DNS
更新日:
用語解説
（Domain Name System）は、階層化されたドメイン名空間の情報をゾーン単位で分散管理し、名前とIPアドレスだけでなく、メール配送先、権威サーバ、別名等のリソースレコードを問い合わせる仕組みです。スタブリゾルバ、再帰・キャッシュリゾルバ及び権威DNSサーバが協調します。
■ 試験で押さえるポイント
名前空間はルートを頂点に、TLD、登録ドメイン、サブドメインというラベルの階層を右から左へたどります。ゾーンはある管理主体が権威を持つ範囲で、子ドメインを別ゾーンへ委任できるため、ドメインとゾーンの境界は常に一致しません。
端末のスタブリゾルバは通常、キャッシュDNSへ再帰問い合わせを行います。再帰リゾルバはキャッシュになければ、ルート、TLD、対象ゾーンの権威サーバへ反復問い合わせを行い、最終回答を端末へ返します。
AはIPv4、AAAAはIPv6、CNAMEは別名、MXはメール交換先、NSは権威サーバ、SOAはゾーン管理情報、PTRは逆引き、TXTはテキスト情報等を表します。名前解決をIPアドレスとの一対一変換だけと捉えません。
TTLの間、リゾルバは応答をキャッシュして問い合わせ量と遅延を減らします。変更は既存キャッシュのTTL満了まで反映されない場合があり、NXDOMAIN等の否定応答もSOA情報に基づいてキャッシュされます。
通常のDNSはUDP 53番を主に使い、応答が大きい場合、再試行、ゾーン転送等ではTCPも使います。UDPだけを許可すると一部問い合わせが失敗し、TCPだけをDNSの標準通信とするのも不十分です。
DNSSECは署名連鎖によってDNSデータの出所真正性と完全性、不存在証明を検証しますが、問い合わせ・応答を秘匿しません。DoT／DoHは端末とリゾルバ間の転送を暗号化しますが、回答データの権威からの真正性をDNSSECと同じ方法で保証するものではありません。
キャッシュポイズニング、偽応答、ドメイン乗っ取り、オープンリゾルバの増幅悪用、DDoS及び不正ゾーン転送に備え、送信元・トランザクションの検証、DNSSEC、再帰利用制限、冗長化、レート制限、登録者アカウント保護及び監視を行います。
■ 過去問での着眼点
スタブリゾルバはキャッシュDNSへ再帰問い合わせを行い、再帰リゾルバはルート・TLD・権威DNSへ反復問い合わせして回答を得ます。権威データとキャッシュ、ドメインとゾーン、DNSSECとDoT／DoHを区別します。DNSSECは完全性・真正性を検証しますが問い合わせを暗号化しません。DNSSECは署名検証、DoT／DoHはリゾルバまでの暗号化という保証範囲の違いが重要です。
例: 端末がwww.example.jpのAAAAをキャッシュDNSへ問い合わせ、キャッシュになければリゾルバがルートからjp、example.jpの権威サーバを順にたどります。TTL 300秒で得た回答は最大5分程度再利用され、直後のレコード変更が即時に見えない場合があります。
