約束されたLAN

2025年7月24日原文(tpl.house)

概要

The Promised LAN は2021年から運用されている クローズドな会員制LANパーティネットワーク。ドキュメントの大半はLAN内にあり、 このウェブサイトは外部向けの案内を提供。 社会的・技術的な設計思想をまとめたマニフェスト も公開。ネットワークは Backboneネットワーク を中心に設計、独自の DNSやPKI も運用。 安定性・セキュリティ・運用効率 を重視した構成。

The Promised LANの概要

The Promised LAN は 会員制・招待制の閉鎖型LANパーティネットワーク
2021年から24時間365日運用
主なドキュメントはLAN内で管理、外部向けにはウェブサイトで概要を案内
新規参加希望者や興味を持つ人向けの情報提供
運用方針・目的・技術的・社会的背景をまとめたマニフェスト を公開

マニフェストの意義

The Promised LANの設立理由・目標・社会技術的アプローチ を説明
同様の構成を持つLANの普及促進を目的
社会的側面と技術的側面の密接な関係性 を強調

Backboneネットワーク構成

各LANセグメントはBackboneネットワークに接続
全LAN間を直接接続すると管理が困難 になるため、 Backbone経由で通信
Backboneノードは独立運用・異種構成 （Debian+strongSwan, OpenBSD+ikedなど）
ノード間はIPSecでピアリング
速度・セキュリティ・既存ノード対応を考慮した共通アルゴリズムを採用
- IKE SA認証: HMAC SHA2 512
- IKE SA暗号化: AES 256
- IKE SA DH: Curve25519
- Child SA暗号化: ChaCha20 Poly1305
- Child SA DH: Curve25519
/24アドレス空間をBackbone専用で割り当て
各Backboneは自身のNode IDに基づくIPを持つ
直接接続されたBackboneのみルートをハードコード
ノード群はThe Promised LANのDefault Free Zone (DFZ)を構成

BGPによるルーティング

IPSecリンク確立後、Backbone間はBGPでピアリング
Debianではbird、OpenBSDではbgpdを使用
各ユーザーLANの経路をBackboneネットワーク全体にアドバタイズ

独自DNS設計

独自TLD「.tpl」(The Promised LANの略)を採用
LAN参加時に自動的にドメインを割り当て
参加者は追加ドメイン申請も可能
3つの異なるLANに分散配置したルートDNSサーバ(ns1.tpl, ns2.tpl, ns3.tpl)
各権威DNSサーバはnsdを稼働、設定は中央gitリポジトリからcronで同期
各LANはx.x.x.254の固定IPで自身の権威DNSサーバを運用（運用自動化のため）
再帰リゾルバはBackbone上でanycast IP(x.x.0.1)で運用、unboundを使用

PKI運用方針

TLS利用のため独自x509ルートCAを運用
各CAは3年ライフサイクル
- 1年目: ルート配布と更新
- 2年目: 証明書発行運用
- 3年目: 移行期間（CA無効化前の証明書自然失効待ち）
CA鍵種別: ECDSA P-384、署名: SHA384
X509v3 Name Constraints（critical）で.tplドメイン・メールに限定
証明書発行管理に既存DNSを活用し、ACME等は未導入
各LANはDNS TXTレコード「_pki」にOpenSSH公開鍵を登録
SSH経由でCSRを提出し、DNS上の公開鍵と一致すれば証明書発行
手作業や複雑なワークフローを排除したシンプル運用

まとめ

The Promised LANはセキュアかつ効率的な会員制LANパーティネットワーク
Backbone中心の設計、独自DNS・PKI・BGPルーティングで高可用性と自律性を実現
社会的・技術的な理念と実践の融合を重視
同様の仕組みを志すネットワーク運営者への参考事例

ハクソク