DNSと名前解決

キャッシュDNSと権威DNSの役割

キャッシュDNS（再帰リゾルバー）は、利用者の代わりに必要な情報を調べ、結果を一定期間保持します。権威DNSは、自分が担当するゾーンの情報を持ち、その情報に基づいて応答します。

同じソフトウェアが両方の機能を持つ場合でも、問題を読むときは役割を分けて考えます。「利用者の代わりに探す」のか、「担当する名前の情報を答える」のかに注目してください。

名前解決の流れを追う

例として www.example.com のIPv4アドレスを調べます。以下は、必要な情報がまだキャッシュにない場合の基本的な流れです。

1. 01
   端末 → 再帰リゾルバー

   この名前のAレコードを調べてほしい、と依頼します。

2. 02
   再帰リゾルバー → ルートDNS

   .comを担当するDNSサーバーへの案内を受けます。

3. 03
   再帰リゾルバー → .comのDNS

   example.comを担当するDNSサーバーへの案内を受けます。

4. 04
   再帰リゾルバー → 権威DNS

   www.example.comのAレコードを問い合わせます。

5. 05
   再帰リゾルバー → 端末

   得られた結果を返し、TTLに従ってキャッシュします。

端末が毎回すべてのサーバーを順に訪ねるわけではありません。有効なキャッシュがあれば問い合わせを省けます。別名が返る場合などは、追加の問い合わせが必要です。

レコードの種類を目的で覚える

例えばサイトの所有権確認で指定された文字列を登録するのはTXTです。Webサイトの接続先を示すAやCNAMEとは役割が異なります。設問では「メールならMX」「委任先ならNS」と用途から見分けましょう。

通信方式とセキュリティを整理する

DNSはUDPとTCPの両方を使います。UDP応答が切り詰められた場合のTCPでの再試行などがあり、TCPはゾーン転送だけに使うものではありません。

DNSリフレクタ攻撃では、送信元を偽装した問い合わせに対する応答が被害者へ送られます。誰からでも再帰問い合わせを受けるオープンリゾルバーを避け、再帰サービスの利用者を制限することが対策の一つです。権威DNSの公開問い合わせとは区別します。

ゾーン転送では、ゾーン内の情報をまとめて扱うため、許可する相手を必要なセカンダリDNSなどに限定します。