2012年09月01日

ただしいDNSサーバのしゅるい

まずはただしいDNSサーバのしゅるい

(サーバでない)DNSリゾルバ
全てのPCやブラウザアプリに内蔵されているツール。サーバではない。普通後述するフルリゾルバではなく、単にドメイン名をISPのDNSキャッシュサーバに問い合わせるだけ。

DNSフルリゾルバ・DNSキャッシュサーバ
ドメイン名をルートからたどって最終的に解決するツールを内蔵したサーバ。ISPが提供するサーバーはフルリゾルバ機能がオンになっている。キャッシュ機能を持つため、キャッシュサーバとも呼ばれる。プロバイダと契約すると、書面やDHCP経由で提供されるDNSサーバはこれのことを指す。もちろん自分のPCに内蔵して名前解決を高速化することも出来る。
ドメイン名とIPの対応関係を変える権限は無いので無権限Non-authorizedサーバや、キャッシュからの応答を無権限 Non-authorized answerと呼ばれる。

DNS権威サーバ
ドメイン名の情報を提供する側のサーバ。ドメイン保有者が管理する。ネームサーバとして一般公開され、ドメインのIPアドレスを自由に変更する権限を持っているので"権威"サーバとも呼ばれる。正しく設定された権威サーバは、リゾルバからの問い合わせに権限あり応答=Authorized-Answerを返す。

DNSコンテンツサーバ
DNS権威サーバは全てコンテンツサーバ(の一種)であるため、混同されて呼ばれることも多いが、大規模なシステムでは、権威をもたないコンテンツサーバを予備にしたり、一般公開せず内部的に使うこともある。(後述のスレーブサーバ)
DNSサーバソフトウェアで最も有名なBINDはコンテンツサーバとキャッシュサーバを二役でこなせるため、さらに混同されやすい。

DNSプライマリサーバ
2通りの使い方がある。エンドユーザーのリゾルバから、ISPのDNSキャッシュサーバの最初にアクセスすべき方。もう一つは、個々のドメインの権威サーバについてマスターサーバとなるべきサーバ、リゾルバアクセス順は普通ランダムなので負荷分散される。実際の運用ではマスターでなかったり、そもマスターが公開されていないこともある。マスターと混同されやすい。

DNSセカンダリサーバ
プライマリに障害があるときに替りに使われるサーバ。とくにセカンダリキャッシュサーバは普通は使われないので性能が低いこともある。

DNSマスターサーバ
コンテンツサーバの一種で、ドメイン管理者が最初にドメインの情報を登録するサーバ。対応するスレーブにはDNSサーバの機能で自動的に情報が転送される。
通常、権威サーバのうち、プライマリサーバがマスターサーバを兼ねる。かつてはプライマリとマスターは同じものという場合が多かったが、マスターサーバを非公開にして、公開する権威サーバは全てスレーブサーバにする運用があり、たくさんのドメインを持つgTLDや専門のドメイン管理会社などで使われる。

DNSスレーブサーバ
マスターから受けた情報を公開するコンテンツサーバ。これをキャッシュサーバというのは一般には誤り。マスターサーバに障害が起きても、一定時間はコンテンツサーバとして機能する。その間にマスターサーバを復旧できないと、ドメイン全体がダウンする。


そしてただしくないつかいかた・・・

DNS権威サーバでフルリゾルバ・オン
武雄市の使った業者がやらかしたポカ。やってはならないとされる一例。コンテンツサーバが捏造されたキャッシュで汚染されるという、DNSポイズニング攻撃を受けるセキュリティリスクが高いため。コンテンツサーバではリゾルバ機能をオフにするべき。

DNSキャッシュサーバを権威サーバにする
武雄市の使った業者がやらかしたポカ。目的が違うものを使うな。キャッシュなので権威が無いと誤って報告するため、権威があるかきちんとチェックする勤勉なリゾルバ(DNSのオプションで設定可能)はドメインが正しく公開されていないと判断してウェブサイトに接続できない。

ローカルIPを権威サーバに割り当てる
武雄市の使った業者がやらかしたポカ。権威サーバに外からアクセス出来ないんですがー。↑権威は割り当ててなかった。というか全部キャッシュでスレーブじゃなかった。coara.or.jp様申し訳ありません。


DNS Summer Days 2012
DNSのよくある間違い - 伊藤高一 / BBTower
とかわかりやすいです
posted by ko-zu at 13:14| Comment(0) | TrackBack(0) | セキュリティ | このブログの読者になる | 更新情報をチェックする
この記事へのコメント
コメントを書く
お名前: [必須入力]

メールアドレス:

ホームページアドレス:

コメント: [必須入力]

認証コード: [必須入力]


※画像の中の文字を半角で入力してください。

この記事へのトラックバック
×

この広告は90日以上新しい記事の投稿がないブログに表示されております。