Internet Week 2018 DNS DAY

DNS flag day関連
株式会社ＸＡＣＫ
技術部 矢島 崇史

DNS flag dayとは
DNSサーバーソフトウェア(※)からEDNS0が正しく実装されていな
いサーバー向けの回避策を削除する日(2019/2/1)(主として)
フルリゾルバー

EDNS0あり
EDNS0なし(回避策)(不正な)権威サーバー※DNSソフトウェアのベンターおよび大規模なパブリックDNSプロバイダーが対象。OSS4製品から拡張になりました
公式サイト
https://dnsflagday.net/
Copyright © 2018 XACK, Inc. All Rights Reserved.

1

回避策を削除するとどうなる 一部または全部の権威サーバーがタイムアウトするよ
うなドメインの名前解決にかかる時間が短くなることが期待される
 EDNS0に正しく対応していない権威サーバーの管理するドメイン名が名前解決できなくなるかもしれない※EDNS0はRFC 6891で規定されるDNSの拡張機構
Copyright © 2018 XACK, Inc. All Rights Reserved.

2

どうすればいい？
 EDNS0に正しく対応しているか確認 正しく対応していなければ対応(EDNS0をサポートしないことも含む)
 トラフィックモデルが変わることが想定されるので必要に応じて検証、チューニングを検討
Copyright © 2018 XACK, Inc. All Rights Reserved.

3

どうなるのかもう少し具体的に
 いつから 2019/2/1以降、ベンダーが回避策を削除したモジュールをリリースし、自身あるいは対向がそのモジュールを適用した
ら(2/1一斉にではない)

 何が
 主にフルリゾルバー(キャッシュサーバー) 権威サーバーも対象となることがあると思われる
 スタブリゾルバー(クライアント)はこのタイミング(あるいは将来的にも？)では対応しないと思われるが……
Copyright © 2018 XACK, Inc. All Rights Reserved.

4

どうなるのかもう少し具体的に
 どうなる(フルリゾルバー)

応答がない場合2回クエリーを送信していた。

 権威サーバーが応答しない場合
DNS flag day前

フルリゾルバー
DNS flag day以降

EDNS0あり
EDNS0なし

権威サーバー

EDNS0ありフルリゾルバー

権威サーバー

応答がない場合EDNS0なしは送信しない。タイムアウトも半分の時間で済む
Copyright © 2018 XACK, Inc. All Rights Reserved.

5

どうなるのかもう少し具体的に
 どうなる(フルリゾルバー)
 権威サーバーがEDNS0なしに応答する場合
DNS flag day前

フルリゾルバー
DNS flag day以降

EDNS0あり
EDNS0なし

権威サーバー

EDNS0ありフルリゾルバー

権威サーバー

すべての権威サーバーがEDNS0ありで応答しない場
合、当該権威サーバーのドメインが引けなくなる
Copyright © 2018 XACK, Inc. All Rights Reserved.

6どうなるのかもう少し具体的に
 どうなる(マスター権威サーバー)@ NS master.example.jp ; マスター
NS slave.example.jp ; 内部名スレーブ
NS slave.example.com ; 外部名スレーブ
slave.example.jp A
192.0.2.1slave.example.jp AAAA 2001:db8::1
example.jp
example.jp
内部名スレーブ
マスターexample.jp
外部名スレーブ

1.EDNS0に正しく対応していないためアドレスを解決できず
example.com
権威サーバー

2.アドレスが分からないのでNotifyを送信できない

3.すぐにゾーン転送要求が来ず、次回Refreshぐらいまでゾーンが古いまま
Copyright © 2018 XACK, Inc. All Rights Reserved.

7

どうなるのかもう少し具体的に
 どうなる(マスター権威サーバー) ソフトウェアによっては、マスター権威サーバーでも自身が反復問い合わせをするケースがある
 BINDの外部名NS向けにNotifyを送信する際など 外部名の名前解決時に対向の権威サーバーがEDNS0に正しく対応していないと、フルリゾルバーと同様の動作となる
 結果、一部権威サーバーに即座にゾーン更新が反映されな
くなる

Copyright © 2018 XACK, Inc. All Rights Reserved.

8どうなるのかもう少し具体的に
 どうなる(スレーブ権威サーバー)@ SOA example.jp master postmaster (2001010101; はるか昔から更新されてない…)
allow-transfer { 192.0.2.2; }; 太古に捨て去ったスレーブ
example.jp
2.ゾーン転送が許可さ
1.EDNS0に正しく対応しマスターていないためシリアルがRefused れていないのでゾーン転送もできず取得できず。
今まではシリアルが変SOA
AXFR
わっていないことで期限
example.jp
3.やがてexpireを迎え、延長できていた
スレーブ
ServFail応答へ……
Copyright © 2018 XACK, Inc. All Rights Reserved.

9どうなるのかもう少し具体的に
 どうなる(スレーブ権威サーバー)
 ゾーン転送要求時に大抵SOAを問い合わせる シリアルが更新なしだとゾーン転送処理をしない マスター権威サーバーがEDNS0に正しく対応していないとシリアルが取得できない
 その後、ゾーン転送要求をするが、ゾーン転送応答が返ってこないとやがて期限切れとなる(例えばスレーブIPが変わったけれどマスター側で対応していないようなゾーン)
 結果、当該ゾーンを応答できなくなる
Copyright © 2018 XACK, Inc. All Rights Reserved.

10どうなるのかもう少し具体的に
 回避策がどの通信に適用されなくなるかは明言されていない
 ソフトウェアによって例示の通信自体がないケースも(Unboundのゾーン転送時SOAなど)
 例示のケース以外にもありそうな気がする(フォワーダーなど)
 管理しているサーバーがどんな通信をしているか把握しよう！
Copyright © 2018 XACK, Inc. All Rights Reserved.

11どうすればいいかもう少し具体的に
 ゾーン管理者
なにはともあれ公式ツールでチェック
https://dnsflagday.net/

Copyright © 2018 XACK, Inc. All Rights Reserved.

12どうすればいいかもう少し具体的に
 DNSサーバー管理者
なにはともあれ公式(に紹介されている)ツールでチェック
https://ednscomp.isc.org/ednscomp/Copyright © 2018 XACK, Inc. All Rights Reserved.

13どうすればいいかもう少し具体的に
 DNSサーバー管理者
チェックに引っ掛かったら 典型的にはソフトウェアかFWの問題らしい バージョンアップや設定の見直しを
 FWはEDNS0を理由にDNSパケットを破棄すべきではありません
Copyright © 2018 XACK, Inc. All Rights Reserved.

14どうすればいいかもう少し具体的に
 DNSサーバー管理者(フルリゾルバー)
チェックに引っ掛からなくても バージョンアップ時には検証しましょう 同時反復問い合わせ数が少なくなるはず タイムアウト時間が短くなる=TATが短くなるので、スタブリゾルバーからの再送間隔も短くなるかもしれない(QPSの増加)
Copyright © 2018 XACK, Inc. All Rights Reserved.

15

どうすればいいかもう少し具体的に
 DNSサーバー管理者(権威サーバー)
チェックに引っ掛からなくても バージョンアップ時には検証しましょう ゾーン転送の対向はおおよそ想定できると思われるので、あらかじめ挙動を確認しておきましょう

Copyright © 2018 XACK, Inc. All Rights Reserved.

16

どうすればいいかもう少し具体的に
 DNSソフトウェア開発者
なにはともあれ(ryhttps://gitlab.isc.org/isc-projects/DNS-Compliance-Testing RFC 6891に従って実装しましょう EDNS0の対応が必須なわけではありません。対応していなければOPTレコードなしのFormErrを応答すればよいです DNS flag dayに賛同しソフトウェアから回避策を削除するな
ら、どの場合に削除されるかを明確に

Copyright © 2018 XACK, Inc. All Rights Reserved.

17

まとめ
 2019/2/1以降、EDNS0の回避策が削除されます 基本的によい方向に修正されるはずですが、一部名前解決ができなくなることが懸念されています 事前に検証、対応できることはしておきましょう

Copyright © 2018 XACK, Inc. All Rights Reserved.

18http://www.xack.co.jp