DNSハンズオンDNS運用のいろは

Size: px

Start display at page:

Download "DNSハンズオンDNS運用のいろは"

まなこいたばし
5 years ago
Views:

1 DNS ハンズオン DNS 運のいろは DNSSEC トラブルシュート編株式会社インターネットイニシアティブ其学 2016 Internet Initiative Japan Inc. 1

2 はじめにこのセッションでは DNSSEC のトラブルシュートをいますおもな登場物は 3 です 1.権威 DNS サーバ ( さっきたてた権威 DNS サーバ ) 2. 組織のキャッシュ DNS サーバ ( さっきてたキャッシュ DNS サーバ ) 3.他組織のキャッシュ DNS サーバ ( 共のキャッシュ DNS サーバ ) 事故は抵権威 DNS サーバが原因で発しますこのセッションでは 1 と 2 をみなさんに担当してもらいそれぞれ復旧や軽減策を実施してもらいます 2016 Internet Initiative Japan Inc. 2

3 はじめになおスライドに書いてなくても随時 2 3 の状態を確認して状態の較をるのもいかと思いますまた dnsviz で状態を確認するのは実際に障害が起こった時にもっ取り早く解析でき情報共有ができるので便利です 2016 Internet Initiative Japan Inc. 3

4 トラブル例 1.キャッシュ DNS サーバの時刻ずれ 2.署名期間からの逸脱 3.移譲されなかったゾーン 4.違う DS を登録してしまった 2016 Internet Initiative Japan Inc. 4

5 1. キャッシュ DNS サーバの時刻ずれ署名レコード RRSIG には有効期間が設定されています数分のずれだと問題ない場合が多いですが 1 時間以上のズレの場合は検証エラーになる場合があります例 : iw jp. RRSIG SOA iw jp. HkUNaozb( 以下署名データなので略署名が有効になる時刻 :2016 年時 23 分 32 秒 (UTC) 署名が無効になる時刻 :2016 年時 23 分 32 秒 (UTC) キャッシュ DNS サーバの時刻がこの間であれば署名は検証に使える 2016 Internet Initiative Japan Inc. 5

6 1. キャッシュ DNS サーバの時刻ずれ 1 時間の根拠署名ソフトのデフォルトの多くが署名が有効になる時刻を署名した時刻の 1 時間前にするため有効になる時刻署名時刻有効期限通常 1H 有効期間 2016 Internet Initiative Japan Inc. 6

7 1. キャッシュ DNS サーバの時刻ずれ 1 時間以上時間が遅れていると署名検証に失敗する可能性が増えますこの時間は変更することもできますタイムゾーンをまちがちゃったうっかりさんをケアするために 24h 前を設定など有効になる時刻署名時刻有効期限通常 1H 有効期間 1 時間以上遅れたキャッシュサーバの時刻 2016 Internet Initiative Japan Inc. 7

8 1. キャッシュ DNS サーバの時刻ずれ時間が進んでいる場合署名は再署名する必要がある再署名をう間隔は TTL の関係で有効期限ギリギリではなく数前にうことがほとんどそのため極端にずれていない限りあまり問題にはならない例 : 署名して 10 有効で 7 に再署名など署名再署名有効期限 Internet Initiative Japan Inc. 8

9 1. キャッシュ DNS サーバの時刻ずれ障害トリガー例 : まちがって date s で間違った時刻を設定してしまった # date -s キャッシュ DNS サーバの挙動 : iw jp ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0 SERVFAIL が返ったので CD bit 付きで問い合わせます iw jp +cd ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra cd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; ANSWER SECTION: iw jp IN A CD bit 付きで問い合わせると応答が返る = 検証エラー 2016 Internet Initiative Japan Inc. 9

10 1. キャッシュ DNS サーバの時刻ずれ復旧例 : # ntpdate b ntp.nict.jp # unbound-control flush_zone. キャッシュサーバを restart or cache clear しないと検証失敗したキャッシュが残ります運悪く TLD の BADCACHE があると影響が期化します対策 : NTP 等で時刻を同期時刻がずれていないか監視 BIOS の時刻狂っていて reboot などで時刻がずれる可能性も 2016 Internet Initiative Japan Inc. 10

11 2. 署名の有効期間からの逸脱署名の有効期間からの逸脱はトラブルの中で番多い事象です再署名されておらず有効期限を過ぎた再署名処理体を忘れている場合なんらかの原因で再署名が動かなかった場合プログラムのエラー停電等で再署名処理がわれず復帰後も再実しなかった署名サーバの時刻がずれていて署名した時に有効期限を外れたキャッシュと同じ理由 2016 Internet Initiative Japan Inc. 11

12 2. 署名の有効期間からの逸脱トリガー例 : 昔の付で署名してしまった # vi /etc/nsd/dnsseczonetool.conf SIGN_PARAM="-i e # /etc/nsd/dnsseczonetool sign iw jp 2016 Internet Initiative Japan Inc. 12

13 2. 署名の有効期間からの逸脱キャッシュ DNS サーバの挙動 : 1. と同じように SERVFAIL が返るはずキャッシュDNS 側でできる対応 : 時的に検証を無効にする法 (Negative Trust Anchor) # unbound-control insecure_add iw jp Ok # unbound-control list_insecure iw jp. NTA は cache にったものには適されないので flush する # unbound-control flush_bogus dig すると検証しないようになっている # iw jp ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 1 ;; ANSWER SECTION: iw jp. 29 IN A Internet Initiative Japan Inc. 13

14 2. 署名の有効期間からの逸脱復旧例 : 権威 DNS 側パラメータを元に戻して再署名 &reload # vi /etc/nsd/dnsseczonetool.conf SIGN_PARAM= # /etc/nsd/dnsseczonetool sign iw jp キャッシュ DNS 側 NTA を無効にする # unbound-control insecure_remove iw jp # unbound-control list_insecure # <- 何も表されないことキャッシュ側でキャッシュクリア # unbound-control flush_zone iw jp 2016 Internet Initiative Japan Inc. 14

15 2. 署名の有効期間からの逸脱対策例 : 時刻のズレに対しては ntp クライアントを動かしておくことまた再署名ができなかった時検知できる仕組みが必要です例 : 有効期限 10 間で再署名 7 間隔の場合有効期限まで 3 未満になったら検知するの script $ cat ~/src/watch.sh #/bin/bash THRESHOLD=3 DOMAIN=iw jp IP=$(ip -4 a show dev eth0 grep inet awk '{print $2 }' awk -F '/' '{ print $1 }' ) $DOMAIN +dnssec +noall +ans +norec grep RRSIG awk '{print $9 }' cut -c 1-8) if [ "x$et" == "x" ] ; then echo "zone not signed" exit 1 fi ES=$(expr `date -d $ET +%s` - `date +%s` ) ED=$(expr $ES / 86400) if [ $ED -lt $THRESHOLD ] ; then echo "check faild, $ED days" exit 2 fi echo "check success, $ED days" exit Internet Initiative Japan Inc. 15

16 3. 移譲されなかったゾーン同じ権威 DNS サーバ上で親ゾーンとゾーンが同居する状態は好ましくないですがファイルの管理とか諸々の理由で分割することがありますその際に適切に移譲しない場合ゾーンの検証に失敗します権威 DNS example.jp ゾーン移譲なし sub.example.jp ゾーン 2016 Internet Initiative Japan Inc. 16

17 3. 移譲されなかったゾーン例 : iw jp ゾーン ( 変更なし ) $TTL 60 $ORIGIN IN SOA ns1 root _SERIAL_ IN NS ns1 IN A ns1 IN A < 指定されたIP> www IN A sub.iw jp ゾーン $TTL 60 $ORIGIN IN SOA ns1 root IN NS ns1.iw jp. IN A Internet Initiative Japan Inc. 17

18 3. 移譲されなかったゾーン nsd.conf ( 省略 ) zone: name: "iw jp." zonefile: "iw jp.signed" zone: name: "sub.iw jp." zonefile: "sub.iw jp" 反映 # nsd-checkzone sub.iw jp sub.iw jp zone sub.iw jp is ok # nsd-checkconf nsd.conf ; echo $? 0 # nsd-control reconfig reconfig start, read /etc/nsd/nsd.conf ok 2016 Internet Initiative Japan Inc. 18

19 3. 移譲されなかったゾーン移譲されなかったゾーンの検証結果 sub.iw jp A +dnssec +norec ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1 親ゾーンからの移譲がない場合ゾーンの DS に対するレスポンスに不在証明レコードがります指定された IP sub.iw jp ds +dnssec +norec ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 6653 ns1.iw jp. 900 IN NSEC A RRSIG NSEC (SOA,RRSIG は省略してます ) この応答から ns1 から www の間の label は無いことがわかますつまりこの間にゾーンはいないと親ゾーンが答えたことになります sub.iw jp はこの間なので ( アルファベット順 ) 親からへの移譲が無いことになりゾーンの応答は検証に失敗します 2016 Internet Initiative Japan Inc. 19

20 3. 移譲されなかったゾーン対応例 : iw jp ゾーン ( 略 ) sub IN NS ns1.iw jp. 移譲を書きます再署名 &reload # /etc/nsd/dnsseczonetool sign iw jp 確認 # unbound-control flush_bogus # sub.iw jp +dnssec +short Internet Initiative Japan Inc. 20

21 4. 違う DS を登録してしまった間違って違う KSK の DS を登録してしまって信頼の連鎖が断ち切られるパターンですときどききいところがやらかします ( 最近だと APNIC とか ) また DS レコードは TLD のゾーンにあるため TTL が較的く設定されている場合が多く影響が引く傾向にあります 2016 Internet Initiative Japan Inc. 21

22 4. 違う DS を登録してしまったトリガー例 : 違う DS を登録してしまった iw jp. DS JPDirect から違う DS を登録してみましょう 2016 Internet Initiative Japan Inc. 22

23 4. 違う DS を登録してしまった対応例 1: 検証できないようにする DS を消して検証できないようにしますこれはあらゆる DNSSEC の検証エラーで使えるですが DS の TTL はめです zone の TTL を短めに設定していても検証エラーは DS の TTL に引きづられます DS は親ゾーンなので TLD によって TTL は異なります DS の TTL の例 iw jp IN DS paypal.com IN DS DF17B D819E0CEEAB98FCFCD56572A4CF4F551F 0A9BE6D04 DB2F65C3 isc.org IN DS D08B4C6A1D9F6AEE1E2237AEF69F3F Internet Initiative Japan Inc. 23

24 4. 違う DS を登録してしまった対応例 2: 検証できるようにする DS を正しいものに変更しますただし DS の TTL が切れるまでは影響がある可能性があります署名する KSK を正しいものにして署名します署名前の RRSIG の TTL が切れるまで影響がある可能性があります今回は間違った DS を登録してしまったので正しい DS を登録し直します DS レコードの確認 # /etc/nsd/dnsseczonetool status iw jp iw jp's KSK = Kiw jp iw jp IN DS bfdf25d83c27dfe44e64253c412fbc66e25992d0b2a0774d5307f719d8637c5 iw jp's ZSK = Kiw jp 対策例 : 事前に正しい DS か確認するなど動で DS 登録するのをやめる (API などを利してチェックも含めて完全動化する ) 2016 Internet Initiative Japan Inc. 24

25 まとめ権威 DNS 側 : DS が信頼の連鎖の肝 DS の変更には神経を使え! 時刻同期, 監視は忘れずに署名期限の監視トラブったらとりあえず dnsviz キャッシュ DNS 側 : 困ったときの NTA 何か対応をしたらキャッシュクリア実際引いての確認を忘れずに 2016 Internet Initiative Japan Inc. 25

26 お問い合わせ先 IIJ インフォメーションセンター TEL: (9:30 17:30 / / 祝除く ) info@iij.ad.jp Internet Initiative Japan Inc. 26

2 注意事項教材として会場を提供していただいている ConoHa さんのドメイン名とその権威ネームサーバを使用しています conoha.jp ns1.gmointernet.jp

2 注意事項教材として会場を提供していただいている ConoHa さんのドメイン名とその権威ネームサーバを使用しています conoha.jp ns1.gmointernet.jp 夏の DNS 祭り 2014 ハンズオン - dig 編株式会社ハートビーツ滝澤隆史 2 注意事項教材として会場を提供していただいている ConoHa さんのドメイン名とその権威ネームサーバを使用しています www.conoha.jp conoha.jp ns1.gmointernet.jp 3 権威ネームサーバへの問い合わせ @ 権威サーバと +norec を付ける例例 ) www.conoha.jp