社外向けテンプレート（プロジェクタ用）

Size: px

Start display at page:

Download "社外向けテンプレート（プロジェクタ用）"

ともあきやすもと
5 years ago
Views:

1 Unbound の紹介とその運用株式会社インターネットイニシアティブ島村充 1

2 Unbound とはオランダ NLnet Labs 製キャッシュ DNS サーバーソフトウェア ( フルサービスリゾルバ ) 2007/02 初版リリース 2008/ リリース最新版は (2016/06/09 リリース ) そこそこ性能がいい (BIND9 比 3 倍強 ) 今日日性能が問題になることなんてよっぽど大規模な ISP 以外ないですが DNSSEC Validation 対応 FreeBSD10 のローカルの名前解決用 2

3 脆弱性脆弱性は過去 4 件 (3 回 ) CVE (2011/05/27) --enable-chcking OR --enable-debug で build し interface-automatic: yes の時に細工された DNS パケットを受け取ると crash つまりデフォルトでは影響なし CVE CVE (2011/12/20) 細工されたレコードの応答を処理すると crash CVE (2014/12/08) delegation chain の段数制限がなくリソースを浪費他の DNS サーバーソフトウェアも影響 3

4 BIND9 になく Unbound にある機能 Negative Trust Anchor DNSSEC 検証に失敗した特定のドメインだけ検証しない BIND9 も 9.11 で実装ただし永続化はできない ( 最長 1 週間 ) DNSSEC 署名の expire を一定期間許す機能 use-caps-for-id (0x20) クエリのエントロピーを上げるキャッシュポイズニング攻撃の部分的検知 TXID の不一致をカウント Query Name Minimisation (RFC7816) 4

5 BIND9 になく Unbound にある機能 DNS over TLS DNStap high speed DNS logging without packet capture 5

6 BIND9 になく Unbound にある機能 prefetch もともとは Google Public DNS の機能 BIND も 9.10 で実装速攻で crash bug! 2014/04/ リリース 2014/05/ P1 リリース (query) ratelimit 1.5.4(2015/07/09) で実装 cache 側で ratelimit が実装されることはないと思っていたがゾーン (NS) 毎 cache されてない場合に所定の QPS を超えると SERVFAIL を返す ( らしい ) 6

7 BIND9 にあって Unbound にない機能権威 DNS サーバー権威キャッシュの混在は不可 local-zone, local-data で上書き可能 additional は上書きしない ( 後述 ) みんな大好き view キャッシュ DNS サーバーに要るの? 実は昔 IIJ で使ってたんです RPZ (Response Policy Zone) 児ポブロックで使っている ISP があると聞いたことがありますブロック自体は local-data で可能 7

8 BIND9 にあって Unbound にない機能みんな大好き AAAA filter 止めたいでも ( だれも太鼓判を押してくれなくて ) 止められない! private-address: ::/0 と unbound.conf に書くとすべての AAAA を落とす contrib/aaaa-filter-iterator.patch by Stephane Lapie さん ( 朝日ネット ) A があるときだけ落とす (BIND9 と同じ ) 8

9 9 昔なかった機能みんな大好き querylog (2011/06/30) で実装 unbound-control set_option log-queries: yes Jun 15 09:50:03 host unbound: [751:0] info: github.com. AAAA IN Jun 15 09:58:24 host named[31170]: queries: info: client #60141 (github.com): view external: query: github.com IN AAAA + ( ) 情報はちょっと少なめみんな大好き Round Robin (2012/05/24) で実装 (by 東さん ) デフォルトでは無効 rrset-roundrobin: yes RFC3484 あるし必要ですかね?

10 昔なかった機能 minimal-responses AUTHORITY, ADDITIONAL セクションを省略して良い場合に削って応答を返す応答パケットサイズを小さくして帯域節約 TCP fallback を抑制 (2012/05/24) で実装 (by 東さん ) デフォルトでは無効 minimal-responses: yes 10

11 Unbound 運用の実際 IIJ での Unbound 利用状況法人向け回線サービスのキャッシュ DNS サーバー 2013/4 頭 ~ 一部サービス用 2014/6 末 ~ 全サービス個人向けは? BIND9 です昔 view を使っていた AAAA filter ( もう止めようよ ) そのうち Unbound に ( 年内にできたらいいな ) 脆弱性対応 1 回 (CVE ) crash したことなどなし 11

12 ちょっとしたハマりどころ DSR 構成の LB を使っていたり anycast をしている場合サービス用の IP アドレスと Interface の IP アドレスが異なるその場合になにもケアしないと応答を Interface の IP アドレスから返そうとする interface-automatic: yes とするとクエリを受けた IP アドレスから返す interface-automatic: <yes or no> Detect source interface on UDP queries and copy them to replies. This feature is experimental, and needs support in your OS for particular socket options. Default value is no. 12

13 Unbound 移行時 ( 後 ) のトラブル TCP 無応答問題移行直後からたまに TCP クエリをこぼす incoming-num-tcp のデフォルト値 (10) が小さすぎて詰まっていた当時 open resolver だったり網内に open forwarder が大量にいた所為もあると思われる incoming-num-tcp: 1000 にして解消 13

14 Unbound 移行時 ( 後 ) のトラブル応答 UDP パケットサイズ制限無し問題まだ open resolver だった頃 ANY 応答が 61.5KB の名前をひたすら引かれ 1Gbps の uplink が埋まって死亡で max-udp-size オプション導入 (by 東さん ) デフォルト 4KB BIND9 との応答内容の微妙な変化応答の細かいところが微妙に違う当時詳細は調べたけど忘れてしまいました多少心配していたけど問い合わせが来たことはない 14

15 パラメーターチューニング Unbound: Howto optimise (unbound.net) 基本はこれを熟読日本 Unbound ユーザー会による和訳 DNS キャッシュサーバ設計と運用のノウハウ ( 東大亮 ) DNS キャッシュサーバチューニングの勘所 ( 東大亮 ) unbound だけではなく BIND9 も解説 15

16 これだけは変更しておけパラメータ ( 全員 ) rrset-cache-size/msg-cache-size ( デフォルト 4MB( 小さすぎでしょ!)) rrset-cache-size は msg-cache-size の 2 倍サーバーのメモリに応じて malloc のオーバーヘッドにより総メモリ使用量は設定ファイルに記入した総キャッシュメモリの 2 倍 ( あるいは 2.5 倍 ) まで増える可能性がありますらしい 16

17 これだけは変更しておけパラメータ (ISP) libevent の利用 (compile 時 ) fd 1024 個制限の突破 num-threads ( デフォルト 1) CPU 個数と同じに ( 自動検出してよ ) incoming-num-tcp ( デフォルト 10( 低すぎ )) TCP クエリ数に応じて 1000 くらい? outgoing-num-tcp ( デフォルト 10( 低すぎ )) 水責め攻撃に加担している client 数に応じて権威 DNS サーバー (UDP) が詰まる TCP で聞く TCP も詰まるこっちも詰まる 1000 くらい? 17

18 これだけは変更しておけパラメータ (ISP) num-queries-per-threads ( デフォルト 1024) QPS に応じて outgoing-range ( デフォルト 4096) num-queries-per-threads の 2 倍にする net.core.rmem_max, rmem_default カーネルパラメータ適当に 4 or 8MB くらいらしい 18

19 Unbound の悩ましいところ unbound_control reload するとキャッシュが揮発する ACL の変更適用などで reload する場合大抵のパラメータは unbound_control set_option で reload なしに変更可能なのですが設定ファイルとの整合性に気を配る必要ありキャッシュ揮発若干レスポンスが悪化する大抵の場合はそんなに影響ない ( 即座に回復する ) 高アクセス時間帯にはやらない方がよいかも LB 配下に複数台いる場合時間をずらすなどもっと丁寧にやるならサービスから抜いて dump_cache して reload して dump を基に暖めてから戻すとか 19

20 Unbound の悩ましいところ? RD bit の立っていないクエリに応えない dig +trace するときに困るユーザが普通に使う分には全く困らないはじめのクエリ (. の NS の検索 ) を resolv.conf の IP アドレスに RD bit 無しで投げるため access-control の第二パラメータに allow の代わりに allow_snoop と書くと応答する access-control: /24 allow access-control: /24 allow_snoop +trace... する drill T... する (root-servers に直接聞く ) 20

21 Unbound の悩ましいところ? local-data が Additional を上書きしないユースケース : 特定の MTA に対するメールの迂回配送をしたいような場合 local-data で MTA の IP アドレスを乗っ取る minimal-responses: yes にしていない場合 MX レコードを問い合わせると Additional に MTA の元々の A レコードが入っている MTA が乗っ取った IP アドレスではなく元々の IP アドレスに配送してしまう ( ホント??) postfix/sendmail とも乗っ取った IP アドレスに配送をし元々の IP アドレスには配送しない 21

22 Package RHEL(CentOS)7 にて base 入り ( パチパチパチ ~) これで BIND9 以外はベンダー保守がないからっていう言い訳ができなくなりますね! ところが version が RHEL 7.0 Beta 2013/12/11 Unbound /09/10 max-udp-size オプションなし Negative Trust Anchor なし cache-max-negative-ttl オプションなし CVE patch 適用済み 22

23 参考文献 Unbound: Howto optimise (unbound.net) DNS キャッシュサーバ設計と運用のノウハウ ( 東大亮 ) Unbound と NSD の紹介 BIND9 との比較編 ( 東大亮 ) Unbound キャッシュ DNS サーバ大規模用途向け機能の実装 ( 東大亮 ) 23

24 Any Questions? 24

2 フルサービスリゾルバスタブリゾルバからリクエストを受け取るフルサービスリゾルバは権威ネームサーバに対して反復復的に問い合わせを行行うルートゾーンの権威サーバスタブリゾルバの IP アドレスを教えて? の IP アドレ

2 フルサービスリゾルバスタブリゾルバからリクエストを受け取るフルサービスリゾルバは権威ネームサーバに対して反復復的に問い合わせを行行うルートゾーンの権威サーバスタブリゾルバの IP アドレスを教えて? の IP アドレ夏の DNS 祭り 2014 ハンズオン - Unbound 編株式会社ハートビーツ滝澤隆史 2 フルサービスリゾルバスタブリゾルバからリクエストを受け取るフルサービスリゾルバは権威ネームサーバに対して反復復的に問い合わせを行行うルートゾーンの権威サーバスタブリゾルバ www.example.jp の IP アドレスを教えて? www.example.jp の IP アドレスは