権威DNSサービス調査報告会～ DNSサービス申し込み Boot Camp! ～長崎県立大学
情報システム学部 岡田 雅之
情報システム学部４年 古賀 大雅教授

34年生の古賀さんが地道に調査を担当

前回のおさらい 各社のDNSサービスを調査● サービスの詳細は若干深いところにある○

サービス＞サービスの詳細＞サービスの実際＞サービスの機能＞サービスの設定 とか○● 調べていくと心が震える文言も○○○○「家のサービスでは〇〇の機能は実装しないから他社をあたってくれ」「サービスの詳細」→「営業からいますぐ連絡します。メールアドレスを入力！」などなど● ひたすら地道にWebを調査○

日本の代表的なサービス提供者と各国のクラウド事業者の状況を予備調査

前回からのおさらい ひたすら地味にWebを調査、、、とは言え● 「組織名＋DNS＋Service」などと検索エンジンで検索● 出てきたページのURLから○○

wget -r -l 10 URL
grep -i (例えばtsigとか27017とか) -rl フォルダ名● などとしてキーワードがでてきたページを目視でチェック● 最近のインタラクティブなWebでは単純にリンクを辿れない場合も多い今のところ、13社を集中的に調査

IIJ Cloud Flare Akamai Amazon
Microsoft Google IBM OracleGMO
GoDaddy NeuStar Interlink
選んだ理由：識者からの推薦、調査するメンバーの主観

機密性の調査結果の基準
ISO27017対応

DNSを含む何らかのサービスが対応していれば〇

サービスコンソール(SC)への多要素認証

DNSを含む何らかのサービスが対応していれば〇

Roll Base Authentication

DNSを含む何らかのサービスが対応していれば〇

ゾーン転送にてTSIGが利用可能

TSIGが利用可能と書いてあれば〇

サブドメイン名ハイジャック対策

サブドメイン名ハイジャック対策および、そう読める文言があれば〇

機密性 概ね〇になった事業者は1社
ISO27017対応〇8社 あとは調査中

サービスコンソール(SC)への多要素認証〇7社 あとは調査中

Roll Base Authentication〇7社 あとは調査中

ゾーン転送にてTSIGが利用可能〇2社 あとは調査中

サブドメイン名ハイジャック対策〇4社 あとは調査中

可用性の調査結果の基準
権威サーバの地域冗長性

説明に書いてあれば〇

閾値によるレスポンスレートリミット

説明に書いてあれば〇

他の権威DNSサービスとセカンダリの連携が可能

説明に書いてあれば〇

指定した地域でサービスが利用可能

説明に書いてあれば〇

SLA規定

説明に書いてあれば〇

更新処理がDR構成になっていること

説明に書いてあれば〇

可用性
権威サーバの地域冗長性〇9社

閾値によるレスポンスレートリミット〇4社

他の権威DNSサービスとセカンダリの連携が可能〇3社

指定した地域でサービスが利用可能

〇6社

SLA規定

〇10社

更新処理がDR構成になっていることはっきり読み取れる事業者は・・・・

完全性の調査結果の基準
バックアップの有無、頻度
DNSSEC対応

説明に書いてあれば〇
説明に書いてあれば〇
ただし様々な前提条件がつく (後述)

完全性・利便性・リソースレコードの対応
バックアップの有無、頻度
DNSSEC対応

明確に〇は1社、その他調査中〇10社

運用レポート・コスト・契約● 運用レポート・コスト・契約は実際にアカウント作成、ドメイン登録の後に調査が必要か”？”の項目が多い。

調査を通じて得た所感● サービスを説明する言葉の抽象性○○○「DNSのセキュリティをあらゆる場面から実現」→？？？？？
「マネージドでトータルなプラクティカルソリューション」→？？？？
もう少しエンジニア目線の説明があってもいいかも？
■

寝耳にウォーター or トゥギャザーしようぜ!以上に聞こえない● これを書いてくれという標準化？がほしいです○○

標準メニュー
サイゼでもロイホでもどこにイってもわかるメニュー■

ラーメンとかハンバーグとか● 可用性、運用関連はWebからの調査は限界○

実際にユーザ登録、ドメイン名の登録を行い調査を継続予定

～ Boot Camp ～というわけで、本業のWebも厳しい状態なので本気でサービス調査に乗り出しました。

実際に調査を始めた思い(研究の側面もあるが)● 超絶にドメイン名はかっこいい 昔のSunSiteみたい○sun.ac.jp● トップページが遅いしDNSの構成も(以下自粛)○

自分で運用や設計をするのは大変だな■○

大学の人でも運用できればいいな■○

できればもっとBGPのことやりたいしDNSもCDNもWebでポチポチできればほどよいソリューション感■

必要な時に必要なだけご指導・アドバイスいただける● といったマインドで試用してみました6社を試用してみようと。

First Contact
IIJ

CloudFlare

AkamaiAmazonMicrosoftAzure

Google

最初の出会いWeb相談

Webからアカウント申し込
みWebからアカウント申し込
みWebからアカウント申し込
みWebからアカウント申し込
みWebからアカウント申し込
み

その後のやり取り

担当営業からメール、エクセ
ル

すぐ利用可能担当営業から連絡すぐ利用可能すぐ利用可能すぐ利用可能ログインまでの時間

現在もやり取り中

ほぼ即

プロダクトの説明を受け利用開始

ほぼ即

ほぼ即

ほぼ即

補足

やり取りが遅いわけでなく岡田対応ミス

(6)運用レポートが作成されること-1
IIJ

CloudFlare技術QA〇(と思われる)〇?
(Dashboard)

受付時間〇
プランによる?

連絡手段

調査中

問い合わせ
追加コスト

調査中

Microsoft
Azure

Google〇?
(Dashboard)〇〇

24-365対応時間はプラン次第

24-365対応時間はプラン次第

24-365対応時間はプラン次第

24-365対応時間はプラン次第

コミュニティ
Web
Chat
専用電話

コミュニティ
Web
Chat

コミュニティ
Web
Chat

コミュニティ
Web

AkamaiAmazon〇?
(Dashboard)

24-365対応時間はプラン次第
コミュニティ
Web
Chat
専用電話

(6)運用レポートが作成されること-1
IIJ

CloudFlare

AkamaiAmazonMicrosoft
Azure

Google

レスポンス
SLA

調査中

プラン事目安が存在明記(調査中)

明記

調査中

明記

障害連絡方
法

調査中

連絡手段と同様連絡手段と同様連絡手段と同様連絡手段と同様連絡手段と同様障害連絡に関するSLA

調査中

調査中

調査中

調査中

調査中

調査中

(7)コスト・契約
IIJ

CloudFlare

AkamaiAmazonMicrosoft
Azure

Google

明朗会計

明確

明確

調査中

明確
従量課金

明確
従量課金

明確
従量課金

契約期間と解除が明確

明確

明確

無料期間調
査中

明確

明確

明確

契約自動更新

自動更新

自動更新

無料期間調
査中

自動更新

自動更新

自動更新

契約申し込み形式

営業経由申し
込み

Web契約

Web契約

Web契約

Web契約

Web契約

調査中

可能
(任意のIP)

可能(任意のIP)

可能(任意のIP)

可能(任意のIP)

可能(任意のIP)

逆引き(*) RR(独自レコードは除く)

例 CloudFlare 課金体系など
無料

Pro

Business

月額費用$0/month$20/month$200/month

DNSレコード数

1000

3500

3500

3500

サポート平均応答時
間24時間以内

4時間以下

2時間以下

選任SE

RBA

Enterprise
Get in touch!

〇例 CloudFlare サポート体系の明確化

https://support.cloudflare.com/hc/ja/articles/200172476-Cloudflare%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%81%AB%E5%95%8F%E3%81%84%E5%90%88%E3%82%8F%E3%81%9B%E3%82%8Bより

例 CloudFlare
無料

Pro

Business

Enterprise

コミュニティ

〇〇〇〇SPチケット
(Web)

〇

〇

〇

〇

〇

〇

チャット

緊急電話

〇

例 CloudFlare ハマったポイント

最低限 SOAが引ける状態からでないとサイトを作成不可

サイト登録の例

サイト登録の例

DNSSECを楽しんでみる

dnsvizも問題なしadビットも立っている。

RRSIGの有効期間2021年4月6日5時57分42秒ー2021年4月8日7時57分42秒
2日と2時間秒毎に変わるので、ほぼクエリがあるたびにRRSIGを生成か。
(それとも毎回署名しているが同じ秒なので変化しないだけ？)

RRSIGの有効期間2021年4月7日6時12分52秒-2021年4月7日8時27分52秒
有効期間は2時間15分。同様にクエリ事に署名か。

不在証明(NSEC)
Cloudflare

不在証明

NSEC

AWS

NSEC

GoogleNSEC3(NSECも選択可)DNSSEC 不思議なNSEC \000

以下繰り返すと、、、応答の最長文字列まで同様に繰り返し。CFも同様。

DNSSEC 複数サービス導入の検討● どのサービスも独自NSの設定は可能● ゾーンの同期はゾーン転送 or APIベース● DNSSEC導入時は難しいと思われる。
○権威DNSサーバサービスにおいてKSK/ZSK生成時の秘密鍵のエクスポート機能が存在しない、、、か？

● Shadow-Secondary構成でRRを転送すればできるか？
○

RRSIGをRRとして登録可能なサービスは今回の調査対象では存在せず● 複数サービス事業者を混ぜての運用は難しいか。

詰み状態
都度署名!

オンプレ

署名!

A社

B社

オンプレミスなサーバにて署名してもRRSIGを送る手段がない。

C社

A社

B社

都度署名しているので、そもそもRRSIG付ゾーンデータが存在しない？

署名!

署名!

署名!

A社

B社

C社

秘密鍵のエクスポートができない
ので、それぞれ同じ KSK/ZSKで署名してもらうこともできない。

試用雑感● アカウント作成時の人の介在○悪性サイトによる利用を極力排除すべくヒアリングが必須とも● プロダクトの説明は顧客の悩み事のヒアリングは丁寧○

実際に学内での試用に到達するかも現時点での仮の結論
IIJ

AkamaiCloudFlareAmazonGoogle
Microsoft Azure

なるべくお任せしたい

ある程度は自前で設定
自分でできる範囲で自分でやる
DNSのIaaSとして全部自分でやるご注意・お願い● 本資料は2名の調査者の調査によるものです。
● 実際にご利用の際には、各事業者さんへ直接相談・問い合わせをお願いします。
● 調査の詳細データ・全データは次のURLにあります。
https://docs.google.com/spreadsheets/d/1sM6r6pscUS4Ujngp2qQsreQNrUKFe3A32GDavDMvbM4● /edit#gid=0● コメントやご指摘は次のURLからお願いします。ご指摘、コメントに個別に返答はいたしませんが、本調査有志（石田(慶)、米谷、岡田）にて確認し、情報を更新します。
● https://forms.gle/cbResZDSuCnoE8kA9

謝辞と今後に向けて● コメントをくださったdnsopsのみなさま● 相談にのっていただいている事業者の関係者の方々●

ありがとうございました！