PowerPoint プレゼンテーション

Transcription

1 株式会社ブロードバンドタワー 大本貴 ( 題字は にて作成 )

2 自己紹介 職歴 2000 年インターネット総合研究所入社 2001 年プロデュースオンデマンド (PoD) に出向 ストリーミング配信技術担当 2007 年インターネット総合研究所に帰任 主に社内システムのサーバ運用 コンサルなど 2010 年春からDNSSECジャパンの活動に参加 2010 年ブロードバンドタワーに転籍 DNSSEC ジャパンの活動終了に伴い DNSOPS.jp の活動に合流 twitter でたまに DNSSEC 2

3 今年も bind の 夏 で 盛り上がった 8 月 一方 その頃 とある企業の とあるドメインの とあるゾーンでは こんな 夏 が起きていた 人の不幸は蜜の味他山之石ということで

4 amazone.bbtower.net の誕生 bbtower.net は弊社の社内検証環境用ドメイン ある検証業務のために新しくサブドメインを追加したい 新しいサブドメインはサービス研究の一環で Amazon route53 を利用してみよう route53 に新ゾーン (Amazone) を登録 弊社 bbtower.net 管理担当者に NS レコード登録依頼をした に委譲よろしく りょうかい

5 amazone.bbtower.net IN NS ns-854.awsdns-42.net. amazone.bbtower.net IN NS ns-1162.awsdns-17.org. amazone.bbtower.net IN NS ns-19.awsdns-02.com. amazone.bbtower.net IN NS ns-1982.awsdns-55.co.uk. 結果 こんな感じの NS 登録が出来ますた ( 注 : グルーレコードは外部名なので依頼していない )

6 さっそく route53 側のゾーンファイルに A レコードを追加してみる 設定反映を確認しよう が しかし

7 挙動がぁゃしぃ Route53 に登録した A レコード (hoge.amazone.bbtower.net) が引けたり引けなかったりする 何回かに一度 NXDOMAIN だったりする 複数ある route53 の NS でゾーンに差異か? route53 の NS へ直接 Dig +norec するも NOERROR で全て意図通りの A レコードを答える 親ドメインのゾーンで NS レコードに差異がある? bbtower.net の NS に直接 dig +norec amazone.bbtower.net NS しても 特に問題なく route53 の NS レコードを答える でも dig するとやはり NXDOMAIN が返ってくる

8 よろしい ならば SOA は誰だ entry]# dig amazone.bbtower.net SOA ; <<>> DiG P2-RedHat P2.el5_9.1 <<>> amazone.bbtower.net SOA ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9185 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 4 ;; QUESTION SECTION: ;amazone.bbtower.net. IN SOA ;; ANSWER SECTION: amazone.bbtower.net. 900 IN SOA ns-1162.awsdns-17.org. awsdns-hostmaster.amazon.com ;; AUTHORITY SECTION: amazone.bbtower.net IN NS ns-19.awsdns-02.com. amazone.bbtower.net IN NS ns-854.awsdns-42.net. amazone.bbtower.net IN NS ns-1162.awsdns-17.org. amazone.bbtower.net IN NS ns-1982.awsdns-55.co.uk. ;; ADDITIONAL SECTION: ns-19.awsdns-02.com IN A ns-854.awsdns-42.net IN A ns-1162.awsdns-17.org IN A ns-1982.awsdns-55.co.uk IN A

9 あれ? entry]# dig amazone.bbtower.net SOA ; <<>> DiG P2-RedHat P2.el5_9.1 <<>> amazone.bbtower.net SOA ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 4 ;; QUESTION SECTION: ;amazone.bbtower.net. IN SOA ;; ANSWER SECTION: amazone.bbtower.net IN SOA ctm01.bbtower.ad.jp. noc.bbtower.ad.jp ;; AUTHORITY SECTION: amazone.bbtower.net IN NS ns-19.awsdns-02.com. amazone.bbtower.net IN NS ns-854.awsdns-42.net. amazone.bbtower.net IN NS ns-1162.awsdns-17.org. amazone.bbtower.net IN NS ns-1982.awsdns-55.co.uk. ;; ADDITIONAL SECTION: ns-19.awsdns-02.com IN A ns-854.awsdns-42.net IN A ns-1162.awsdns-17.org IN A ns-1982.awsdns-55.co.uk IN A

10 なんで SOA が route53 のサーバ じゃないときがあるんだ?! ctm01 は bbtower.net の master

11 NXDOMAIN で間違いない と ミサカは ctm01 は答えます -bash-3.2$ dig hoge.amazone.bbtower.net ; <<>> DiG P1-RedHat P1.el5_8.6 <<>> hoge.amazone.bbtower.net ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;hoge.amazone.bbtower.net. IN A ;; AUTHORITY SECTION: amazone.bbtower.net. 900 IN SOA ctm01.bbtower.ad.jp. noc.bbtower.ad.jp. aa つまり ctm01 はこのゾーンの権威をもって正々堂々 MXDOMAIN だと答えている と

12 実は bbtower.net の管理担当者に確認してみたところ 実は amazone.bbtower.net は bbtower.net と別ゾーンとして定義して運用している ( つまりゾーンカットして named.conf には それぞれ別 zone として記述している ) Route53 への委譲を示した NS レコードは amazone.bbtower.net のゾーンファイル内に記載している おまけに bbtower.net のゾーン内には amazone.bbtower.net の NS レコードは登録していない

13 つまり まぁ こんなです named.conf( 一部 ) zone "bbtower.net" { type master; file "master/entry/bbtower.net"; allow-transfer { ; ; }; }; bbtower.net の zone ( 一部 ) $TTL IN SOA ctm01.bbtower.ad.jp. noc.bbtower.ad.jp ( ; Serial 3600 ; refresh 900 ; retry ; expire 7200 ; min ) IN NS ns01.bbtower.ad.jp. IN NS ns03.bbtower.ad.jp. zone "amazone.bbtower.net" { type master; file "master/entry/amazone.bbtower.net"; allow-transfer { ; ; }; }; named.conf の実装依存で設定していた amazone.bbtower.net の zone ( 一部 ) $TTL IN SOA ctm01.bbtower.ad.jp. noc.bbtower.ad.jp ( ; Serial 3600 ; refresh 900 ; retry ; expire 7200 ; min ) amazone IN NS ns-19.awsdns-02.com. amazone IN NS ns-854.awsdns-42.net. amazone IN NS ns-1162.awsdns-17.org. amazone IN NS ns-1982.awsdns-55.co.uk.

14 DNS の名前解決の流れが hoge.amazone.bbtow er.net ってどこ? root servers 3 hoge.amazone.bbtower.net は知らんが.net なら知ってる.net の権威 DNS サーバはあそこ.net の 権威 DNS サーバ hoge.amazone.bbtower. net は知らんが bbtower.net なら知ってる bbtower.net の権威 DNS サーバはそっち 2 Recursive Server 4 5 bbtower.net の権威 DNS サーバ hoge.amazone.bbto wer.net ってどこ? ユーザ NXDOMAIN! hoge.amazone.bbtow er.net だって? hoge.amazone.bbtow er.net なんて無い! route53 にある amazone.bbower.net の権威 DNS サーバ Hoge.amazone.bbtower.net 14

15 ということで root からドメインツリーを順に辿っていくと bbtower.net を管理している ns0[13].bbtower.ad.jp にクエリが飛んでくるが bbtower.net ゾーンでは 親子の絆 を結んでいない ので hoge.amazone.bbtower.net? NXDOMAIN じゃ! と非再帰問い合わせに答えてしまっていた 一方でその amazone.bbtower.net のゾーンを同居して管理していることになっているので 直接 ns01.bbtower.net に NS を引くと amazone の NS を返してくる

16 権威 DNS サーバに NS を直接問い合わせると root servers.net の 権威 DNS サーバ Recursive Server ユーザ 1 dig NS bbtower.net の権威 DNS サーバ amazone.bbtower.net IN NS ns-1162.awsdns-17.org. amazone.bbtower.net IN NS ns-1982.awsdns-55.co.uk. amazone.bbtower.net IN NS ns-19.awsdns-02.com. amazone.bbtower.net IN NS ns-854.awsdns-42.net. route53 にある amazone.bbower.net の権威 DNS サーバ Hoge.amazone.bbtower.net 16

17 なんでこんなことを?! 社内検証用ドメインのため bbtower.net では各サブドメインに対して webui を利用して利用者が任意に RR 登録が出来るようになっている ( 検証時の頻繁なレコード変更対策 ) この webui 利用のために指定ドメインを別ゾーンとして切り出して定義することで各サブドメインのゾーンへのアクセス権限をコントロールしていた ( ちなみにこの webui では NS レコードの登録だけは機能制限しているため 今回は管理者に NS レコード設定をお願いしていた )

18 なんで正しい答えが返ってきたり来なかったりしたのか おそらくリカーシブサーバが route53 な NS レコードをキャッシュしていた場合には正しい答えが? (NS レコードを直接 dig ったりした影響など?)

19 師匠 そんなところに隠し子 ( ゾーン ) がおったのか 幽霊ドメイン 親子同居問題 ゾーンにはいろいろありますね 良い子のみんなも気を付けよう!

20 おしまい