DNS Summer Day 2024

DNSの検証環境構築
株式会社 XACK
矢島 崇史

会社紹介等

Copyright © 2024 XACK Inc.

2

株式会社XACK 会社紹介◆主な業務◆

ネットワークアプリケーションシステム全般に関するソフトウェア開発

製品名

概要

XACK RADIUS

大規模システム向け高性能RADIUSサーバー

XACK RADIUS All-in-One

RADIUS認証・転送、マルチテナントに対応した高性能
RADIUSサーバー (GUI対応)XACK DNS

通信事業者向けセキュアDNSサーバー (GUI対応)XACK DHCP

DHCPv4/v6両対応高性能DHCPサーバー (GUI対応)XACK DNS Zone Editor

マルチテナント編集システム (GUI)XACK DDR Director

DHCP/DNS/RADIUSを統合管理するIPAM製品

XACK EAP Tester

RADIUSクライアントシミュレーターXACK DHCP Tester

DHCPクライアントシミュレーターXACK DNS Tester

DNSクライアントシミュレーター

Copyright © 2024 XACK Inc.

3

XACK DNS 製品紹介
XACK DNSの特徴
フルスクラッチの国産DNSサーバー◆ 通信事業者様や企業・大学様での採用実績あり◆ マスター/スレーブ権威機能・フルリゾルバー機能・フォワーダー機能・etc…
◆ モジュール化による機能の足し引きが可能◆◆◆

仮想サーバー機能（ビュー機能）◆◆

例えばマスター権威機能→フォワーダー機能と組み合わせることで、自身が管理するゾーンについては権威ある応答を、そうでないゾーンについてはどこかに転送を、等
1つのインスタンスで複数のサーバーが動作しているかのように振舞うことが可能

もちろんDNSSECやHTTPSレコードにも対応

Copyright © 2024 XACK Inc.

4

XACK製品デモサイト紹介
XACK製品デモサイト 『XACK UI製品ラボ』好評運用中！！

https://hands-on.xack.co.jp/

Copyright © 2024 XACK Inc.

5

XACK製品デモサイト紹介
XACK製品デモサイト 『XACK UI製品ラボ』好評運用中！！

https://hands-on.xack.co.jp/

ゾーン編集画面▼▲DNSサーバー管理画面

Copyright © 2024 XACK Inc.

6

DNSの検証環境構築

Copyright © 2024 XACK Inc.

7

◆DNS製品って多かれ少なかれバージョンアップしますよね。

◆

本番環境をバージョンアップする前に動作確認しますよね。

◆◆

DNSの動作確認をするための検証環境の構築って大変じゃないですか？
一般に構築するであろう検証環境についてアプリケーション観点での構成例をいくつか並べてみました。

Copyright © 2024 XACK Inc.

8

教科書的なDNSの構成
スタブリゾルバー(クライアント)

ルート権威サーバー
TLD権威サーバー(com)

フルサービス
リゾルバー(キャッシュ)Copyright © 2024 XACK Inc.

2LD権威サーバー(example.com)

3LD権威サーバー(foo.example.com)
9

権威サーバーの検証(1/3)◆◆

ゾーンファイルは本番環境のものが(ほぼ)そのまま使えるはず。
対向のフルサービスリゾルバーをdig/drillや負荷ツールで代替する場合はマシンを用意するだけでOK

2LD権威サーバー(example.com) 本番ゾーン
クライアントツール
Copyright © 2024 XACK Inc.

10

権威サーバーの検証(2/3)◆

反復問い合わせ動作を確認したい場合はフルサービスリゾルバー
だけでなくルート/TLD/委任先権威サーバー必要
本番環境のIPアドレスが使えない場合はゾーンファイルにも手を加える必要がある。
◆ DNSSECで署名している場合は再署名が必要◆

ルート権威サーバー 委任設定

クライアント
ツール

TLD権威サーバー(com)
委任設定
2LD権威サーバー(example.com) 本番ゾーン'

フルサービスリゾルバー(キャッシュ)ルートヒントCopyright © 2024 XACK Inc.

3LD権威サーバー(foo.example.com)ダミー設定
11

権威サーバーの検証(3/3)◆

ゾーン転送は他組織で管理している権威サーバーがある場合には模擬するしかないのでは。
基本的には検証したい権威サーバーと同じ構成を用意するだけでよい。
◆ 特定のソフトウェア固有の動作の検証は難しい。
◆◆

NOTIFY/UPDATEをうっかりインターネットに流さないように注意しましょう。
also-notify◆ NS先A/AAAA◆ SOA MNAME◆example.com. 3600 IN SOA ns.icann.org. noc.dns.icann.org. 2024041834 7200 3600 1209600 3600

Copyright © 2024 XACK Inc.

12

フルサービスリゾルバーの検証(1/4)◆

インターネット上の権威サーバーを使える場合は外部と疎通できればよい。
◆簡単

クライアントツール

フルサービスリゾルバー(キャッシュ)Copyright © 2024 XACK Inc.

13

フルサービスリゾルバーの検証(2/4)◆

使えない場合は権威サーバー (ルート/TLD/2LD/3LD)も自前で用意する必要がある。
◆

フルサービスリゾルバーを検証したいのに権威サーバーの検証環境を構築する大変さが発生する。

ルート権威サーバー

クライアント
ツール

TLD権威サーバー(com)
2LD権威サーバー(example.com)

フルサービスリゾルバー(キャッシュ)Copyright © 2024 XACK Inc.

3LD権威サーバー(foo.example.com)
14

フルサービスリゾルバーの検証(3/4)◆ゾーンファイルもそれらしく作らなければならない。
権威サーバーの検証と異なりゾーンファイルが自組織にない。
◆ 単純に権威サーバーを構築すると応答サイズが小さくなりがち(NS/A/AAAAレコードの数や所有者名の長さなど)◆ ワイルドカードレコードでレコード数ごまかしがち◆

ルート権威サーバー 委任設定

クライアント
ツール

TLD権威サーバー(com)
委任設定
2LD権威サーバー(example.com) 自作ゾーン

フルサービスリゾルバー(キャッシュ)ルートヒントCopyright © 2024 XACK Inc.

3LD権威サーバー(foo.example.com)自作ゾーン
15フルサービスリゾルバーの検証(4/4)
DNSSEC署名検証が必要な場合権威サーバーをガッツリ署名する必要がある。
◆ 検証内容によっては遅延や呼損を発生させる必要も◆◆Linuxならtcコマンドなどでそれっぽくできなくもない

クライアントツール

フルサービスリゾルバー
トラストアンカー(キャッシュ)ルートヒントCopyright © 2024 XACK Inc.

遅延
装
置

DS+署名
ルート権威サーバー 委任設定
DS+署名
TLD権威サーバー(com)
委任設定
DS+署名
2LD権威サーバー(example.com) 自作ゾーン
署名3LD権威サーバー(foo.example.com)自作ゾーン
16スタブリゾルバーの検証(1/2)◆

インターネット上のフルサービスリゾルバーまたは権威サーバーを使える場合は外部と疎通できればよい。
◆簡単

スタブリゾルバー(クライアント)

フルサービスリゾルバー(キャッシュ)Copyright © 2024 XACK Inc.

17

スタブリゾルバーの検証(2/2)◆

使えない場合はフルサービスリゾルバーおよび権威サーバーも自前で用意する必要がある。
フルサービスリゾルバーと同じ大変さ。
◆ とはいえスタブリゾルバーでそこまで検証したいケースはレアなのかも。
◆スタブリゾルバー(クライアント)
遅延装置
フルサービスリゾルバー
トラストアンカー(キャッシュ)ルートヒントCopyright © 2024 XACK Inc.

遅延
装
置

DS+署名
ルート権威サーバー 委任設定
DS+署名
TLD権威サーバー(com)
委任設定
DS+署名
2LD権威サーバー(example.com) 自作ゾーン
署名3LD権威サーバー(foo.example.com)自作ゾーン
18

【宣伝】 XACK DNS Testerでの検証環境構築支援機能◆

簡易なYAML設定ファイルから擬似権威サーバーを構築する機能を実装しました。
version: 1.0.2
zone:.:
address: 192.2.0.1
dnssec:key: "-a ECDSAP384SHA384"
com:
address: 192.2.0.2
dnssec:key: "-a ECDSAP384SHA384"
example.com:
address: 192.2.0.3
dnssec:key: "-a ECDSAP384SHA384"
include: example.com.zone

Copyright © 2024 XACK Inc.

ルート権威サーバー

DS+署名
委任設定

DS+署名
TLD権威サーバー(com) 委任設定
2LD権威サーバー 署名(example.com)
自作ゾーン

19

【宣伝】 XACK DNS Testerでの検証環境構築支援機能◆

その他権威サーバーを対象に検証環境の構築を支援する機能を鋭意開発中です。

No.

機能状態

1

擬似権威サーバー構築

実装済み2検証用ゾーンの自動署名

実装済み

3

検証用ゾーンの自動生成

実装中

4

遅延、呼損検討中

5

特殊応答

検討中

Copyright © 2024 XACK Inc.

20

まとめ

Copyright © 2024 XACK Inc.

21

まとめ
DNSの検証環境の構成例をいくつか紹介させていただきました◆ 大変そうだなと思われた方はぜひXACK DNS Testerで構築してみてください！
◆ また、『XACK UI製品ラボ』もぜひお試しください！
◆https://hands-on.xack.co.jp/

Copyright © 2024 XACK Inc.

22

https://xack.co.jp

Copyright © 2022 XACK Inc.

23