おい、ちょっといいか。
先日、うちのインフラチームで運用しているSaaS基盤のアクセスログを何気なく眺めていたんだ。そうしたら、ある地方都市のカフェからAPIを叩いているはずの開発者のリクエスト元IPアドレスに、見慣れないグローバルIPv6アドレスがポツリと混ざっていた。その開発者は「ちゃんと商用VPNを常時接続している」と豪語していたにもかかわらず、だ。
背筋が寒くなったよ。VPNの暗号トンネルを張っているから安全、なんていうのは現代のネットワークの戦場においては、あまりにもナイーブなおとぎ話にすぎない。彼らは「IPv6リーク」という、現代の境界防御の盲点に綺麗に足を取られていたのさ。
今日は、Web APIの設計やインフラ運用に日々頭を悩ませている実務家のキミに向けて、このIPv6リークがなぜ発生するのか、そのパケットの生々しい挙動と、現場で確実に叩き潰すための具体的な対策を叩き込んでやろう。
—
1. なぜVPNを使っているのにIPが漏れるのか？ IPv6リークの正体
そもそも、多くの商用VPNや個人向けVPNは、歴史的な経緯と実装のズボラさから「IPv4のトンネリング」を主目的として設計されてきた。
キミがカフェのWi-Fiに接続した瞬間、OS（WindowsやmacOS、Linuxなど）はルーターからIPv4アドレスだけでなく、ルーター広告（RA: Router Advertisement）を通じてIPv6のグローバルアドレス（あるいはユニークローカルアドレス）を平然と割り当てられる。
ここで何が起きるか？
VPNクライアントソフトウェアが起動し、tun0 や tap0 といった仮想ネットワークインターフェースを作成し、デフォルトルートをそちらに向ける。ここまでは教科書通りだ。しかし、VPNプロバイダ側のゲートウェイがIPv6ルーティングを完全にサポートしていなかったり、あるいはクライアント側のOSのルーティングテーブルの優先順位（Metric）の競合が発生したりすると、「IPv4パケットはVPNトンネルへ流れるが、IPv6パケットは物理インターフェース（Wi-Fiやイーサネット）から素通しでインターネットへ飛び出す」という、致命的なスプリットトンネル状態が意図せず完成してしまう。
これがIPv6リークのメカニズムだ。パケットキャプチャを取ってみれば一目瞭然、キミが暗号化されていると信じ込んでいるHTTPSリクエストの裏で、OSが勝手に生のIPv6パケットを野ざらしで外界へ送り出している。これでは、プライバシー保護もゼロトラストの文脈も泥水に捨ようなものだ。
—
2. 通信フローの裏側：何が起きているのか
実務的なデバッグの第一歩は、パケットの流れを解剖することだ。正常な状態と、リークが発生している状態のシーケンスを頭に叩き込んでおいてほしい。
[クライアントOS]
│
├── (IPv4宛てパケット) ──> [VPN仮想IF (tun0)] ──> [暗号化] ──> [VPNゲートウェイ] ──> [インターネット]
│
└── (IPv6宛てパケット) ──> [物理IF (Wi-Fi)] ──> (平文のまま) ──────────────────> [ターゲットAPI / サーバ]
▲
ここで真实のIPが丸見えになる！アプリケーション層（例えば、後述するPythonスクリプトやブラウザのFetch API）が、もし接続先ホストのDNS名前解決でAAAAレコード（IPv6アドレス）を先に取得してしまった場合、OSは迷わずその物理インターフェース側の経路を使ってIPv6で接続を試みる。VPNのキルスイッチ（Kill Switch）機能が有効であっても、それがIPv4のパケットドロップにしか対応していない場合、IPv6のトラフィックは完全にスルーパスされてしまうのだ。
—
3. 実践：環境ごとの無効化と対策手順
では、この厄介なIPv6リークを防ぐにはどうすればいいのか。現場で即座に実行できる具体的な設定手順を見ていこう。
手順A：クライアントOS側でIPv6を完全に無効化する（最も確実なアプローチ）
もし開発用マシンのネットワーク環境でIPv6を一切使用する予定がないのであれば、OSのネットワークスタックレベルでIPv6を殺してしまうのが最も確実で泥臭く、かつ確実な防御策だ。
Linux（Ubuntu / Debian系）の sysctl を用いた設定例を以下に示す。/etc/sysctl.conf または専用の設定ファイルに以下を追記し、カーネルパラメータを即座に反映させる。
# /etc/sysctl.d/99-disable-ipv6.conf
# セキュリティ確保のため、すべてのインターフェースでIPv6を完全に無効化する
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1
# 特定の物理Wi-Fiインターフェース（例: wlan0）のみをピンポイントで無効化する場合
net.ipv6.conf.wlan0.disable_ipv6 = 1設定を反映させるには、以下のコマンドを叩く。
sudo sysctl --systemこれで、OSレベルでIPv6のバインドが一切行われなくなるため、アプリケーションが誤ってIPv6で外へ抜け出そうとすることも物理的に不可能になる。
手順B：VPNクライアントのコンフィグ（OpenVPN / WireGuard）での対策
VPNのトンネル自体でIPv6をしっかりと処理、あるいは完全にブロックしたい場合は、プロトコル側の設定をチューニングする必要がある。
例えば、軽量かつ高速な次世代VPNとしておなじみの WireGuard のクライアント設定ファイル（.conf）を記述する際は、ルーティングの設定に細心の注意を払う必要がある。
[Interface]
# クライアントの仮想IP（IPv4）
Address = 10.8.0.2/32
PrivateKey = <クライアントの秘密鍵>
# DNSサーバーの指定（漏洩を防ぐため信頼できるパブリックDNSを指定）
DNS = 1.1.1.1, 8.8.8.8
[Peer]
PublicKey = <サーバーの公開鍵>
Endpoint = 203.0.113.50:51820
# AllowedIPsでIPv4の全トラフィックを強制しつつ、
# IPv6のリークを防ぐために ::/0 をルーティングに含める（またはIPv6を完全に遮断する設計にする）
AllowedIPs = 0.0.0.0/0, ::/0AllowedIPs に ::/0 を含めることで、すべてのIPv6トラフィックも強制的にWireGuardの暗号化トンネル内へ引きずり込むことができる。ただし、接続先のVPNサーバー側がIPv6のルーティング（NAT64やネイティブIPv6）を適切に処理していない場合、この設定をすると外への通信が一切できなくなる。その場合は、VPNプロバイダがIPv6リーク保護（IPv6 Leak Protection）機能を備えているクライアントアプリを使用するか、前述のようにOS側でIPv6を無効化する二者択一になるわけだ。
—
4. デバッグと検証：コードによるリーク検知テスト
インフラやAPIを構築するエンジニアとして、自分の環境が本当に安全かどうかをプログラムで検証できるようにしておくことは必須のスキルだ。
外部のIP確認用API（例：https://api64.ipify.org?format=json など）を叩いて、返ってくるIPアドレスの形式をチェックするスクリプトをPythonで書いてみた。
以下のスクリプトを実務のデバッグ用として手元に置いておくと非常に重宝する。
import ipaddress
import requests
def check_ip_leak():
# ipifyはIPv4とIPv6の両方をサポートしており、接続に使用されたプロトコルでIPを返す
url = "https://api64.ipify.org?format=json"
try:
# タイムアウトを3秒に設定し、ネットワークのデッドロックを防ぐ
response = requests.get(url, timeout=3)
response.raise_for_status()
data = response.json()
current_ip = data.get("ip")
# IPアドレスのオブジェクトを生成してバージョンを判定
ip_obj = ipaddress.ip_address(current_ip)
print(f"[+] 検出されたグローバルIP: {current_ip}")
if ip_obj.version == 6:
print(
"[-] 【警告】IPv6アドレスが検出されました！VPNトンネルからリークしている可能性があります。"
)
else:
print("[+] IPv4アドレスでの通信を確認。安全です。")
except requests.exceptions.RequestException as e:
print(f"[-] ネットワークリクエストに失敗しました: {e}")
if __name__ == "__main__":
print("--- ネットワークのIPリーク検査を開始します ---")
check_ip_leak()このスクリプトを、VPNを接続した状態、およびあえて不安定な公共Wi-Fiに切り替えた状態で実行してみるんだ。もし [+] 検出されたグローバルIP: の部分に普段見慣れないIPv6が表示されたら、キミのインフラ周りの防壁には穴が空いているということだ。
—
5. シニアからの現場の教訓
ネットワークセキュリティの世界において、「デフォルトで安全（Secure by Default）」な環境など存在しない。OSの進化やプロトコルの混在（IPv4/IPv6デュアルスタック）は、常に我々の想像の斜め上を行く挙動を引き起こす。
「VPNを繋いでいるから大丈夫」という思い込みを捨て、パケットがどこを通り、どのインターフェースから外へ出ていっているのかを tcpdump や wireshark、そして今回紹介したようなスクリプトで泥臭く検証し続けること。それこそが、トラブルを未然に防ぎ、堅牢なシステムを作り上げる唯一の王道だ。
さあ、今すぐ手元の開発マシンのルーティングテーブルとIPv6の設定を確認してみなさい。思わぬ穴が見つかるかもしれないぞ。
コメント