Greatだねー

Transcription

1 中 国 でGreatだよ Matsuzak maz Yoshinobu APNIC36 network [email protected] 1

2 何 だかアクセスできないよ Twitter Facebook YouTube ERR_TIMED_OUT ERR_NAME_RESOLUTIN_FAILED ERR_TIMED_OUT 2

3 APNICが 用 意 したネットワークだよ AS# IPアドレス /20 - transited by AS :df9::/32 - transited by AS4837 キャッシュDNS BIND9 同 じネットワーク 内 でIPv4/IPv6 dual stack だよ [email protected] 3

4 Twitter 日 本 環 境 $ dig twitter.com a +short dig twitter.com aaaa +short ( 回 答 無 し) 中 国 環 境 $ dig twitter.com a +short $ dig twitter.com aaaa +short 2123::3e12 IPv4アドレスはDeutsche Telecom AG IPv6アドレスは 未 割 振 り [email protected] 4

5 Facebook 日 本 環 境 $ dig a +short star.c10r.facebook.com $ dig aaaa +short star.c10r.facebook.com. 2a03:2880:2110:df07:face:b00c:0:1 中 国 環 境 $ dig a +short ( 回 答 無 し) $ dig aaaa +short ( 回 答 無 し) どちらもServFailだった [email protected] 5

6 YouTube 日 本 環 境 $ dig a +short youtube-ui.l.google.com $ dig aaaa +short youtube-ui.l.google.com. 2404:6800:4008:c01::5d 中 国 環 境 $ dig a +short $ dig aaaa +short youtube-ui.l.google.com. 2404:6800:4005:c00::5b IPv4アドレスは 米 国 DoD ( 米 軍 ) IPv6アドレスは 正 しそう [email protected] 6

7 もっと 良 く 見 てみるよ $ dig +norec ; <<>> DiG P4 <<>> +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; ANSWER SECTION: twitter.com. 300 IN A ;; Query time: 28 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:20: ;; MSG SIZE rcvd: 45 [email protected] 7

8 回 答 が 変 わるよ $ dig +norec ; <<>> DiG P4 <<>> +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; ANSWER SECTION: twitter.com IN A ;; Query time: 35 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:22: ;; MSG SIZE rcvd: 45 [email protected] 8

9 たまには 正 しそうな 回 答 もあるよ $ dig +norec ; <<>> DiG P4 <<>> +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 13, ADDITIONAL: 14 ;twitter.com. IN A ;; AUTHORITY SECTION: com IN NS c.gtld-servers.net. com IN NS a.gtld-servers.net. com IN NS l.gtld-servers.net. com IN NS i.gtld-servers.net. : 以 下 略 [email protected] 9

10 EDNS0には 対 応 してないよ $ dig twitter.com +norec +dnssec ; <<>> DiG P4 <<>> twitter.com +norec +dnssec -4 ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; ANSWER SECTION: twitter.com IN A ;; Query time: 27 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 16:13: ;; MSG SIZE rcvd: 45 [email protected] 10

11 何 を 聞 いてもA RRを 答 えるよ $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 5992 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN SOA $ dig twitter.com +norec +short $ dig twitter.com +norec +short $ dig twitter.com +norec +short $ dig twitter.com +norec +short $ dig twitter.com +norec +short ;; ANSWER SECTION: twitter.com. 300 IN A ;; Query time: 28 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:23: ;; MSG SIZE rcvd: 45 [email protected] 11

12 誰 に 何 を 聞 いてもA RRを 答 えるよ $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN AAAA ;; ANSWER SECTION: twitter.com IN A $ dig twitter.com +norec +short $ dig twitter.com +norec +short $ dig twitter.com +norec +short $ dig twitter.com +norec +short ちなみに 指 定 された 宛 先 ホストでパケットダンプし ていると 問 い 合 わせは 届 いている 無 応 答 でもDNS 的 にRefuse 応 答 しても 中 国 のクライ アント 側 にはA RRがNOERRORで 応 答 として 届 くよ ;; Query time: 25 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:28: [email protected] 12

13 中 国 国 内 宛 だと 普 通 の 挙 動 だよ % dig twitter.com +norec dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; connection timed out; no servers could be reached ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: ;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; Query time: 30 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:36: ;; MSG SIZE rcvd: 29 [email protected] 13

14 IPv6トランスポートだとちょっと 違 うよ $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;twitter.com. IN AAAA ;; ANSWER SECTION: twitter.com IN AAAA 10::2222 ;; AUTHORITY SECTION: com IN NS twitter.com. ;; Query time: 29 msec ;; SERVER: 2001:7fe::53#53(2001:7fe::53) ;; WHEN: Fri Aug 30 12:58: ;; MSG SIZE rcvd: 71 AAAAにも 答 えられるけど すっげえAuthセクションが!! $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 3908 ;; flags: qr aa ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;twitter.com. IN A ;; ANSWER SECTION: twitter.com IN A ;; AUTHORITY SECTION: com IN NS twitter.com. ;; Query time: 30 msec ;; SERVER: 2001:7fe::53#53(2001:7fe::53) ;; WHEN: Fri Aug 30 13:00: ;; MSG SIZE rcvd: 59 Aにも 答 えられるけど すっげえAuthセクションが!! [email protected] 14

15 IPv6でもAとAAAA 以 外 は 駄 目 だね $ dig twitter.com +norec ;; Warning: Message parser reports malformed message packet. ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; WARNING: Messages has 12 extra bytes at end ;twitter.com. IN MX ;; Query time: 30 msec ;; SERVER: 2001:7fe::53#53(2001:7fe::53) ;; WHEN: Fri Aug 30 13:03: ;; MSG SIZE rcvd: 53 $ dig twitter.com +norec ;; Warning: Message parser reports malformed message packet. ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; WARNING: Messages has 12 extra bytes at end ;twitter.com. IN ANY ;; Query time: 30 msec ;; SERVER: 2001:7fe::53#53(2001:7fe::53) ;; WHEN: Fri Aug 30 13:03: ;; MSG SIZE rcvd: 53 [email protected] 15

16 誰 に 聞 いても 何 か 答 えてくれるよ $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7183 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; ANSWER SECTION: twitter.com. 300 IN A ;; Query time: 1182 msec ;; SERVER: 2001:240:bb81::10:1#53(2001:240:bb81::10:1) ;; WHEN: Fri Aug 30 13:09: ;; MSG SIZE rcvd: 45 % dig twitter.com +norec +short ;; Warning: Message parser reports malformed message packet. % dig twitter.com +norec +short ;; Got bad packet: bad label type 41 bytes 6d 8f m...twi f 6d a9 tter.com...x c ,.. % dig twitter.com +norec +short ;; Warning: Message parser reports malformed message packet. % dig twitter.com +norec +short 2123::3e12 % dig twitter.com +norec +short IPv6でも 指 定 された 宛 先 ホストに 問 い 合 わせは 届 いている 無 応 答 でもDNS 的 にRefuse 応 答 しても 中 国 のクライアント 側 には 何 ら かNOERRORで 応 答 として 届 くよ [email protected] 16

17 IPv6でも 中 国 国 内 はふつーだね $ dig twitter.com +norec $ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; connection timed out; no servers could be reached ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: ;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com. IN A ;; Query time: 72 msec ;; SERVER: 2001:dc7:1000::1#53(2001:dc7:1000::1) ;; WHEN: Fri Aug 30 13:08: ;; MSG SIZE rcvd: 29 [email protected] 17

18 m.rootはipv6だと 正 しそうだよ dig twitter.com +norec ; <<>> DiG P4 <<>> twitter.com +norec ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 13, ADDITIONAL: 14 ;twitter.com. IN A ;; AUTHORITY SECTION: com IN NS f.gtld-servers.net. com IN NS d.gtld-servers.net. : ( 中 略 ) ;; Query time: 433 msec ;; SERVER: 2001:dc3::35#53(2001:dc3::35) ;; WHEN: Fri Aug 30 12:56: ;; MSG SIZE rcvd: 489 [email protected] 18

19 m.rootのhostname.bindみてみたよ IPv6 -> M-CDG-2 % dig hostname.bind chaos ; <<>> DiG P4 <<>> hostname.bind chaos ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; WARNING: recursion requested but not available ;hostname.bind. CH TXT ;; ANSWER SECTION: hostname.bind. 0 CH TXT "M-CDG-2" ;; AUTHORITY SECTION: hostname.bind. 0 CH NS hostname.bind. ;; Query time: 430 msec ;; SERVER: 2001:dc3::35#53(2001:dc3::35) ;; WHEN: Fri Aug 30 12:54: ;; MSG SIZE rcvd: 65 IPv4 -> M-NRT-DIXIE-3 dig hostname.bind chaos -4 ; <<>> DiG P4 <<>> hostname.bind chaos -4 ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1353 ;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0 ;; WARNING: recursion requested but not available ;hostname.bind. CH TXT ;; ANSWER SECTION: hostname.bind. 0 CH TXT "M-NRT-DIXIE-3" ;; AUTHORITY SECTION: hostname.bind. 0 CH NS hostname.bind. ;; Query time: 108 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 12:54: ;; MSG SIZE rcvd: 71 [email protected] 19

20 m.rootへの 経 路 が 違 うんだね IPv6 -> フランス raceroute6 m.root-servers.net traceroute6 to m.root-servers.net (2001:dc3::35) from 2001:df9:150:0:20c:29ff:fe00:309c, 64 hops max, 12 byte packets :df9:150:: ms ms ms :dd00:9:1005:: ms ms ms :dd00:0:2f:: ms ms ms :dd00:0:23:: ms ms ms :dd00:0:4:: ms ms ms :dd00:0:2:: ms ms 2400:dd00:0:3:: ms :252:0:2:: ms ms ms :252:0:100:: ms ms ms 9 orientplus-gw.mx1.lon.uk.geant.net ms ms ms 10 ae0.mx1.par.fr.geant.net ms ms ms 11 renater-lb1-gw.mx1.par.fr.geant.net ms ms ms 12 te paris2-rtr-001.noc.renater.fr ms ms ms 13 * * * 14 M.ROOT-SERVERS.NET ms ms ms IPv4 -> 東 京 C: > tracert -4 m.root-servers.net m.root-servers.net [ ] へのルートをトレースしています 経 由 するホップ 数 は 最 大 30 です: 1 1 ms <1 ms 4 ms dhcp.conference.apricot.net [ ] 2 * * * 要 求 がタイムアウトしました 3 * * * 要 求 がタイムアウトしました 4 24 ms 40 ms 25 ms ms 24 ms 24 ms [ ] ms 207 ms 238 ms [ ] 7 * * * 要 求 がタイムアウトしました 8 * * * 要 求 がタイムアウトしました ms 106 ms 104 ms tpr5-ge jp.apan.net [ ] ms 168 ms 100 ms vlan53-cisco2.notemachi.wide.ad.jp [ ] ms 148 ms 133 ms ve-51.foundry6.otemachi.wide.ad.jp [ ] ms 148 ms 138 ms ve-5.alala1.otemachi.wide.ad.jp [ ] ms 106 ms 107 ms m-gw.nspixp2.wide.ad.jp [ ] ms 107 ms 106 ms M.ROOT-SERVERS.NET [ ] トレースを 完 了 しました [email protected] 20

21 m.rootへのipv4 問 い 合 わせ 16:30: IP (tos 0x0, ttl 128, id 11425, offset 0, flags [none], proto UDP (17), length 57) > : 5+ A? twitter.com. (29) 28msec 100msec 16:30: IP (tos 0x0, ttl 52, id 28944, offset 0, flags [none], proto UDP (17), length 73) > : 5 1/0/0 twitter.com. A (45) 16:30: IP (tos 0x10, ttl 213, id 19443, offset 0, flags [none], proto UDP (17), length 73) > : 5 1/0/0 twitter.com. A (45) 16:30: IP (tos 0x0, ttl 52, id 52732, offset 0, flags [none], proto UDP (17), length 517) > : 5-0/13/14 (489) 例 の 応 答 が2 個 (28msec) 到 着 後 本 物 っぽい 応 答 が 遅 れて(100msec) 到 着 [email protected] 21

22 m.rootへのipv6 問 い 合 わせ 16:21: IP6 (hlim 64, next-header UDP (17) payload length: 37) 2001:df9:150:0:20c:29ff:fe00:309c > 2001:dc3::35.53: [udp sum ok] A? twitter.com. (29) 450msec 2980msec 16:21: IP6 (hlim 36, next-header UDP (17) payload length: 497) 2001:dc3::35.53 > 2001:df9:150:0:20c:29ff:fe00:309c.41081: [udp sum ok] /13/14 (489) 16:21: IP6 (hlim 49, next-header UDP (17) payload length: 53) 2001:dc3::35.53 > 2001:df9:150:0:20c:29ff:fe00:309c.41081: [udp sum ok] /0/0 twitter.com. A (45) 本 物 の 応 答 (450msec) vs 例 の 応 答 (2980msec)で 本 物 の 応 答 が 勝 っちゃった [email protected] 22

23 Wikipediaは 名 前 解 決 できたよ $ dig en.wikipedia.org a ; <<>> DiG P4 <<>> en.wikipedia.org a ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 3, ADDITIONAL: 3 ;en.wikipedia.org. IN A ;; ANSWER SECTION: en.wikipedia.org IN CNAME wikipedia-lb.wikimedia.org. wikipedia-lb.wikimedia.org. 119 IN CNAME wikipedia-lb.eqiad.wikimedia.org. wikipedia-lb.eqiad.wikimedia.org IN A ;; AUTHORITY SECTION: wikimedia.org IN NS ns0.wikimedia.org. wikimedia.org IN NS ns1.wikimedia.org. wikimedia.org IN NS ns2.wikimedia.org. ;; ADDITIONAL SECTION: ns1.wikimedia.org IN A ns2.wikimedia.org IN A ns0.wikimedia.org IN A ;; Query time: 3 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 15:03: ;; MSG SIZE rcvd: 222 dig en.wikipedia.org aaaa ; <<>> DiG P4 <<>> en.wikipedia.org aaaa ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 3, ADDITIONAL: 3 ;en.wikipedia.org. IN AAAA ;; ANSWER SECTION: en.wikipedia.org IN CNAME wikipedia-lb.wikimedia.org. wikipedia-lb.wikimedia.org. 117 IN CNAME wikipedia-lb.eqiad.wikimedia.org. wikipedia-lb.eqiad.wikimedia.org IN AAAA 2620:0:861:ed1a::1 ;; AUTHORITY SECTION: wikimedia.org IN NS ns2.wikimedia.org. wikimedia.org IN NS ns0.wikimedia.org. wikimedia.org IN NS ns1.wikimedia.org. ;; ADDITIONAL SECTION: ns1.wikimedia.org IN A ns2.wikimedia.org IN A ns0.wikimedia.org IN A ;; Query time: 6 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 15:03: ;; MSG SIZE rcvd: 234 [email protected] 23

24 IPv4で とあるページを 見 てみたよ どこからかRSTが 飛 んできたよ 24

25 IPv6だとアクセスできたよ! 25

26 書 いたよ 800msec 0.6msec 18:36: IP6 (flowlabel 0x92057, hlim 64, next-header TCP (6) payload len gth: 40) 2001:df9:150:0:20c:29ff:fe00: > 2404:6800:4008:c01::5d.80: Fl ags [S], cksum 0x8f8a (correct), seq , win 65535, options [mss 1440,nop,wscale 6,sackOK,TS val ecr 0], length 0 0x0000: df `..W.([email protected].. 0x0010: 020c 29ff fe c01..)...0.$.h.@... 0x0020: d d e9 f8b4...].v.pv... 0x0030: a002 ffff 8f8a a0... 0x0040: a ae %... 18:36: IP6 (hlim 47, next-header TCP (6) payload length: 32) 2404:6800:4008:c01::5d.80 > 2001:df9:150:0:20c:29ff:fe00: : Flags [S.], cksum 0x930a (correct), seq , ack , win 62304, options [mss 1416,nop,nop,sackOK,nop,wscale 6], length 0 0x0000: f c01 `.../$.h.@... 0x0010: d df ]...P.. 0x0020: 020c 29ff fe d576 6dad d35c..)...0..p.vm.. 0x0030: 76e9 f8b f a v...`... 0x0040: :36: IP6 (flowlabel 0x92057, hlim 64, next-header TCP (6) payload length: 20) 2001:df9:150:0:20c:29ff:fe00: > 2404:6800:4008:c01::5d.80: Flags [.], cksum 0xc301 (correct), seq 1, ack 1, win 1039, length 0 0x0000: df `[email protected].. 0x0010: 020c 29ff fe c01..)...0.$.h.@... 0x0020: d d e9 f8b5...].v.pv... 0x0030: 6dad d35d f c m..]p... 18:36: IP6 (hlim 47, next-header TCP (6) payload length: 32) 2404:6800:4008:c01::5d.80 > 2001:df9:150:0:20c:29ff:fe00: : Flags [S.], cksum 0x930a (correct), seq , ack , win 62304, options [mss 1416,nop,nop,sackOK,nop,wscale 6], length 0 0x0000: f c01 `.../$.h.@... 0x0010: d df ]...P.. 0x0020: 020c 29ff fe d576 6dad d35c..)...0..p.vm.. 0x0030: 76e9 f8b f a v...`... 0x0040: 最 初 のSYN/ACKまで800msecも 掛 かかってるけど その 後 のACKは0.6msecだよ [email protected] 26

27 GET 送 ったらIPv6でもRSTが 来 たよ 2.6msec 322msec 18:36: IP6 (flowlabel 0x92057, hlim 64, next-header TCP (6) payload len gth: 331) 2001:df9:150:0:20c:29ff:fe00: > 2404:6800:4008:c01::5d.80: Flags [P.], cksum 0xf79f (correct), seq 1:312, ack 1, win 1039, length 311 0x0000: b df x0010: 020c 29ff fe x0020: d d e9 f8b5...].v.pv... 0x0030: 6dad d35d f f79f m..]p...get. 0x0040: 2f f31 2e31 0d0a 486f 7374 /.HTTP/1.1..Host 0x0050: 3a e 796f e 636f :. 0x0060: 6d0d 0a d e 743a 204d m..user-agent:.m 0x0070: 6f7a 696c 6c61 2f35 2e b ozilla/5.0.(x11; : (パケット 省 略 ) 18:36: IP6 (hlim 55, next-header TCP (6) payload length: 20) 2404:6800:4008:c01::5d.80 > 2001:df9:150:0:20c:29ff:fe00: : Flags [R.], cksum 0x92fb (correct), seq 1, ack 312, win 13018, length 0 0x0000: c01 `...7$.h.@... 0x0010: d df ]...P.. 0x0020: 020c 29ff fe d576 6dad d35d..)...0..p.vm..] 0x0030: 76e9 f9ec da 92fb 0000 v...p :36: IP6 (hlim 47, next-header TCP (6) payload length: 20) 2404:6800:4008:c01::5d.80 > 2001:df9:150:0:20c:29ff:fe00: : Flags [.], cksum 0xc1fa (correct), seq 1, ack 312, win 991, length 0 0x0000: f c01 `.../$.h.@... 0x0010: d df ]...P.. 0x0020: 020c 29ff fe d576 6dad d35d..)...0..p.vm..] 0x0030: 76e9 f9ec df c1fa 0000 v...p... RSTは2.6msecで 受 信 したよ その 後 のHopLimitの 違 うACKは332msec 掛 かってるけど IPv6でも 一 部 コンテンツフィルタに 対 応 しているんだね [email protected] 27

28 もうちょっとDNS 関 連 だよ どんな 方 法 で 対 象 の 問 い 合 わせを 見 つけて るのかな? 何 か 抜 け 出 す 方 法 あるかな? 28

29 Case Sensitive? dig TwiTTer.com ; <<>> DiG P4 <<>> TwiTTer.com ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;TwiTTer.com. IN A ;; ANSWER SECTION: TwiTTer.com IN A ;; Query time: 32 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 15:32: ;; MSG SIZE rcvd: 45 0x20も 対 応 してるよ [email protected] 29

30 ホスト 名 を 間 違 っても 答 えるよ! $ dig maz.twitter.com ; <<>> DiG P4 <<>> maz.twitter.com ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;maz.twitter.com. IN AAAA $ dig hogehoge.twitter.com +short 2001::212 $ dig port53.twitter.com +short 2123::3e12 $ dig ipv4.twitter.com +short $ dig ipv4.twitter.com +short 101::1234 $ dig ipv4.twitter.com +short $ dig ipv4.twitter.com +short ;; ANSWER SECTION: maz.twitter.com. 300 IN AAAA 2620:f:8000:: ;; Query time: 749 msec ;; SERVER: 2001:240:bb81::10:1#53(2001:240:bb81::10:1) ;; WHEN: Fri Aug 30 15:38: ;; MSG SIZE rcvd: 61 [email protected] 30

31 ドメイン 名 を 間 違 っても 答 えるよ! $ dig mazmazmaztwitter.com ; <<>> DiG P4 <<>> mazmazmaztwitter.com ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;mazmazmaztwitter.com. IN A $ dig wwwwyoutube.com +short $ dig hogehogeyoutube.com +short $ dig hogehogefacebook.com +short $ dig a---facebook.com +short $ dig 1111facebook.com +short ;; ANSWER SECTION: mazmazmaztwitter.com IN A ;; Query time: 32 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 15:45: ;; MSG SIZE rcvd: 54 [email protected] 31

32 全 然 違 うドメインでも 見 過 ごさないよ $ dig twitter.com.example.jp ; <<>> DiG P4 <<>> twitter.com.example.jp ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;twitter.com.example.jp. IN A $ dig twitter.comm +short $ dig twitter.comm +short 2001::212 $ dig aaa.youtube.company +short 21:2::2 $ dig maz.facebook.com---pany +short 2620:f:8000::ffff:ffff $ dig a--youtube.com--b +short 2001:da8:112::21ae ;; ANSWER SECTION: twitter.com.example.jp. 300 IN A ;; Query time: 3287 msec ;; SERVER: 2001:240:bb81::10:1#53(2001:240:bb81::10:1) ;; WHEN: Fri Aug 30 15:54: ;; MSG SIZE rcvd: 56 [email protected] 32

33 マッチする 部 分 が 無 いと 見 過 ごすよ $ dig twitter-com +norec ; <<>> DiG P4 <<>> twitter-com +norec ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: ;; flags: qr aa; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 $ dig youtube.coom +short : ;; connection timed out; no servers could be reached $ dig youtube.example.jp : ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: ;twitter-com. IN A ;; AUTHORITY SECTION: IN SOA a.root-servers.net. nstld.verisign-grs.com ;; Query time: 470 msec ;; SERVER: 2001:7fe::53#53(2001:7fe::53) ;; WHEN: Fri Aug 30 15:50: ;; MSG SIZE rcvd: 104 [email protected] 33

34 / 対 象 ドメイン 名 /i パターンマッチだ! Case Insensitive 前 後 に 何 が 付 いても 大 丈 夫 [.]はちゃんと[.]じゃないとダメ 対 象 ドメインを 含 むようなドメイン 名 を 使 うと なぜか 中 国 からのアクセスを 禁 止 できるよ twitter.com.example.jp youtube.com.example.jp 34

35 DNS UDP/53はDNSの 中 でも 最 弱 にspoof 放 題 奴 がやられても まだTCP/53があるじゃない 乗 っ 取 りにくい 35

36 TCP/53ばんざーい $ dig youtube.com +tc ; <<>> DiG P4 <<>> youtube.com +tc ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0 ;youtube.com. IN AAAA ;; ANSWER SECTION: youtube.com. 298 IN AAAA 2404:6800:4005:c00::5d ;; Query time: 235 msec ;; SERVER: #53( ) ;; WHEN: Fri Aug 30 16:33: ;; MSG SIZE rcvd: 57 RSTとかも 来 てなかったよ [email protected] 36

37 まとめ 中 国 では 国 外 へのUDP/53を 見 ている 模 様 TCP/53は 今 のところ 監 視 対 象 外 の 模 様 パターンマッチで 対 象 問 い 合 わせを 特 定 し 何 等 かIPアドレスを 応 答 している 応 答 するIPアドレスは 傾 向 はあるものの 適 当 IPv4/IPv6で 少 し 異 なる 挙 動 本 当 の 応 答 も 返 ってきているため それを 無 視 できるようになれば 突 破 できるかも RST 偽 のDNS 応 答 37