DNS Summary Day 2024
A10ネットワークス
最新DNSソリューションご紹介
A10ネットワークス株式会社
SP営業部 眞野 桐郎

Agenda
本日ご紹介するA10 DNSソリューション
• A10ネットワークス会社紹介• ①キャッシュDNSサーバ• ②DNSフィルタリング• ③Non-STOP DNS• 本日のまとめ本日ご紹介するA10 DNSソリューション
① キャッシュDNSサーバ② DNSフィルタリング
脅威ドメイン
情報

DNSカテゴリ
情報

DNS名前解決 Thunder ADC

Filtering
キャッシュDNSサーバ

高性能＆セキュリティ
キャッシュDNSサーバ③ Non-STOP DNS
正常なクエリ
レスポンス

DDoSクエリ
Non-STOP DNS
権威DNSサーバ

Zone転送プライマリ権威DNSサーバ
Hidden Primary

DDoSを超える性能
権威DNSサーバ

A10ネットワークス 会社紹介

A10ネットワークス
A10ネットワークス株式会社

A10 Networks, Inc. (NYSE: ATEN)• 設立：2004年9月

• 設立

• 代表者

：Dhrupad Trivedi (CEO)• 本社：米国カリフォルニア州サンノゼ• 代表者 ：川口 亨(日本法人代表兼社長 米国本社ヴァイスプレジデント兼務)• 2014年 ニューヨーク証券取引所（NYSE）に上場：2009年4月• 拠点：東京、大阪

シリコンバレー発
グローバル企業

世界のリーディング企業で採用拠点のある国製品・サポート提供先の国

27

117+

従業員数

導入社数

700(日本: 50+)

7,000+

ハイパフォーマンスなネットワークアプライアンス製品によりセキュリティ・アプリケーション配信機能等を提供

共通OSをマルチプラットフォームで提供

仮想インスタンス

ベアメタル

コンテナ

クラウド
インスタンス

高いモビリティハードウェアの共通化

クラウド
ネイティブ

時間・月額サブスク
BYOL

ハイパフォーマンス
高いポート密度

最大60Gbps

最大100Gbps

最大10Gbps

最大370Gbps

最大100Gbps

ハードウェアアプライアンス

あらゆるIAサーバ

マルチクラウドに対応したあらゆる提供形態

CLI とGUIによる高い操作性と運用性
使いやすいコマンドライン
Password:
Last login: Mon Mar 5 00:40:34 2018 from …

直観的で分かりやすい
日本語GUI対応

ADC設定

ダッシュボード

System is ready now.
[type ? for help]
vThunder>en
Password:vThunder#vThunder#show version
Thunder Series Unified Application Service Gateway vThunderファイアーウォールダッシュボード※英語/日本語/中国語に対応

① キャッシュDNSサーバ

ADCを拡張しキャッシュDNSサーバ機能を実装～ACOS 4.x

サーバ負荷分散
Thunder ADC

DNSサーバ負荷分散
DNSレスポンスキャッシュ
DNSキャッシュキャッシュDNS
サーバ

権威DNS
サーバ

2020年～（現在最新はACOS 6.x）
ACOS 5.x～
Thunder ADC

キャッシュDNSサーバ

権威DNS
サーバ

キャッシュDNSサーバ（フルサービスリゾルバ）＋DNSサーバ負荷分散豊富なキャッシュDNSサーバ機能
フルサービスリゾルバ

DNSSecHA構成

EDNS(0) Client Subnet

キャッシュのストレージ保存（再起動時のキャッシュ保持）
ネガティブキャッシュ

DoH/DoT
ハードウェアオフロード可能

HA間のDNSキャッシュエントリ同期
aFlexによるDNSパケットのエンジニアリング

DNS DDoS防御機能DNSクエリ/レスポンスベースRate-limiting

DNS LBの併用可能

ACL

DNSクエリロギング

DNSキャッシュポイゾニング対策
Source Port Randomization

マルチテナント構成

不正DNSクエリのフィルタ (Malformed Query Drop)
DNS Firewall

IPv6対応RPZ (Response Query Zone)

DNS64対応

DNS Flag Day 2020 準拠

DNSアプリケーショントラフィックの可視化

独自コード実装でBind等OSSの脆弱性に該当しない高いキャッシュDNSサーバ性能
ミドルレンジモデルの Thunder 3350S ADCで1台あたり100万QPS超の性能

会場のみ

冗長化/拡張構成• VRRP-A（HA）構成
Active-Active構成

Active-Standby構成※最大8台まで拡張可能

ActiveStandby

ActiveStandbyStandby

Active

VIP1

VIP1

VIP1

VIP2

VIP1

VIP2

HAリンク

キャッシュ
DNSサーバキャッシュ
DNSサーバキャッシュ同期キャッシュ
DNSサーバ

HAリンク
キャッシュ同期キャッシュ
DNSサーバ• ECMPによるAnycast構成
ECMP
VIP1

VIP1

Redistribute VIP

VIP1

VIP1

キャッシュ
DNSサーバキャッシュ
DNSサーバキャッシュ
DNSサーバキャッシュ
DNSサーバ

BGP

BGP

BGP

BGP

BGP, OSPF, IS-ISサポート
BFDサポート
CLOSデザイン対応
BGP Unnumbered, RFC 5549サポート

② DNSフィルタリング

DNSフィルタリング（１）脅威対策• マルウェア感染、フィッシングサイトなどセキュリティ上の脅威が含まれるURL/ドメインの名前解決を、キャッシュDNSサーバであるThunder ADCでフィルタリング• 脅威インテリジェンスのクラウドサービスから脅威ドメイン情報をRPZ ZoneファイルとしてThunder ADCにインポート

DNSによる脅威防御に最適
マルウェア感染、フィッシングサイト
malwarebotnettrojanransomware

RPZ Zoneファイル

DNS名前解決

脅威インテリジェンス
クラウドサービス
脅威ドメイン情報
不正なDNS情報をRPZファイルとして提供

エラー応答

キャッシュDNSサーバ(Thunder ADC Recursive Resolver)

900+の脅威インテリジェントソースから収集DNSフィルタリング（２）アクセス制御• Web通信のHTTPS暗号化が進んだことで、プロキシ型URLフィルタでFQDN以上のアクセス制御が困難。キャッシュDNSサーバによるFQDNベースのアクセス制御がその代用として利用可
能。URLフィルタ比べ導入、構成がより容易。
• DNSカテゴリDBのクラウドサービスからカテゴリ情報をThunder ADCのDBに同期

DNSによるアクセス制御に最適制限するカテゴリURL
PornoSNS
Violence

DNSカテゴリDB
クラウドサービス

カテゴリDBDNS名前解決

DNSカテゴリ
情報
DNSカテゴリ情報を
A10のDNS DBに同期

エラー応答

DNSキャッシュサーバ(Thunder ADC Recursive Resolver)

数千万以上のセンサー

動作フロー図
脅威インテリジェンス
クラウドサービス（１）脅威対策

脅威ドメイン情報をRPZファイルとして定期インポート
DNS クエリ/レスポンス

反復問い合わせRecursive Resolver+ DNS Cache

RPZ

Thunder ADC（２）アクセス制御

DNSカテゴリDB
クラウドサービス
カテゴリDBを同期

Online Category Lookup
DNS クエリ/レスポンス権威DNSサーバ

反復問い合わせDNS Category
LookupRecursive Resolver+ DNS Cache

Thunder ADC

権威DNSサーバ③ Non-STOP DNSNon-STOP DNS（権威DNSサーバ）• セカンダリ権威DNSサーバとして構成（Hidden Primary）• 既存権威DNSサーバのIPをそのまま利用可能（アドレス重複OK。Routing Update
で権威DNS宛のトラフィックを引き込む）• DDoS含めた全てのDNSクエリを圧倒的な性能で処理（多数の権威DNSサーバ、ドメインを1台に収容可能）

DDoSクエリ

Non-STOP DNSDNS IPDNS IP

DDoSクエリ
正常なクエリ
レスポンス

DNS IP

RouteUpdate

Zone転送DNS IPDNS IPDNS IP

プライマリ
権威DNSサーバ

Non-STOP DNS（権威DNSサーバ）• 圧倒的な性能でDDoS攻撃が無効化• DDoS専用機ではフィルタが難しいランダムサブドメイン攻撃にも対応• DDoSクエリ/正常なクエリ関係なく全て応答（ランダムサブドメイン攻撃にはNXDOMAINで応答）
最大 3,500万 DNS QPS 処理可能（Thunder 7445 TPS/6655S TPS）
DDoS防御はフィルタでなく圧倒的な性能で全て応答する
DDoSクエリDNS IP

Non-STOP DNSDNS IPDNS IP
正常なクエリレスポンス

RouteUpdate

Zone転送DNS IPDNS IPDNS IP

プライマリ
権威DNSサーバ

Non-STOP DNS（権威DNSサーバ）• 正常なDNSクエリのみプライマリ権威DNSサーバへ転送可能• DDoSに対するエラー（ランダムサブドメイン攻撃に対するNXDOMAINなど）は
Non-STOP DNSが直接応答• 正常なDNSクエリのみプライマリ権威DNSサーバに転送し、プライマリ権威DNS
サーバからはNon-STOP DNSを経由せず直接応答可能
ランダムサブドメイン攻撃
Non-STOP DNSDNS IPDNS IPNXDOMAIN
正常なクエリ
レスポンス

DNS IP

Zone転送DNS IPDNS IP
DNS IP

プライマリ
権威DNSサーバDNS DDoS Mitigationの限界とNon-STOP DNSによる回答• DDoS Mitigatorによるランダムサブドメイン攻撃防御は難しい
複数要素を組み合わせ動的に攻撃を特定、検知
••
•
•
•

QPS
送信元IPアドレス
ドメイン名
FQDN
宛先IPアドレス

それでも正確な検知は難しく
誤検知の可能性高い・DDoSの検知漏れ
・正常通信までDrop• DNS DDoS Botアドレスを収集

A10はDNSクエリの中のDDoSのみフィルタするのでなく、DDoSまで含めた全てのDNSクエリを処理できる性能で対応しますNon-STOP DNSの圧倒的DNS QPS性能• 圧倒的なDNS QPS性能とDNS Zone収容キャパシティ
• DDoS含めた全てのDNSクエリ処理する圧倒的な性能
Non-STOP DNS
対応モデル

Thunder 5845 TPS

Thunder 7445 TPS

Thunder 6655S TPS

最大QPS性能

18M QPS

35M QPS35M QPS

最大ドメイン数

256K

2M（2百万）4M（4百万）最大FQDN数

25M

40M（4千万）400M（4億）

冗長化/拡張構成• ECMPによる負荷分散構成可能• StandaloneのNon-STOP DNSからRoute Updateを行い、ECMPによりDNSクエリを分散• Non-STOP DNS障害時、障害検知やECMPからの切り離しはBFD、Neighbor切断で実現

Non-STOP DNSActiveDDoSクエリ

BGP, OSPF

Zone転送Route Update

権威DNSサーバ
Active

BGP, OSPF
Route Update

ECMP
Active

BGP, OSPF
正常なクエリレスポンス

Route Update

Active

BGP, OSPF
Route Update

本日のまとめ①キャッシュDNSサーバ②DNS Filtering•

ADC由来のDNS機能（DNS LB、キャッシュ同期、DNS64 etc.）•

高性能DNSアプライアンス（1M QPS超）•豊富なネットワーク機能（HA、eBGP etc.）•

DNSフィルタリングによる脅威防御/アクセス制御•

独自コードのためOSSの脆弱性に影響を受けない

③Non-STOP DNS•

圧倒的なDNSレスポンス性能•

DDoS攻撃、ランダムサブドメイン攻撃にも対応•

既存DNS構成に追加するだけで実装可能•

権威DNSサーバを集約可能•

独自コードのためOSSの脆弱性の影響なし

The A10 Advantage