPアドレスブロックのBGP広告は顧客自身のASから行われる。そのため、IPアドレスの所有者をAS番号だけで判断しようとすると、情報が食い違う可能性があるため注意が必要である。

RDAP登録情報の調査結果では、RDAP（Registration Data Access Protocol）は、IPアドレスやドメイン名の登録情報を問い合わせるためのプロトコルであることが示された。これは、IPアドレスの登録者情報や、abuse（不正利用）に関する連絡先などを確認するために利用される。この調査では、288個のIPアドレスのうち286個がRDAPハンドルを持っており、285個が不正利用報告のための役割情報（abuse role）を公開していた。これは、ほぼすべてのIPアドレスについて登録情報が公開されていることを意味する。IPアドレスの登録者としては、Google LLC、Amazon.com, Inc.、Cloudflare, Inc.といった大手クラウドプロバイダーやその関連会社がほとんどを占めていた。しかし、RDAPデータでよく誤解される点の一つに、「国」フィールドがある。多くの人は、このフィールドがIPアドレスの物理的な地理的位置を示していると考えるが、実際はそうではない。RDAPの「国」フィールドは、そのIPアドレスを登録した組織の本社所在地や、登録手続きが行われた場所を示しているに過ぎない。例えば、AWSジャパンのIPアドレス範囲は「Amazon Data Services Japan」と表示されるが、ヨーロッパのホスティング会社のIPアドレスではRDAPが単にその会社の本社所在地を返すことがよくある。これは、IPアドレスが実際に利用されているデータセンターの物理的な場所とは異なる場合が多い。したがって、IPアドレスの物理的な場所を判断する際には、RDAPの登録データのみに頼るべきではない。他の情報源と合わせて総合的に判断することが重要である。

この調査は、システムエンジニアがクラウドプロバイダーから提供されるIPアドレスの「素性」を理解する上で非常に貴重な洞察を提供する。IPアドレスに適切なPTRレコードが設定されているか、メールブロックリストに登録されていないか、BGPで正しく広告されているか、そしてRDAPに登録された情報が何を意味するのかを理解することは、安定したサービス運用やトラブルシューティングにおいて不可欠である。特にメールサーバーの運用や、特定の地域のユーザーをターゲットにするサービスを構築する際には、IPアドレスのこれらの属性が直接的な影響を与える可能性があるため、これらの調査結果は実務に役立つ知識となるだろう。公開されているIPアドレスの情報を正しく読み解く能力は、今日のクラウド環境でシステムを構築・運用する上でますます重要になっている。