BIND9.9から9.11へ移行のポイント（権威DNSサーバー編）

Size: px

Start display at page:

Download "BIND9.9から9.11へ移行のポイント（権威DNSサーバー編）"

えりかよせ
5 years ago
Views:

1 BIND 9.9から9.11へ移行のポイント ( 権威 DNSサーバー編 ) 2018 年 6 月 27 日 DNS Summer Day 2018 ( 株 ) 日本レジストリサービス

3 BIND 9.11 とは長期間のサポートを受けられる BIND 9 のメジャーバージョン (Extended Support Version: ESV) BIND (2018 年 3 月リリース ) から ESV に指定された 2021 年 12 月末までサポートされる予定 1 つ前の ESV は BIND 9.9 で 2018 年 6 月末でサポート期間終了 ( あと 3 日です!) JPRS の藤原和典が著者に加わっている RFC 8198(NSEC/NSEC3 RR を利用して反復検索せずにドメイン名の不存在を確認する ) は BIND 9.12 以降でサポートされています (BIND 9.12 では NSEC のみサポート ) Copyright 2018 株式会社日本レジストリサービス 3

4 権威 DNS サーバー機能関連 (1/4) update-policy: local; の挙動変更 localhost からかつ自動生成された専用の TSIG 鍵を使った場合のみ受け入れるよう意味を変えた自動生成された TSIG 鍵を他のホストにコピーして使っている場合に注意 JPRS も注意喚起を実施 < パイプライン化された TCP 問い合わせへの応答 RFC 7766 に準拠し 1 本の TCP セッションで並行して複数の問い合わせ応答を処理できるようになったクライアントとの互換性に問題がある場合 keep-response-order でホワイトリスト Copyright 2018 株式会社日本レジストリサービス 4

SOAのEXPIRE: 14 日 EDNS EXPIRE example.jp.

5 権威 DNS サーバー機能関連 (2/4) request-expire の追加 RFC 7314 の EDNS EXPIRE オプションを付けるか指定する ( デフォルトは yes) オリジナルの expire 時間の代わりにゾーン転送元がデータを受け取ってからの時間を知ることができる : 多段でゾーン転送を行っているときに便利 2 日前にゾーン転送 example.jp. IN AXFR? SOAのEXPIRE: 14 日 EDNS EXPIRE example.jp. IN AXFR ゾーン転送直後にダウン max-records の追加 EDNS EXPIRE: 12 日ゾーン内のレコード数に上限を設ける ( デフォルトは0: 上限なし ) ゾーン転送を受ける際に大量のレコードを転送されるのを防げるこの値をゾーンの賞味期限とする Copyright 2018 株式会社日本レジストリサービス 5

6 権威 DNS サーバー機能関連 (3/4) ( 項目だけ紹介 ) DNS RRLが標準で有効化 configure 時に --enable-rrl を指定しなくてもよくなったゾーンのデータベースバックエンドとしてDynDBに対応ゾーン設定の動的管理バックエンドとしてLMDBに対応ゾーン設定をゾーン情報の形で配布できるCatalog Zonesに対応 Copyright 2018 株式会社日本レジストリサービス 6

7 権威 DNS サーバー機能関連 (4/4) ( 項目だけ紹介 ) in-view: viewをまたいだゾーンの共有 masterfile-format( 変更 ) ゾーンファイルのフォーマットとして map が増えた masterfile-style( 追加 ) デフォルトは relative: 以前と同じ形式 serial-update-method( 変更 ) Dynamic DNS のシリアル番号の形式として date(yyyymmddnn) が増えた Copyright 2018 株式会社日本レジストリサービス 7

8 クエリログフォーマットの変更ログ関連 (1/3) 接続元 IP アドレス (2001:db8::c:53#23456) の前に named 内部のクライアントオブジェクトが追加された EDNS バージョン番号 (E(n)) が追加された DNS Cookie の検証結果 ( 正しい : V 正しくない : K) が追加されたクエリログの例 queries: info: #6278 (example.jp): query: example.jp IN A -E(0)DCV ( ) 内部のクライアントオブジェクト ID EDNS バージョン DNS Cookie Copyright 2018 株式会社日本レジストリサービス 8

9 ログ関連 (2/3) named のオプションによるログ出力先ファイル指定ログ設定がない場合のデフォルトでは起動直後のログは syslog に出力していた named の起動オプションに -L (filename) が追加されデフォルトのログ出力先としてファイルを指定できるようになったログファイル出力のバッファリングログの channel 設定に buffered オプションが追加されバッファリングを有効にする ( ログ出力時に毎回 flush しないようにする ) ことができるようになった異常終了時にログの一部が失われることと引き換えに性能の向上が期待できるデフォルトではバッファリングしない Copyright 2018 株式会社日本レジストリサービス 9

11 その他 (1/4) tcp-clients のデフォルト値変更 DNS サーバーとして同時に受け付ける TCP クライアント接続数の制限 100 から 150 に増えた minimal-any の追加デフォルトは no yes に設定すると UDP で ANY クエリを受け取ったときにすべてのレコードを応答する代わりにレコード 1 つとそれに対応する RRSIG( もしあれば ) だけ応答する ANY クエリによる DDoS 増幅器になるのを避けるのが目的 Copyright 2018 株式会社日本レジストリサービス 11

12 その他 (2/4) read-only rndc の追加 named.confに書くrndcのアクセス制御として read-onlyが指定できるようになった特定のrndcクライアントにサーバーに変更を加えないコマンドだけ許可することができる rndc コマンド -r: サーバーからのコマンド結果コードを表示 modzone/showzoneコマンド : addzoneで追加したゾーンの表示と編集 managed-keysコマンド : トラストアンカーの表示や更新 zonestatusコマンド : 読み込み日時シリアル番号などゾーンステータスの表示 Copyright 2018 株式会社日本レジストリサービス 12

13 その他 (3/4) ( 項目だけ紹介 ) GeoIPデータベースを用いたACLのサポート EDNS Client Subnetサポート ( 実験的 ) CDSレコード CDSKEYレコードの自動生成統計情報関連 ( 出力形式の変更追加項目追加 ) configureオプション --with-tuning=large ソースコード内の定数を高性能サーバー向けに変更詳しくは < Copyright 2018 株式会社日本レジストリサービス 13

14 その他 (4/4) ( 項目だけ紹介 ) ネットワークインタフェースの追加削除の自動スキャン HSM 対応 : PKCS#11のネイティブ対応 lock-file( 追加 ) ロックファイルによる二重起動防止 ; 起動時オプション -X (lockfile) でも指定可 message-compression( 追加 ) CPU 使用率を減らすために DNS 名前圧縮をオフにできる ; デフォルトはオン Copyright 2018 株式会社日本レジストリサービス 14

15 DNS Cookie (RFC 7873) とは DNS メッセージの偽装を検知する仕組み EDNS 拡張として小さなデータ (Cookie) を埋め込み相手からのメッセージに同じものが含まれているか否かで偽装を検知するクライアントとサーバー両方で相互に確認するクライアント : 問い合わせメッセージにクライアントクッキーを含めて送り返ってきた応答メッセージに同じクライアントクッキーが含まれているか確認するサーバー : 問い合わせメッセージに含まれるサーバークッキーに関してクライアントの IP アドレス等から妥当性を検証する Copyright 2018 株式会社日本レジストリサービス 15

16 クッキー対応の問い合わせと応答の例フルリゾルバー権威 DNS サーバー 1 問い合わせ時にクライアントクッキーを付けて送る ( サーバークッキーは知らない ) 3 問い合わせ時のクライアントクッキーと照合一致すれば受け入れ Q: IN A? cookie: 0x11ff22ee33dd44cc R: IN A cookie: 0x11ff22ee33dd44cc ee33b6cd5b279dfb54d7e372e07b2f3c 2 サーバークッキーを計算して応答に追加 4 サーバークッキーを知っているのでクライアントクッキーと共に送る 7 問い合わせ時のクライアントクッキーと照合一致すれば受け入れ Q: example.jp. IN MX? cookie: 0x11ff22ee33dd44cc ee33b6cd5b279dfb54d7e372e07b2f3c R: example.jp. IN MX mail.example.jp cookie: 0x11ff22ee33dd44cc 5d97f9745b279f4460ec5cc560525c41 5 サーバークッキーを計算して照合正当であるか確認 6 サーバークッキーを (nonce を含むため ) 再度計算して追加 Copyright 2018 株式会社日本レジストリサービス 16

17 権威 DNS サーバー運用へのインパクトメッセージサイズの増大問い合わせや応答にクッキーが含まれるようになる仮にすべてのクライアントが DNS Cookie に対応した場合には帯域幅が 5% 程度増加する見込みサーバーインスタンス間での server secret の共有サーバークッキーはクライアントの情報 (IP アドレスクライアントクッキー ) と server secret( サーバーだけが知っている秘密情報 ) から計算されるロードバランサー配下にいたり anycast を構成しているサーバーは同じ server secret を共有している必要がある RFC 7873 ではサーバークッキーの生成に同じ server secret を 36 日以上使いまわしてはならない (MUST NOT) とされており頭が痛い Copyright 2018 株式会社日本レジストリサービス 17

18 BIND での対応状況デフォルト設定ではサーバークッキーが不正でも通常通り扱うサーバー側で Cookie の扱いをオフにする機能がないロードバランサーなどで DNS Cookie 未対応のサーバーと混在させるときに困るロールオーバー機能がない複数の server secret を指定することができないロールオーバー時に古い server secret を元にしたサーバークッキーが不正なものとみなされる BIND で上記の機能不足は解決される見込み 6 月 14 日に最初のリリース候補版 (9.11.4rc1) が公開された Copyright 2018 株式会社日本レジストリサービス 18

Microsoft PowerPoint - BIND9新機能.ppt

Microsoft PowerPoint - BIND9新機能.ppt BIND9 の最新動向株式会社日本レジストリサービス坂口智哉 1 目次 1. BIND9.9 の主な新機能と変更点 2. バージョンアップ時の応答内容の比較 3. ゾーン転送中のクエリ処理性能 Copyright 2012 株式会社日本レジストリサービス 2 注意事項本資料の機能は執筆時点の最新リリース (BIND9.9.1-P2) を前提としたものです本資料に登場する性能評価はあくまで