インターネットオペレーション 第８回 重近範行 名前空間のオペレーション

Transcription

1 インターネットオペレーション 第８回 重近範行 名前空間のオペレーション

2 今日の内容 名前空間のオペレーション DNS Domain Name System ドメイン名のオペレーション 名前空間と管理

3 名前とアドレス 通信先は通信前に特定しなければならない 名前 ホストは一意のIPアドレスで識別される ホストは一意の名前で識別される ユーザーの便宜 のため 可変長 人間が記憶しやすい ホストの物理的な位置と無関係 覚えやすい アドレス 固定長 計算機が処理しやすい ルーティングによる制限がある 覚えにくい

4 名前空間と名前解決 名前空間 特定のルールのもとに定義された名前の集合 名前解決のメカニズム 名前空間から名前 ホスト名 に対応する値 IPアドレ ス を見つけるメカニズム ネームサーバ 名前解決のひとつの実現方法 インターネット上でもっとも使われている

5 識別子と名前空間

6 識別子と名前空間 アプリケーション トランスポート TCP IP データリンク ネットワーク 物理

7 DNSはなにをする 名前とIPアドレスの相互変換 文字 IPアドレス

8 DNS動作の例 user ネーム サーバ Web ブラウザ TCP IP 名前から値への 対応情報を提供

9 ドメイン名の構造 住所のように情報を階層化して 扱う 一単語では重複が発生する 下位 上位 www. sfc. keio. ac. jp www サ ー バ キ湘 ャ南 ン藤 パ沢 ス 慶 應 義 塾 大 学 学 術 日 本 欧米の住所は 日本とは逆に細かい情報から先 左 に書く 日本風に言うと 日本の学術機関の慶應義塾大学の湘南藤沢キャンパスのwwwサーバ

10 Root Domain ドメインツリー 階層的な名前空間 cctld gtld jp 例 fr com org SLD ad ac wide TLD: Top Level Domain gtld: generic TLD cctld: Country Code TLD SLD: Second Level Domain co keio u-tokyo sfc cc or cnn

11 ネームサーバ 各ネームサーバはリソースレコードと呼ば れる名前と値の対応情報を管理する 各ネームサーバはリソースレコードの問い 合わせに対して返答する 問い合わせ 返答 ネームサーバ クライアント

12 委譲 名前はドメイン内で一意 それぞれのドメインはドメインレジストリで 管理される ルートは ICANN/IANA で管理 TLD(Top Level Domain)はTLDレジストリで 管理 jp domain: co.jp JPRS edu domain: EDUCOM (以前のInterNIC) ドメインレジストリは１つ下のレジストリに サブドメインを委譲する JPNIC keio.ac.jp というドメインを慶応大学 に委譲

13 委譲のメカニズム 委譲している情報を聞くと 委譲した先の サーバを教えてくれる のアドレスは 慶應義塾のサーバ それは ＳＦＣのサーバ が知ってるよ sfc.keio.ac.jpを委譲 ＳＦＣのサーバ

14 名前解決の流れ Rootのサーバ jpのサーバを返答 jpのサーバ ac.jpのサーバを返答 ac.jpのサーバ 問い合わせ側 keio.ac.jpのサーバを返答 keio.ac.jp のサーバ sfc.keio.ac.jp のサーバ sfc.keio.ac.jpのサーバを返答

15 リゾルバ 処理が大変なので サーバに代行してもらう Rootのサーバ jpのサーバを返答 jpのサーバ ac.jpのサーバを返答 ac.jpのサーバ リゾルバ クライアント keio.ac.jpのサーバを返答 keio.ac.jp のサーバ sfc.keio.ac.jp のサーバ sfc.keio.ac.jpのサーバを返答

16 リソースレコードの種類 A(IPv4 Address), AAAA(IPv6 Address) CNAME(Canonical Name) アドレス 別名 NS(Name Server) ネームサーバ MX(Mail exchanger) SOA(Start Of Authority) PTR(domain name PoinTeR)

17 リソースレコードの登場場所 Ａレコードの問い合わせ Rootのサーバ Jpのサーバを返答 NSレコードの応答 省略 sfc.keio.ac.jp のサーバ Ａレコードの応答 問い合わせ側

18 サーバの分散化 ひとつのゾーンに関して 複数のサーバで 管理をする 上位はそれらすべてに関して情報を持つ のアドレスは 慶應義塾のサーバ それは ＳＦＣのサーバ１ と ＳＦＣのサーバ２ と ＳＦＣのサーバ３ が知ってるよ sfc.keio.ac.jpを委譲 ＳＦＣのサーバ１ ＳＦＣのサーバ２ ＳＦＣのサーバ３

19 サーバ間の同期 ひとつがマスターになって 他のサーバに コピーする データに更新を加えたときにコピー マスター その他のサーバ

20 マスタとスレーブ マスタ ac 委譲 登録されていないサーバ ns3 ns1 ns2 登録されたサーバ keio.ac.jp zone 内部からの問い合わせ スレーブ 外部からの 問い合わせ

21 ゾーン転送 定期的に スレーブから転送のリクエスト が出される リクエストを受けて マスタはスレーブに当 該ゾーンの全データを転送する

22 スレーブ セカンダリ の目的 負荷分散 耐障害性 回線やサーバにかかる負担を軽減する どれかが使えなくなっても 全体がとまること が無いようにする 効率化 ネットワーク的に離れた場所から頻繁に問い 合わせを出す場合

23 負荷分散 問い合わせを分散させる ネットワーク的 サーバ的に負荷を下げる

24 耐障害性 どれか一つ故障しても影響が少ない

25 スレーブの方針 ネットワークトポロジ的に離れた場所に置 くのが望ましい 負荷分散 耐障害性 対外線の帯域問題 ルータの異常 対外線の障害 他の組織に頼むことが多い

26 スレーブを頼まれたら 相手組織のゾーン負荷を見て考える 相互にスレーブをしあうと双方とも幸せに なれる Zone2のスレーブに Zone1 Zone1のスレーブに Zone2

27 多ければ多いほどいいの 多ければ多いほど どれかが使えない 可能性 が高くなる 年間故障率1%として 30台スレーブがある場合 0.99 の 30 乗 = どれか一つでも故障している確率 26.1% ハズレ を引くと名前が引けない

28 キャッシュ リゾルバは 一度問い合わせを行ったリ ソースレコードに関して 一定期間ローカ ルに記憶しておく キャッシュ キャッシュにより 一度行った問い合わせ を繰り返すことを抑制し 効率を良くする a.zone1.org a.a.a.a a.zone1.org の問い合わせ a.a.a.a ネームサーバ a.zone1.org a.a.a.a 記憶

29 DNSのキャッシュ のあとに を引いた場合 ネームサーバ 1. root zone (root server) 2. jp zone (ns.nic.ad.jp).jp jp ac ここまではキャッシュで 処理され 実際には 問い合わせない リゾルバ ac.jp c.jp m ita.k.a keio io. ke ac.jp keio 1. keio.ac.jp zone (ns0.keio.ad.jp) c. o sf ei keio.ac.jp zone (ns0.keio.ad.jp) keio ac. jp 3. ac.jp zone (ns.nic.ad.jp) 1 5. sfc.keio.ac.jp zone (ns1.sfc.keio.ac.jp) sfc mita 2. mita.keio.ac.jp zone (ns.mita.keio.ac.jp)

30 キャッシュで助かる人は ツリー状なので 上ほど問い合わせが多い 上位の問い合わせはほとんどキャッシュされる root がなんとかやっていける秘密 Root Domain cctld jp gtld fr com org SLD ad ac co wide u-tokyo keio sfc cc or cnn

31 DNSツリーをたどるときの問題 下位ゾーンが他に名前を持っていない場 合 ネームサーバを特定できない 鶏と卵 sfc.keio.ac.jpの ネームサーバどこ リゾルバ keioの ネームサーバ ns0.sfc.keio.ac.jp だよ いや だからそれがどこか 知りたいんだけど

32 グルーレコード 前述の問題を解決するため ネームサー バのアドレスを上位ゾーンのゾーンファイ ルに書く グルーレコード 下位ゾーンの情報と必ず同じ値を記述す る keio.ac.jp ゾーン sfc.keio.ac.jp. NS ns.sfc.keio.ac.jp ns.sfc.keio.ac.jp A グルーレコード

33 グルーレコードがあれば グルーを利用して次に聞きに行く場所を知ること ができる sfc.keio.ac.jpの ネームサーバどこ リゾルバ keioの ネームサーバ ns0.sfc.keio.ac.jp だよ ns0.sfc.keio.ac.jpの アドレスは だよ なるほど 次は に 聞きに行くんだな

34 アドレスから名前へ 逆引き PTRレコード 名前の逆マッピングで使われる IP アド レスからホスト名 専用の特別ドメインである in-addr.arpa (IPv6 では ip6.arpa) を使う

35 In-addr.arpa ドメイン アドレスのドメイン名化 例: in-addr.arpa in-addr.arpa

36 PTRを利用した逆引き 1. in-addr.arpa root server in-addr.arpa ns0.nic.ad.jp 133.in-addr.arpa rpa 3.in-addr.a リゾルバ mail.sfc.keio.ac.jp pa.ar ddr a -a in-addr.arpa ns0.sfc.keio.ac.jp クライアント in 133 -a.in in-addr.arpa ns0.sfc.keio.ac.jp r dd m ai. fc s l. o. i ke p ar. ac jp

37 PTRレコードとCIDR PTRはクラスフルなアドレス空間用に設計 されている(例 A.B.C.D) * ( IN-ADDR.APRA) 組織 A * ( IN-ADDR.APRA) 組織 B * ( IN-ADDR.APRA) 組織 C クラスレスなアドレス空間ではどうする か /25 組織 A /26 組織 B /26 組織 C ＲＦＣ2317 Classless IN-ADDR.ARPA delegation

38 クラスレスアドレス空間における委譲 上位ゾーンでCNAMEを使う <0/ , ns.a.domain, NS,IN> < in-addr.arpa, 1.0/ in-addr.arpa, CNAME, IN> < in-addr.arpa, 2.0/ in-addr.arpa, CNAME, IN> A.domainのネームサーバに以下のレコー ドを配置 <1.0/ , host1.ns.a.domain, A,IN> <2.0/ , host2.ns.a.domain, A,IN>

39 ドメイン登録の流れ 親に対して使いたいドメイン名を申請 許可を得たら そのドメインの設定 ネームサーバの構築と設定 親に登録を依頼 NSの登録 グルーレコードの登録

40 誰が どの識別子を使うの 世界中の人たちが 勝手に名前 IPアドレスを使ったら複 数の人が同じのを使ってしまうかも MACアドレスは メーカに管理させることで一意性を保持 に接続 このコンピュータは にしよう 衝突 このコンピュータは にしよう はどっちだろう

41 IPアドレスの割り当て 割り振り IANAを頂点とする階層構造 Internet Assigned Numbers Authority 割り振り: レジストリにIPアドレス管理業務の委任 割り当て: エンドユーザにIPアドレスを割り当て IPアドレス割り当て 割り振りの流れ 1. IANAからRIR(Regional Internet Registry 地域インターネットレジストリ) 日本が関係するRIRはAPNIC 2. RIRからNIR(National Internet Registry 国別インターネットレジストリ) 日本のNIRはJPNIC 3. NIRからLIR(Local Internet Registry ローカルインターネットレジストリ) LIRはIPアドレス指定事業者 4. LIRからISPまたはエンドユーザへIPアドレス空間を割り当て 参考 JPNIC

42 IPアドレスと管理組織 IPアドレス 割り当て委託 アジア 太平洋地域 ヨーロッパ アフリカ大陸 その他 日本 韓国 中国 アメリカ大陸 サハラ以南の アフリカ ラテンアメリカ カリブ諸国

43 IPアドレスの割り当て 割り振り例 村井研究室の場合 RIR APNICに /8 の 割り振りを委任 NIR LIR 村井研究室に /24 などを割り当て WIDE Internetに /21の 割り振りを委託 JPNICに /16の 割り振りを委任 エンドユーザ(村井研究室)

44 IPアドレスの割り当て JPNIC 管理組織から組織/ISPにざっくり割り当て 日本国内はJPNIC ISPがさらにその顧客に割り当て を使ってください 企業 慶応大学 ISP

45 ドメインの管理組織 TLDの登録はICANNが管理 gtld(generic Top Level Domain).com.net.org 等 Verisign等が管理 cctld(country Code Top Level Domain).jp.to.uk 等 地域ドメインレジストリが管理 JPRS(JaPan Registry Service)

46 RegistryとRegistrar 従来は管理業務と受け付け窓口は同じ組 織がやっていた 要求が増加し 分ける必要が出てきた Registry Registrar ドメインの管理業務を行う組織 １つのドメインに関して原則的に１つ 受け付け窓口の仕事をする組織 １つのドメインに関して１つ以上存在 Registrarは受けられたリクエストを所定の 形式に直してRegistryに提出

47 ドメイン管理組織の関係 ＴＬＤを管理 JP の 管理を委譲.com.org の 管理を委託 ドメインの登録を 依頼 ドメインの登録を 依頼 Ｒｅｇｉｓｔｒａｒ Ｒｅｇｉｓｔｒａｒ ドメインの登録を依頼 Ｕｓｅｒ Ｒｅｇｉｓｔｒａｒ Ｒｅｇｉｓｔｒａｒ ドメインの登録を依頼 Ｕｓｅｒ

48 ドメインの取得 取得申請はRegistrarに出す.jp の Registrar NTT-COM Yahoo! Domains いろいろ..com.net.org の Registrar お名前.com 世界中いろいろ..

49 余談 気になるお値段は Yahoo:.com 4200円 汎用 6300円 Joker.com:.com 12ユーロ 1200円 その他の登録業者も似たり寄ったり 人件費だけの勝負

50 申請に必要な情報 申請者の個人情報 名前 住所 電話番号 連絡先メールアドレス 使用するネームサーバのIPアドレス 支払方法

51 Whois データベース ドメイン名 IPアドレスの管理者情報データベー ス 管理者氏名 管理組織 住所 電話番号 メールアド レス etc 申請に使った情報が登録される

52 Whoisを使ってみよう アドレスの情報を調べてみる ドメインの情報を調べてみる keio.jp

53 ルートネームサーバ TLDの情報を管理するサーバ 理論上 すべての問い合わせは最初に ルートネームサーバに来る 名前解決を行うためには ローカルネーム サーバからルートへの接続性が必要

54 ルートネームサーバの分散 地理的 ネットワーク的に分散している どれか１つが落ちたとしても他に回る 2000年問題などの致命的な問題 の可能 性 があった場合も対処可能

55 ルートネームサーバの一覧 name a b c d e f g h i j k l m 全部で13個のルートネームサーバ org NSI ISI PSI Ne t UMD NASA ISC DISA ARL NORDUnet Verisigin RIPE EPB WIDE city Dulles, VA, US Marira De l Ray, CA, US He rndon, VA, US College Park, MD, US MSFC, AL, US REDWOOD CITY, CA, US Ch antilly, VA, US Ade lphi, MD, US Stockh olm, SE Dulles, VA, US Amste rdam NL Marina de l Re y, CA, US Tokyo JP type com edu com edu usg com usg usg int com int gov int url h ttp:// h ttp://

56 ルートネームサーバ

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

82

83 ルートネームサーバの運用基準 RFC2780(Root Name Server Operational Requirements)抜粋 ネームサーバはBINDを使用する UDPチェックサムを使う 専用ホストであること 他のサービスをしていない 相互に時刻同期を行う もっとも 良い インターフェースのアドレスを広告する 安全な場所 出入りが厳重に管理されている場所 に配置する 安全なネットワーク上に配置する 平均CPU時間は最大値の３分の１以下でなければいけない 障害報告のメールに24時間以内に応答する 問い合わせが障害を引き起こすものでない限り あらゆるホストからの問い合わせを 受け付ける 再起的な問い合わせは行わない アナウンスは変更を行う１２時間前に行う

84 ルートネームサーバへの攻撃 2002/10/24の事件 米国のVeriSign (2台) 米国防省 米陸軍研究 所 スウェーデンのAutonomica 英国のReseaux IP Europeens 日本のWIDEプロジェクトが管理す る7台のに向けてDDoS攻撃が発生した 管理者の適切な対処で1時間で収束 残りのサーバが応答し 問題にはならなかった インターネットの弱点が明るみに出ると同時に 自律分散システムの堅牢性を示す事件

85 DNSオペレーション上の問題 委譲における問題 ゾーン設定における問題

86 委譲における問題 Lame Delegation 親では委譲しているつもりなのに 子ドメインのサーバが落ちていた サーバはあるけどそのゾーンが無かった スレーブとの同期が取れていなかった 設定がおかしかった なんらかの理由で親との調停がうまく行ってない lame delegation

87 Lame Delegation が なぜ問題 上位に迷惑をかけます 上位サーバ Example.com は サーバＸだよ 何回も繰り返す リゾルバ さ サーバＸ 知りません お間違えでは 大量の無駄なトラフィックが 発生してしまう

88 Outbound NSの問題 ゾーンの外のNS グルーを使わずに委譲 sfc.keio.ac.jpの ネームサーバどこ リゾルバ keioの ネームサーバ ns0.example.orgだよ え example.org ってどこ

89 ゾーン外NSの参照 ネームサーバ 1. root zone (root server) 2. jp zone (ns.nic.ad.jp).org.jp ac リゾルバ ac.jp c.jp.a keio example.org org ns0.example.zone 7.example zone io. example 6.org zone ke c. sf 4. keio.ac.jp zone (ns0.example.org) keio ac. jp 3. ac.jp zone (ns.nic.ad.jp) jp 5. root zone SFC 8. sfc zone

90 連続したゾーン外NSの参照 sfc.keio.ac.jpのネームサーバは ns0.example.org example.org のネームサーバは ns0.test.org test.orgのネームサーバは ns0.another.org

91 ケーススタディ 名前の移行 ある名前のアドレスを変更する場合は のアドレスを a.a.a.a から b.b.b.b にしたい

92 いきなり変えた場合 キャッシュしたデータと違うという状況が アドレスは リゾルバ keioの ネームサーバ a.a.a.a だよ keioの ネームサーバ は 今からb.b.b.bだ リゾルバ は a.a.a.a

93 やるべきこと TTLの減少 移行をする場合 キャッシュの有効期限 ＴＴＬ が長いと困る 前もってTTLを減らす必要がある 例 TTLが２日の場合 ２日前 TTLを１日に 減らす 1日前 TTLを１時間に 減らす 移行 レコードを変更し TTLを元に戻す

94 セキュリティ上の問題 ＤＮＳのセキュリティとは レコード 問い合わせの安全性

95 問い合わせが詐称されると 今流行のフィッシング詐欺 を問い合わせ 本当は a.a.a.a 本物 なのに b.b.b.b 偽者 と帰っ てきたら 瓜二つのサイトがでてくる 口座番号 暗証番号を入れさせて

96 詐称のメカニズム 名前の問い合わせ 本物のネームサーバ トラフィックを 傍受 通信を誘導 本物より早く返答 偽者のネームサーバ 偽者のwebサーバ

97 対処方法 ＤＮＳＳＥＣ 名前に暗号化署名をつけて保護 詳しい説明は省きます RFC2553 Domain Name Security Extensions 運用はとても難しい DNSの情報はあまり信用できない という意識 を持つ アプリケーション層での暗号化技術の利用 SSL

98 事例紹介 自分のドメインを 持ってみよう 個人用ドメイン gt4.org を取ってみました

99 ドメイン Registrar の選定.org ドメインを利用 メジャーで 値段も手ごろ 非商用 Registrar は Joker.com を利用 安いから Registry で探すこともできる VeriSign の Find a Registrar

100 空いているドメインを探す ３文字 ４文字程度はほとんど取られている Registrar の web ページで検索

101 ドメイン登録申請を出す ドメインを登録してもらう ゾーンをキープする 必要事項を記入し 登録 ネームサーバの登録はまだしない 設定してないうちに登録すると Lame になる

102 ネームサーバの構築 サーバホストの準備 固定ホストが必要 ネームサーバソフトウェアの立ち上げ よく使われる実装 : BIND DHCPでアドレスが変わっては困る Internet Systems Consortium ゾーンの設定

103 スレーブを探す.com.org はルールで ２台以上の ネームサー バが必要 Registrarがスレーブを引き受けてくれる場合もあ る 有料だったり サービスだったり ものすごく負荷が高い可能性もある

104 ネームサーバの登録 Registrar の web インターフェースで設定した ネームサーバを登録

105 最後に 待つ Registar に登録した瞬間に Registry に登録され るわけではない RegistrarがリクエストをまとめてRegistryに登録 タイムラグがある キャッシュで古い情報が残っている場合もある しばらくすると登録が完了し 使えるようになる

106 まとめ 名前空間のオペレーション IPアドレス空間 ドメイン名空間 DNS Domain Name System ドメイン名のオペレーション 名前空間と管理