IPv6時代のセキュリティ対策

<?php
/*
 * 1.IPのリストを取得
 *
 * 2.後処理のためにIPアドレスを長整数表現に変換し
 * 国別コードと合わせて書き出す
 *
*/

<?php
/**
 * 1.リストをソートし国とIPが連続する場合結合
 *
 * 2.IPがCIDR形式（サブネットマスク形式）で割り切れない場合、
 * CIDR形式で表現できるように分割するスクリプト
 *
 */

define( 'TEMP_PATH', '/tmp' );
define( 'OLD_CIDR_LIST_PATH', TEMP_PATH . '/ipv4_cidr_01.txt' );
define( 'CIDR_LIST_PATH', TEMP_PATH . '/ipv4_cidr_02.txt' ); // 書き出すIPリスト

// IPリストをソートしてキーを振り直す
$lists = new SplFileObject(OLD_CIDR_LIST_PATH);
$lists->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);
 
$arr = array();
 
foreach( $lists as $val ){
     if ($val === false) continue;
     $arr[] = $val;
}
asort($arr);
$arr = array_merge($arr);
 
// 国の名前が同じで、現在のip_maxと次のip_minが連続している場合結合する
$i = 0;
 
foreach ( $arr as $key => &$val ) {
 
     if ( isset( $arr[$i + 1] ) ){
          $j = explode( "\t", $val);
          $k = explode( "\t", $arr[$i + 1]);
          if (
               $j[0] == $k[0] &&
               $j[2] == $k[1] - 1
          ){
               $arr[ $i + 1 ] = $j[0] . "\t" . $j[1] . "\t" . $k[2];
               unset( $arr[$i] );
          }
     }
     $i++;
}
 
unset($val); // 参照渡しのリセット

// $cidr_rangesにCIDR形式で使われる4から2147483648の倍数をセット
// 参照：https://note.cman.jp/network/subnetmask.cgi
$range = array();
 
for( $i = 0; $i < 30; $i++ ){
     $ranges[] = pow( 2, $i + 2 );
}
 
$cidr_ranges = array_reverse( $ranges );
 
 
 
/**
 * IPの範囲を調べる
 * ip_range_cidr_splitへIPの範囲を渡してCIDR形式に分割し
 * 新たなファイルに書き出す
 */
$wfp = fopen( CIDR_LIST_PATH, 'w' );
 
foreach( $arr as $key => $val ){
 
     // IPのrangeの取得
     if( ! empty( $val ) ){
          $j = explode( "\t", $val );
          $country = $j[0];
          $ip_min = $j[1];
          $ip_max = $j[2];
          $ip_range = $ip_max - $ip_min + 1;
           
          $split_lists = ip_range_cidr_split( $ip_range, $cidr_ranges );
 
          foreach ( $split_lists as $row ) {
               $ip_max = $ip_min + $row - 1;
               fwrite( $wfp, $country . "\t" . $ip_min . "\t" . $ip_max . "\n" );
               $ip_min = $ip_min + $row;
          }
     }
}
 
fclose( $wfp );

/**
 * IPの範囲とCIDR表記で割り切れる値を渡すと
 * CIDRで表現できるIPの範囲を配列で返す
 *
 * @param int       IPの範囲
 * @param arr       CIDR表記で割り切れる値
 * @return     arr       CIDRで表現できるIPの範囲を配列で返す
 */
function ip_range_cidr_split( $ip_range, $cidr_ranges ) {
 
     $split_lists = array();
 
     foreach( $cidr_ranges as $cidr_range ){
          // $rangeで引いて、残りをもう一度この関数で処理（割り切れるまで実行）
          if( $ip_range == $cidr_range ){ // 割り切れる場合は処理終了
               $split_lists[] = $ip_range;
               return $split_lists;
          } elseif ( $ip_range > $cidr_range ){
               $split_lists[] = $cidr_range;
               $ip_range = $ip_range - $cidr_range;
          }
     }
     return $split_lists;
}

<?php
/**
 * 1.IPをCIDR表記に変換する
 *
 * 2.リストの差分がしきい値を超えた場合はリストを破棄
 *
 * 3.リスト作成の成否をメールで通知する
 *
 */
define( 'TEMP_PATH', '/tmp' );
define( 'OLD_CIDR_LIST_PATH', TEMP_PATH . '/ipv4_cidr_02.txt' );
define( 'TMP_CIDR_LIST_PATH', TEMP_PATH . '/ipv4_cidr_03.txt' );
define( 'CIDR_LIST_PATH', TEMP_PATH . '/ipv4_cidr.txt' );

$lists = new SplFileObject(OLD_CIDR_LIST_PATH);
$lists->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

/**
 * IPをCIDR形式に変換するスクリプトに渡して
 * ファイルへ書き出す
 */
$wfp = fopen( TMP_CIDR_LIST_PATH, 'w' );

foreach( $lists as $list ){
     // IPのrangeの取得
     $j = explode( "\t", $list );
     $country = $j[0];
     $ip_min = $j[1];
     $ip_max = $j[2];
     $split_lists = PlageVersCIDRs( $ip_min, $ip_max );

     foreach ( $split_lists as $row ) {
          fwrite( $wfp, $country . "\t" . $row . "\n" );
     }
}
fclose( $wfp );

/**
 * 保存済みの /tmp/ipv4_cidr.txt にあって
 * 作成した /tmp/ipv4_cidr_03.txt にないものをカウント
 *
 * 変更点が多すぎる場合は
 * ファイルが正常に取得できていないものとみなし更新しない
 * 検査自体は1/2のみで、500の差分がある場合失敗(全体換算で1000）
 *
 * そしてメールで通知する
 */
if( is_readable( CIDR_LIST_PATH ) ) {
     $new_file = new SplFileObject( TMP_CIDR_LIST_PATH );
     $new_file->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

     $old_file = new SplFileObject( CIDR_LIST_PATH );
     $old_file->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

     // 保存されたファイルの1/2の行数を取得
     $old_file->seek( $old_file->getSize() );
     $lines_total = $old_file->key();
     $lines_total = $lines_total / 2;

     $i = 0;
     foreach( $new_file as $val ){
          if( $lines_total < $i ){
               break;
          }
          $new_data[] = $val;
          $i++;
     }

     $i = 0;
     foreach( $old_file as $val ){
          if( $lines_total < $i ){
               break;
          }
          $old_data[] = $val;
          $i++;
     }

     $diff = count( array_diff( $new_data, $old_data ) );
     $diff2 = count( array_diff( $old_data, $new_data ) );

     // 差分が500以下のときに成功、それ以上のときに失敗コピーしない
     if ( $diff < 500 && $diff2 < 500  ){
          send_mail( "成功", $diff + $diff2 );
          copy( TMP_CIDR_LIST_PATH, CIDR_LIST_PATH );
     } else {
          send_mail( "失敗", $diff + $diff2 );
     }
} else {
     send_mail( "新規作成成功", 0 );
     copy( TMP_CIDR_LIST_PATH, CIDR_LIST_PATH );
}

/**
 * メール送信用
 * 成否と差分を記載したメールを送信する
 *
 * @param string    成功もしくは失敗
 * @param int       差分の数値
 */
function send_mail( $flag, $diff ){
     mb_language("Japanese");
     mb_internal_encoding("UTF-8");

     if ( mb_send_mail( "hoge@example.com",
     "IPv4のCIDRリスト作成に「" . $flag . "」しました",
     "CIDRの作成：" . $flag . "。\nCIDRの差分：" . $diff . "。",
     "From: piyo@example.com" ) ){
     } else {
          echo "メールの送信に失敗しました。";
     }
}

/**
 * IPの開始と終了の範囲を渡すCIDR形式（サブネット形式）で返す
 * オリジナルのものはCIDRで表現できない端数の出る値を丸めていた
 * 参照：http://php.net/manual/ja/ref.network.php#75922

 *
 * 一つ前の処理でCIDRで表現可能な数値に分割しているため
 * オリジナルのものはCIDRで表現できない端数の出る値を丸めていたが
 * 正確な値で分割が可能となっている
 *
 * @param int       IPの開始点
 * @param arr       IPの終了点
 * @return     arr       CIDR形式で返す
 */
function PlageVersCIDRs($ip_min, $ip_max) {
     $cidrs = array();
     $ip_min_bin = sprintf('%032b', $ip_min);
     $ip_max_bin = sprintf('%032b', $ip_max);
     $ip_cour_bin = $ip_min_bin;
     while (strcmp($ip_cour_bin, $ip_max_bin) <= 0) {
          $lng_reseau = 32;
          $ip_reseau_bin = $ip_cour_bin;
          while (($ip_cour_bin[$lng_reseau - 1] == '0') && (strcmp(substr_replace($ip_reseau_bin, '1', $lng_reseau - 1, 1), $ip_max_bin) <= 0)) {
               $ip_reseau_bin[$lng_reseau - 1] = '1';
               $lng_reseau--;
          }
          $cidrs[] = long2ip(bindec($ip_cour_bin)).'/'.$lng_reseau;
          $ip_cour_bin = sprintf('%032b', bindec($ip_reseau_bin) + 1);
     }
     return $cidrs;
}

<?php
/*
 * IPv6のCIDR形式の割当リストを作成する
 * IPv4で取得したリストを利用する
 *
*/

define('TEMP_PATH', '/tmp');
define('CIDR_FILTER_PATH', TEMP_PATH . '/ipv6_cidr_01.txt');

$wfp = fopen( CIDR_FILTER_PATH, 'w' );

// ダウンロードしたファイルを全て回す
foreach( glob( TEMP_PATH.'/delegated-*-extended-latest' ) as $filename ) {

     $lists = new SplFileObject( $filename );
     $lists->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

     foreach ( $lists as $line ) {
          if( preg_match( '/(arin|ripencc|apnic|lacnic|afrinic)\|[A-Z]+\|ipv6/', $line ) ) {
               $rows = explode( '|', $line );
                
               $country = $rows[1]; // 国別コード取得
               $ip = $rows[3]; // IPの一番下を指定。後に使う関数用にip2longでIPアドレスを整数型へ変換
               $mask = $rows[4]; // IPの一番上を指定。上のIPに範囲を足して1引いたもの
               fwrite( $wfp, $country . "\t" . $ip . "/" . $mask ."\n" );
          }
     }
}
fclose($wfp);

<?php
/*
 * 1.リストをソートし使える形式で書き出す
 *
 * var    1.0.0     2017/5/11
*/

define( 'TEMP_PATH', '/tmp' );
define( 'OLD_CIDR_LIST_PATH', TEMP_PATH . '/ipv6_cidr_01.txt' );
define( 'TMP_CIDR_LIST_PATH', TEMP_PATH . '/ipv6_cidr_02.txt' );
define( 'CIDR_LIST_PATH', TEMP_PATH . '/ipv6_cidr.txt' ); // 書き出すIPリスト

// IPリストをソートしてキーを振り直す
$lists = new SplFileObject(OLD_CIDR_LIST_PATH);
$lists->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

foreach( $lists as $val ){
     if ($val === false) continue;
     $arr[] = $val;
}
asort($arr);

$wfp = fopen( TMP_CIDR_LIST_PATH, 'w' );
foreach( $arr as $line ){
     fwrite( $wfp, $line ."\n" );
}
fclose( $wfp );

/**
 * 保存済みの /tmp/ipv6_cidr.txt にあって
 * 作成した /tmp/ipv6_cidr_02.txt の差分を調べる
 *
 * 変更点が多すぎる場合は
 * ファイルが正常に取得できていないものとみなし更新しない
 *
 * そしてメールで通知する
 */
if( is_readable( CIDR_LIST_PATH ) ) {
     $new_file = new SplFileObject( TMP_CIDR_LIST_PATH );
     $new_file->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

     $old_file = new SplFileObject( CIDR_LIST_PATH );
     $old_file->setFlags(SplFileObject::READ_AHEAD | SplFileObject::SKIP_EMPTY | SplFileObject::DROP_NEW_LINE);

     foreach( $new_file as $val ){
          $new_data[] = $val;
     }

     foreach( $old_file as $val ){
          $old_data[] = $val;
     }

     $diff = count( array_diff( $new_data, $old_data ) );
     $diff2 = count( array_diff( $old_data, $new_data ) );

     // 差分が1000以下のときに成功、それ以上のときに失敗コピーしない
     if ( $diff < 1000 && $diff2 < 1000  ){
          send_mail( "成功", $diff + $diff2 );
          copy( TMP_CIDR_LIST_PATH, CIDR_LIST_PATH );
     } else {
          send_mail( "失敗", $diff + $diff2 );
     }
} else {
     send_mail( "新規作成成功", 0 );
     copy( TMP_CIDR_LIST_PATH, CIDR_LIST_PATH );
}

/**
 * メール送信用
 * 成否と差分を記載したメールを送信する
 *
 * @param string    成功もしくは失敗
 * @param int       差分の数値
 */
function send_mail( $flag, $diff ){
     mb_language("Japanese");
     mb_internal_encoding("UTF-8");

     if ( mb_send_mail( "hoge@example.com",
     "IPv6のCIDRリスト作成に「" . $flag . "」しました",
     "CIDRの作成：" . $flag . "。\nCIDRの差分：" . $diff . "。",
     "From: piyo@example.com" ) ){
     } else {
          echo "メールの送信に失敗しました。";
     }
}