DNS

DNS（Domain Name System）は、ドメイン名とIPアドレスの対応などの情報を、階層的に分散して管理し、問合せに答える仕組みです。

■ 試験で押さえるポイント

• 端末はキャッシュDNSサーバに問い合わせ、キャッシュDNSサーバはルート、TLD、目的の権威DNSサーバの順にたどって答えを得ます。

• AはIPv4アドレス、AAAAはIPv6アドレス、MXはメールサーバ、NSは権威DNSサーバ、PTRは逆引きを表すレコードです。

• 得た答えはTTLの間キャッシュされるため、レコードを変えてもすぐには反映されないことがあります。

■ 過去問での着眼点

DNSSECは応答の正しさ（改ざんされていないこと）を検証し、DoTやDoHは通信を暗号化します。守るものが違います。

例: TTLが300秒の応答は最大5分間キャッシュされるため、直後にレコードを変えても古い値が使われることがあります。

■ DoH・DoTと実際の名前解決経路

• 端末のスタブリゾルバは再帰DNSへ問い合わせ、再帰DNSはキャッシュを使うか権威DNSをたどる。ブラウザやアプリが独自のDoHを使えば、OSに指定した社内DNSと異なる経路になることがある。

• DoTはDNSをTLSで保護し、DoHはDNSをHTTPSで運ぶ。通常のDoTはTCP 853番、DoHはHTTPSの443番等を使う。53番のログに問い合わせがないだけで、名前解決していないとはいえない。

• 暗号化経路の監視点では個別の問い合わせ名が読めない場合がある。承認した再帰DNSの設定、ブラウザ・アプリ設定、接続先、VPN・FWの経路を照合する。DoH・DoTだけでDNSSECの署名検証を代替しない。