Microsoft PowerPoint - IW2011-D1_simamura [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - IW2011-D1_simamura [互換モード]"

とよみのしろ
4 years ago
Views:

1 キャッシュ DNS サーバとフィルタリングの実例 2011/11/30 インターネットイニシアティブ島村充 1

2 アジェンダ AAAAフィルタリングブロッキング zone 上書き式 RPZ 式

3 AAAA フィルタリング

4 AAAA フィルタリング概要 2011/06/08 World IPv6 day 世界中の有志が 24 時間限定で Web サイトに AAAA をつけるイベント Google, Facebook, Yahoo!... 計 400 何が危惧されたか AAAA が返ってくるとおかしくなる製品 IPv4 に fallback できない / 時間がかかる閉域 IPv6 網に繋がっていて Internet 上の IPv6 サーバに疎通がないケース 4

5 AAAA フィルタリング概要本来は個々に対処すべき古い機器 / ソフトの刷新 IPv6 reachability の提供 Policy tableを書いて閉域 IPv6 網にパケットを出さないように間に合わないとエンドユーザが混乱するサポートセンターも混乱する ISP 側でなんとかしてあげたい 5

6 AAAA フィルタリング概要そこで AAAA フィルタリング IPv4 で名前解決がリクエストされたとき AAAA を削って応答をする bind 以降の機能 d.dns.jp A? d.dns.jp AAAA? server d.dns.jp AAAA? ( 空応答 ) cache resolver 2001:240::53 authoritative server

7 AAAA フィルタリング設定コンパイル時に configure で指定が必要./configure enable filter aaaa make make install named.conf options { filter aaaa on v4 yes; };

8 AAAA フィルタリング応答 $ dig t A d.dns.jp d.dns.jp IN A $ dig t AAAA d.dns.jp # AAAA フィルタなし ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 7, ADDITIONAL: 1 d.dns.jp IN AAAA 2001:240::53 # AAAA フィルタあり ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 7, ADDITIONAL: 1 ( 空応答 ) 8

9 ブロッキング

10 ブロッキング概要ある ( 問題のある ) ドメインサーバの名前解決をブロック空応答別のIP 使的 ISP では児童ポルノのブロッキング組織内のブロッキングにも? IP 直 /ISP 以外のDNSを使うと閲覧可能ライトユーザ層はられない

11 2 つの実施式ブロッキング実施式 zone の上書き bind/unbound で利可能 RPZ(Response Policy Zone) bind より利可能

12 ブロッキング (zone 上書き ) 設定ブロックしたいドメインに対して応答を上書きするような設定をする安ネット作り促進協議会様のとても素晴らしいガイドラインこの通りに設定すれば OK ブロックしましたページの構築法も掲載

13 ブロッキング (zone 上書き ) 設定 bind の場合 named.conf zone evil.example.com { }; type master; file data/block.zone ;

14 ブロッキング (zone 上書き ) 設定 data/block.zone 特定の IP を返す場合 $TTL IN SOA localhost. nobody.localhost. ( ) IN NS localhost. IN A * IN A ; サブドメインなどもブロックページに NXDOMAIN IN SOA localhost. nobody.localhost. ( ) IN NS localhost. 14

15 ブロッキング (zone 上書き ) 設定 unbound の場合 unbound.conf 特定の IP を返す場合 local zone: evil.example.com redirect local data: evil.example.com IN A NXDOMAIN を返す場合 local zone: evil.example.com static

16 ブロッキング (zone 上書き ) 応答 bind の場合 $ dig t any evil.example.com ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 0 ;; ANSWER SECTION: evil.example.com IN SOA localhost. nobody.localhost evil.example.com IN NS localhost. evil.example.com IN A $ dig t any ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; ANSWER SECTION: IN A

17 ブロッキング (zone 上書き ) 応答 unbound の場合 $ dig t any evil.example.com ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0 ( 空応答 ) $ dig t a evil.example.com ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 evil.example.com IN A

18 ブロッキング (zone 上書き ) 出し分け同じキャッシュDNSサーバを使っている複数の部署ごとにブロッキングの設定を分けたい場合例えば : 研究部はブロッキング無し bindなら可能 view を利

19 ブロッキング (zone 上書き ) 出し分け named.conf acl RESEARCH UNIT { /25; }; view non block { match clients { RESEARCH UNIT; }; }; view block { match clients { any; }; zone evil.example.com { type master; file data/block.zone ; }; };

20 ブロッキング (zone 上書き ) 出し分け注意点キャッシュが分離される viewの数だけメモリ消費量が増える * 2 個作る : 約 2 倍 3 個作る : 約 3 倍キャッシュヒット率が下がる * キャッシュされていない名前のレスポンスタイムが若悪化 unboundでは不可 view が無い

21 ブロッキング (RPZ) 概要 Response Policy Zone(s) のacronym コンセプトキャッシュDNSサーバでブロッキングを簡単に元々の的はspamやphishing 対策

22 ブロッキング (RPZ) 設定 bind 以降で利可能 bind-9.7.3に対するpatchもあった named.conf options { response policy { zone policy.iij.ad.jp }; }; zone policy.iij.ad.jp { type master; file data/policy.iij.ad.jp.zone ; };

23 ブロッキング (RPZ) 設定 data/policy.iij.ad.jp.zone $TTL IN SOA localhost. nobody.localhost. ( ) IN NS localhost. evil.exmaple.jp IN CNAME *. ; NODATA evil.example.jp IN CNAME. ; NXDOMAIN IN CNAME kakuri.iij.ad.jp. ; redirect *.2ch.net IN CNAME kakuri.iij.ad.jp. ; redirect iijad.jp IN MX 10 blackhole.iij.ad.jp. ;; 左辺は "." で終端しない

24 ブロッキング (RPZ) メリットブロックするドメインの追加削除が rndc reload で反映 zone 上書き式だと rndc reconfig なにかと不安 AXFRで転送できる ( 転送元があれば ) 変更反映が楽々なsecurity policy providerを情報提供源に使える

25 ブロッキング (RPZ) 動作概要 security policy provider 1 security policy provider 2 NOTIFY AXFR/IXFR security policy provider 3 手動設定 cache resolver kakuri.iij.ad.jp server authoritative server

26 ブロッキング (RPZ) バグ zone 上書きよりスマートで良い動作検証するとbindが簡単に落ちる dig で名前解決すると落ちない Firefox で Web ページを開くと落ちる原因 : Firefox の DNSSEC 検証拡張根本原因 : ブロックしているドメインの RRSIG を引くと落ちる

27 ブロッキング (RPZ) バグバグレポートしたらすぐ直りました報告 : 4/26, 返事 ( 修正 ): 4/27 未明 bind p1リリース : 5/5

28 ブロッキング (RPZ) バグ応バグは修正されたが採には不安実績のあるzone 上書き式を採予感は的中 (bind p4) Using Response Policy Zone (RPZ) with DNAME records and querying the subdomain of that label can cause named to crash. Now logs that DNAME is not supported. [RT #24766] Using Response Policy Zone (RPZ) to query a wildcard CNAME label with QUERY type SIG/RRSIG, it can cause named to crash. Fix is query type independant. [RT #24715] [CVE ]

29 ブロッキング (RPZ) 感想コンセプトは良い安定すれば導できるそもそも使うがほとんどいないブロッキング導実施済組織が多い AXFRで転送できるブロック対象の提供元が出てくると楽 zone 上書き式はfileを書き /script

30 まとめキャッシュDNSサーバとフィルタリングについて AAAAフィルタリングブロッキング zone 上書きとRPZ 名前解決の応答の加はやりたくない正しい対応法は別にあるでも必要になる場もある

31 Any Questions? 31

32 おまけ : ブロッキングと DNSSEC キャッシュDNSでDNSSEC 検証 ONに DOビットをてた名前解決はどうなる? AAAA フィルタ dig +dnssec t aaaa * AAAA が返ってくる filter aaaa on v4: break dnssec; なら削る * 当然 ADビットはたないブロッキング何もしなくてもブロッキングが優先当然 AD ビットはたない 32

DNSを「きちんと」設定しよう

DNSを「きちんと」設定しよう DNS WIDE Project DNS DAY - Internet Week 2002 BIND DNS 2 DNS DNS(Domain Name System) named(bind), tinydns(djbdns), MicrosoftDNS(Windows), etc DNS 4 2 (1) www.example.jp IP 10.100.200.1 10.20.30.40 ftp.example.jp