30分で学ぶDNSの基礎の基礎～DNSをこれから勉強する人のために～

30 分で学ぶ DNS の基礎の基礎 ~DNS をこれから勉強する人のために ~ 2014 年 9 月 27 日 SECCON 2014 長野大会 DNS Security Challenge 株式会社日本レジストリサービス (JPRS) 森下泰宏 (Yasuhiro Orange Morishita) @OrangeMorishita Copyright 2014 株式会社日本レジストリサービス 1

JPRS は jp のレジストリレジストリの役割どのドメイン名をどの組織個人が使っているかという情報をきちんと管理するインターネットでドメイン名を使えるようにするための DNS と呼ばれる仕組みの一部分を管理運用する具体的にはそのドメイン名の権威 DNS サーバー jp は日本に割り当てられている国コードトップレベルドメイン :cctld 例 :seccon.jp, jprs.co.jp, nagano-u.ac.jp,... JPRS は cctld jp のレジストリとしてそれを管理しインターネットで使えるようにしている会社 Copyright 2014 株式会社日本レジストリサービス 4

登場人物 ( 構成要素 ) とその役割キャッシュ名前解決を実行する 3 キャッシュ DNS サーバー名前解決の依頼応答を中継する ( ない場合もある ).( ルート ) jp 2DNS プロキシー名前解決を依頼する 1DNS クライアント example.jp 実データ ( 各ゾーン ) を管理する 4 権威 DNS サーバー名前解決 : ネットワーク上の機器に付けられた名前からその機器に割り当てられているアドレスを求めること Copyright 2014 株式会社日本レジストリサービス 8

まとめ : 各構成要素の役割とその実例 1 DNS クライアント : 名前解決を依頼する実例 :Web ブラウザー各アプリなど 2 DNS プロキシー : 名前解決の依頼応答を中継する実例 : ホームルーターなど DNS プロキシーが存在しない場合もある 3 キャッシュ DNS サーバー : 名前解決を実行する実例 :Google Public DNS 4 権威 DNS サーバー : 実データ ( 各ゾーン ) を管理する実例 :Amazon Route 53 DNS では管理するそれぞれの単位のことをゾーンと呼ぶこれらの構成要素とその役割を把握することが DNS の理解への第一歩 Copyright 2014 株式会社日本レジストリサービス 9

注意点 1: 名称の不統一各構成要素を示す用語が統一されていない文献や著者の違いなどによりそれぞれの構成要素がいろいろな名称で呼ばれている技術者や専門家間においても違いや使い分けがある何に注目するかによる使い分けなど混乱を招きやすく理解の妨げになりやすい日本語だけでなく英語でも統一されていないそのためどの名称がどの構成要素 ( 機能 ) を指しているかの把握が重要 Copyright 2014 株式会社日本レジストリサービス 12

使われている名称の例 DNS クライアント : スタブリゾルバーなど DNS プロキシー :DNS フォワーダーなどキャッシュ DNS サーバー : フルリゾルバーフルサービスリゾルバー参照サーバーなど権威 DNS サーバー :DNS コンテンツサーバー権威ネームサーバーゾーンサーバーなど自分が使う名称相手が使っている名称に気を遣うようになったら一歩前進 Copyright 2014 株式会社日本レジストリサービス 13

事後資料で更新 :( あるいは双方を指しているのか ) の記述を追加注意点 2: 二種類の DNS サーバー DNS サービスを提供するサーバーは二種類あるキャッシュ DNS サーバーと権威 DNS サーバーこれらのサーバーは機能サービス対象サービス提供範囲が異なっているにもかかわらずいずれも DNSサーバーと呼ばれている DNSサーバーという用語が単独で使われた場合そのどちらを指しているのか ( あるいは双方を指しているのか ) を常に意識把握しておく必要がある作成者の理解不足説明不足などによりそれが判然としない文書も数多く存在する Copyright 2014 株式会社日本レジストリサービス 14

まとめ : 二種類の DNS サーバー機能サービス対象サービス提供範囲キャッシュ DNS サーバー階層構造をたどりドメイン名を検索する ISP や組織などの利用者 (DNS クライアントや DNS プロキシー ) 通常は ISP 内や組織内に限定権威 DNS サーバー階層構造を構成しドメイン名を管理するインターネット上のキャッシュ DNS サーバーインターネット全体双方を示す場合を除き DNS サーバーを単独で使わずキャッシュ DNS サーバー権威 DNS サーバーを使い分けるのがおすすめ Copyright 2014 株式会社日本レジストリサービス 17

再帰問い合わせ (recursive query) キャッシュ 3 キャッシュ DNS サーバー 2DNS プロキシー 1DNS クライアント機能 : 名前解決の依頼 DNS クライアントや DNS プロキシーがキャッシュ DNS サーバーに対し必要に応じて実行する DNS クライアントや DNS プロキシーは再帰問い合わせによってキャッシュ DNS サーバーに名前解決を要求する Copyright 2014 株式会社日本レジストリサービス 19

非再帰問い合わせ (non-recursive query) キャッシュ 3 キャッシュ DNS サーバー.( ルート ) ゾーン機能 : 名前解決の実行キャッシュ DNS サーバーが各権威 DNS サーバーに対し反復的に実行するそのため非再帰問い合わせは反復問い合わせ (iterative query) とも呼ばれる example.jp ゾーン Copyright 2014 株式会社日本レジストリサービス 20 jp ゾーン 4 権威 DNS サーバー

おさらい : どちらが再帰問い合わせでどちらが非再帰問い合わせ? キャッシュ 3 キャッシュ DNS サーバー非再帰.( ルート ) ゾーン再帰 2DNS プロキシー jp ゾーン example.jp ゾーン 1DNS キャッシュクライアント DNSサーバーは再帰問い合わせを受信し 4 権威 DNSサーバー非再帰問い合わせを再帰的に実行する ( 特に誤解しやすいので注意 ) Copyright 2014 株式会社日本レジストリサービス 21

dig コマンドによる使い分け再帰問い合わせ問い合わせ先がキャッシュ DNS サーバーである場合に使用 dig コマンドをオプションを付けずに実行する < 実行例 >dig www.jprs.jp a @8.8.8.8 非再帰問い合わせ ( 反復問い合わせ ) 問い合わせ先が権威 DNS サーバーである場合に使用 Google Public DNS dig コマンドに +norec オプションを付けて実行する < 実行例 >dig +norec www.jprs.jp a @a.dns.jp JP DNS サーバー dig コマンドの +norec オプションの使い方を覚えて二種類の問い合わせを適切に使い分けられるようになったら初心者卒業 Copyright 2014 株式会社日本レジストリサービス 22

事後資料で新規追加 drill コマンドによる使い分け BINDが標準添付されなくなったシステムではdigコマンドに替え drillコマンドが提供されている場合がある例 : 最新版のFreeBSDやArch Linuxなど digコマンドはbindの一部として開発されている再帰問い合わせ drillコマンドをオプションを付けずに実行する Google Public DNS < 実行例 >drill www.jprs.jp a @8.8.8.8 非再帰問い合わせ ( 反復問い合わせ ) drillコマンドに-o rdオプションを付けて実行する < 実行例 >drill o rd www.jprs.jp a @a.dns.jp デフォルトでは -o RD(RD ビットをセット ) JP DNS サーバー Copyright 2014 株式会社日本レジストリサービス 23

事後資料で更新 :drill オプションの項目を追加まとめ : 二種類の問い合わせ再帰問い合わせ非再帰問い合わせ ( 反復問い合わせ ) 機能名前解決を依頼 ( 要求 ) する名前解決を実行する RD ビット RD=1( セット ) RD=0( クリア ) 問い合わせ元 DNS クライアント DNS プロキシーキャッシュ DNS サーバー問い合わせ先キャッシュ DNS サーバー権威 DNS サーバー実行形態必要に応じて能動的に実行再帰問い合わせを受けて実行 dig オプションなし ( デフォルトで +rec) +norec drill オプションなし ( デフォルトで -o RD) -o rd キャッシュDNSサーバーと権威 DNSサーバーを兼用していると理解しづらくなるので注意 ( 次で説明 ) Copyright 2014 株式会社日本レジストリサービス 24

注意点 4: 兼用可能な実装キャッシュ DNS サーバーと権威 DNS サーバーを一つのプログラムで兼用可能な実装 (BIND) が存在しているかつ BIND はデフォルトで双方の機能が有効そのため双方の機能が兼用されている場合がある特に過去の経緯を抱えているサーバーに多い兼用していなくても双方の機能が有効になって ( しまって ) いる場合があるこれらを兼用することはさまざまな問題の原因となりうるため機能分離と適切な機能制限を強く推奨 Copyright 2014 株式会社日本レジストリサービス 25

機能分離制限を強く推奨する理由 DNS の動作各構成要素の理解促進 DNS の理解のためには機能分離が必須と言ってよいセキュリティ上のリスクの回避オープンリゾルバーになりやすい例 : 権威 DNS サーバーにおいてキャッシュ DNS サーバーの機能も有効になってしまっている場合キャッシュポイズニング攻撃を受けやすい例 : オープンリゾルバーになってしまっている場合脆弱性の影響を受けやすい例 : 使っていない機能が有効になっている場合オープンリゾルバー : 必要なアクセスコントロールが実施されておらずインターネット上のどこからの名前解決要求であっても実行してしまう状態の DNS サーバー Copyright 2014 株式会社日本レジストリサービス 26

事後資料で更新 :drill の記述を追加今日のまとめ 2 2. DNS を勉強するにあたっての注意点 ( 初学者が特にはまりやすい 4 つのポイント ) 1 名称の不統一 2 二種類の DNS サーバー 3 二種類の問い合わせ名前に気を遣って一歩前進どちらを示しているのかを常に明確に dig の +norec/drill の -o rd を適切に使えれば初心者卒業 4 兼用可能な実装 (BIND) DNSの理解のためにもキャッシュと権威は分けそれぞれの機能のみを有効にすべし Copyright 2014 株式会社日本レジストリサービス 30