権威DNSサーバ 脱自前運用のススメ

株式会社 インターネットイニシアティブ
島村 充 <simamura@iij.ad.jp>©Internet Initiative Japan Inc.

disclaimer
 私の立ち位置について– IIJの人間です– 「DNSは趣味です」と、普段言っていますが
 IIJではDNSサービスを販売しています。
 多少はDNSサービスに関わっています– IIJのサービスを特別扱いはしていないつもりですが、サービス提供者側であるということはお伝えしておきます。
©Internet Initiative Japan Inc.

今日、お話を聞いてもらい方
 公開権威DNSサーバを運用管理していて、– 疲れている方– 困りごと・悩み事を抱えている方– もっと他のことに時間を使いたい方©Internet Initiative Japan Inc.

過去の発表 DNS Summer day 2016
– BINDからの卒業
 DNS Summer day 2017
– BIND卒業できました？
DNSサーバソフトのダイバシティを奨めてきていました。今年はもう一歩進んで。
©Internet Initiative Japan Inc.

権威DNSサーバーの運用、楽したくありませんか？

©Internet Initiative Japan Inc.

権威DNSサーバの自前運用、大変じゃないですか？
– BIND祭– ソフトウェアダイバーシティの確保
 複数実装のドキュメント整備、教育、運用 etc…

– ネットワーク冗長性の確保
 ラック、DC、国内、国外、AS、NSのTLDの分散…

– 水責め攻撃への対策
 日本では権威DNSは狙われていない？

– DDoS攻撃への対策
 Janog39 Dynへの攻撃の顛末©Internet Initiative Japan Inc.

©Internet Initiative Japan Inc.

Internet Week 2017 DNSOPS.jp BoF
権威DNSサービスのダイバーシティ 高嶋さん
©Internet Initiative Japan Inc.

Internet Week 2017 DNSOPS.jp BoF
権威DNSサービスのダイバーシティ 高嶋さん
©Internet Initiative Japan Inc.

権威DNSサーバの運用、アウトソースしませんか？

©Internet Initiative Japan Inc.

メリット
 諸々の理由のサーバソフトversion upからの開放– 脆弱性対応– サーバーソフトEoL対応– 新RR type対応– 設備リプレース– OS EoL対応©Internet Initiative Japan Inc.

メリット
 運用・教育コストの削減 (サーバのお守り以外で)– ダイバシティーのために色々な種類のサーバソフトウェアのことを考えなくて良い APIのあるサービスならwrapperを作成すれば、サービスが変わってもレコード編集の方法は何も変わらないで済む もっとも、APIを作るのが面倒…という場合も多々©Internet Initiative Japan Inc.

メリット
 DDoS対策– anycastしていたり、DDoS対策装置が入っていたり、uplink帯域が太かったり、Backboneが太かったり サービス提供側も、お客さんが少ないとコストが重くのしかかるので、大規模なところでないと難しい 大規模なところもいっぱいお客さんに契約してもらって、コストメリットを出したい©Internet Initiative Japan Inc.

メリット
 DNSSEC対応– 面倒な鍵管理・ロールオーバーなどを代行– ただし、複数サービスの併用では難しい サービス間での鍵のやりとりが実質無理
 プライマリで一括管理し、セカンダリサービスを利用する場合を除く– サービスを乗り換えるときに一旦DNSSECをOFFにする必要がある場合がほとんど offし忘れて引っ越ししたらDNSSEC validation failに©Internet Initiative Japan Inc.

そうは言っても…
 セキュリティーポリシー的にNG– これが一番大きい理由でしょうか 統計情報・クエリログが不十分/無い©Internet Initiative Japan Inc.

過去に発生した問題
 共用DNSサーバにおけるサブドメインハイジャッ
クの脆弱性
example.jpの権威DNSサーバにwww.example.jpを、別の契約者が契約できるとき、多くのサーバ実装でexample.jpにNSレコードを書かなくても権威が移譲されてしまい、ハイジャックが可能となる
サービス運用上の問題に起因するドメイン名ハイジャッ
クの危険性について
https://jprs.jp/tech/security/2012-06-22-shared-authoritative-dns-server.html©Internet Initiative Japan Inc.

デメリット 直接的なキャッシュアウトが発生する
 同じサービスに収容されている、他のお客さんへの攻撃の巻き添えを食らう場合がある⇛ 複数サービスの組み合わせ
 脆弱性対応ポリシーが不明・遅い場合がある©Internet Initiative Japan Inc.

DNS Summer day 2016 BINDからの卒業 はじめに©Internet Initiative Japan Inc.

デメリット 使いたいRR Typeを書けない場合がある– 最近ではなさそうだけど、AAAA書けないとか
 新RR typeなどへの対応が遅い場合がある– BINDでCAAをサポートしたのは9.9.6(2014年9月)– Route 53 2017年8月、さくら 2017年9月、Azure 2017年11月、お名前.com, IIJ
2018年6月…
 セカンダリサービスなら特に対応不要(なはず)©Internet Initiative Japan Inc.

天秤
 ドキュメント・教育コストはサービスごとにかかるし、乗り換えたら再作成＆再教育が必要– APIで…
 API作るのに工数かかるじゃん？
 自前プライマリ＋セカンダリサービス とか

DDoS攻撃– うちのドメインにはこないよ– そんなにお金かけられるほどのドメインではな
いよ©Internet Initiative Japan Inc.

求められそうな機能
 普通の権威DNSサーバの機能は一通り– とはいえ先述の通り、RR typeの対応状況には差異がある。対応される予定のないRR typeも。
– ワイルドカードが使えなかったりする場合も
 DNSSEC– 意外と対応していないサービスが多い
× Azure, Route 53, さくら○ Google, お名前.com, IIJ©Internet Initiative Japan Inc.

求められそうな機能
 権限分割、権限委譲 操作・変更履歴
API

統計情報
 クエリログ©Internet Initiative Japan Inc.

求められそうな機能
 負荷分散関連– GSLB– 重み付きround robin– レイテンシベースルーティングzone APEXにCNAME(もどき)– ALIAS/ANAME©Internet Initiative Japan Inc.

求められそうな機能
 セカンダリ関連機能– 他にゾーン転送をする (サービスがプライマリ)– 他からゾーン転送を受ける ( 〃 がセカンダリ)©Internet Initiative Japan Inc.

アンケート結果©Internet Initiative Japan Inc.

アンケートご協力ありがとうございますm(_ _)m

回答人数: 95名
– 昨年の「ご利用のサーバーはなんですか？」と比べて、約3倍©Internet Initiative Japan Inc.

設問内容
 運用している公開権威DNSサーバーは？
– 自前運用のみ/サービス利用のみ/組み合わせ

自前運用の人:– 自前運用のみの理由– サービスに望むこと– どのような課金体系が望ましいか©Internet Initiative Japan Inc.

設問内容
 サービス利用のみ/組み合わせ の人:– サービスを利用している理由– 選定の際のポイント– サービスに望むこと– どのような課金体系が望ましいか©Internet Initiative Japan Inc.

運用している公開権威DNSサーバーは©Internet Initiative Japan Inc.

自前運用のみの理由 (複数回答)
サービス提供者だから (30)
 統計情報・ログが不十分 (6) 特に困っていない・必要性を感 BINDの独自機能を使いたい (5)
じない (24)
 ゾーン追加の際のスピード感が 技術水準維持のため (17)
あわない (5) 費用感が合わない (13) セキュリティーポリシー (4) メンテナンスタイミングを好き 対応していないRR typeがあるにできる (12)(2)
 趣味 (11) セキュリティ対応が遅い (2) トラブルシュートがしづらい 検討したいけど人手が足りな(10)
い・手が回っていない (3) ゾーン情報の変更がしづらい (9)©Internet Initiative Japan Inc.

自前運用のみの理由 (複数回答) (cont.)
運用ツールをBINDに作り込んでしまっているから
 機器更新時に移行先サービスを認識していなかった©Internet Initiative Japan Inc.

サービスに望むことは (自前運用) (複数回答)
素敵な統計情報 (23)
 クエリログ (22)
 特になし (21)
 定額課金 (20) SLA (16) UI/APIがメンテナンスで止まらない (15)
 専有権威DNSサーバ(11) 費用の安さ (2)hidden master対応
 スレーブとして機能
 逆引き対応
 サービスにないことを求めているのではない
 権威DNSのIPアドレスの固定(NSレコードを自社ドメインにしたい、AWS route53のホワイトラベルネームサーバのようなものを想定)
©Internet Initiative Japan Inc.

課金体系について (自前運用)©Internet Initiative Japan Inc.

サービスを利用している理由は (複数回答)
セキュリティ対応が不要 (20)
 素敵な統計情報画面
 トータルコストが安い (19) 楽 DDoS耐性 (14) BCP
 ダイバーシティ確保 (9) 各サービス責任者の判断
 別サービスのオマケ(無料) (8) 直接の担当ではないので不明
 DNSSEC対応が自前では大変 (4)©Internet Initiative Japan Inc.

サービス選定の際のポイントは (複数回答)
価格 (31)
 DNSSECに対応している (5) DDoS対策 (18)
 素敵な統計情報・ログ (2) ゾーン情報の編集のしやすいUI(16) ゾーンの追加・削除がオンラインでできる (15)
 ゾーン転送(受信側)対応 (12)
 ゾーン情報の編集がAPIでできる(10) サポートへの質問に対する回答が早い (7)©Internet Initiative Japan Inc.

サービスに望むことは (サービス利用) (複数回答)
素敵な統計情報 (14)
 クエリログ (13) UI/APIがメンテナンスで止まらない (12) SLA (10)
 定額課金 (10)
 特になし (6) 専有権威DNSサーバ (5)

素早い画面レスポンス
 無料sandbox
 安定運用 自前運用と共存するためのより複雑な権限管理機能
 DNSSEC対応(鍵管理含む)
 手軽な内部サーバ名前解決向けサービス。速度が出ないかなぁ。
unboundとかのwebサービス。
荒唐無稽すぎるか。
©Internet Initiative Japan Inc.

サービスに望むことは (自前運用) (複数回答)
素敵な統計情報 (23)
 クエリログ (22)
 特になし (21)
 定額課金 (20) SLA (16) UI/APIがメンテナンスで止まらない (15)
 専有権威DNSサーバ(11) 費用の安さ (2)hidden master対応
 スレーブとして機能
 逆引き対応
 サービスにないことを求めているのではない
 権威DNSのIPアドレスの固定(NSレコードを自社ドメインにしたい、AWS route53のホワイト
ラベルネームサーバのようなものを想定)
©Internet Initiative Japan Inc.

課金体系について (サービス利用)©Internet Initiative Japan Inc.

課金体系について (自前運用)©Internet Initiative Japan Inc.

Any Questions?

©Internet Initiative Japan Inc.