DNS Summer Day 2021

XACK meets DNSSEC株式会社XACK
技術部 蜂巣 一輝

発表内容
会社・製品紹介◆ DNSSEC対応にまつわるあれこれ◆

Copyright © 2021 XACK Inc.

2

会社・製品紹介

Copyright © 2021 XACK Inc.

3

株式会社XACK 会社紹介
◆主な業務◆

ネットワークアプリケーションシステム全般に関するソフトウェア開発

製品名概要

XACK RADIUS

大規模システム向け高性能RADIUSサーバー(GUI開発中)

XACK DNS

通信事業者向けセキュアDNSサーバー (GUI対応)XACK DHCPXACK DNS Zone Editor

DHCPv4/v6両対応高性能DHCPサーバー (GUI対応)→サーバー、GUIともにDOCSIS対応しましたNEW!
マルチテナント編集システム (GUI)XACK EAP Tester

RADIUSクライアントシミュレーター

Copyright © 2021 XACK Inc.

NEW!

4

株式会社XACK 会社紹介◆

ロゴが変わりました！

Copyright © 2021 XACK Inc.

5

株式会社XACK 会社紹介
◆Webサイトもオシャレになりました

Copyright © 2021 XACK Inc.

XACK

6

XACK DNS 製品紹介
XACK DNSの特徴
フルスクラッチの国産DNSサーバー◆ マスター/スレーブ権威機能・フルリゾルバー機能・フォワーダー機能・etc…
◆ モジュール化による機能の足し引きが可能◆◆◆

例えばマスター権威機能→フォワーダー機能と組み合わせることで、自身が管理するゾーンについては権威ある応答を、そうでないゾーンについてはどこかに転送を、等

仮想サーバー機能◆

1つのインスタンスで複数のサーバーが動作しているかのように振舞うことが可能

通信事業者様や企業・大学様での採用実績あり◆ DNSSEC対応（権威サーバー） NEW!
◆ DNS Update対応も取り組んでいます NEW!
◆Copyright © 2021 XACK Inc.

7

DNSSEC対応にまつわるあれこれ

Copyright © 2021 XACK Inc.

8

DNSSEC対応中◆◆

まだ製品ラインナップとしては挙げておりませんが、権威サーバー機能のDNSSEC対応が完了しています対応や検証に当たってのあれこれをご紹介していきます

Copyright © 2021 XACK Inc.

9

RRSIG主張強すぎ問題

Copyright © 2021 XACK Inc.

10

RRSIG主張強すぎ問題◆DNSSECは人力で運用すべきでない

Copyright © 2021 XACK Inc.

11

RRSIG主張強すぎ問題◆DNSSECは人力で運用すべきでない
権威サービスのDNSSEC対応◆ BINDも自動署名してくれたり◆ アプライアンス製品だとGUIからボタン1発だったり◆ ZSKの自動更新もやってくれたり◆ XACK DNS Managerもやってくれます◆

Copyright © 2021 XACK Inc.

12

RRSIG主張強すぎ問題◆DNSSECは人力で運用すべきでない
権威サービスのDNSSEC対応◆ BINDも自動署名してくれたり◆ アプライアンス製品だとGUIからボタン1発だったり◆ ZSKの自動更新もやってくれたり◆ XACK DNS Managerもやってくれます◆◆

署名に関連するレコードを意識することなく利用できる（DS除く）

Copyright © 2021 XACK Inc.

13

RRSIG主張強すぎ問題◆DNSSECは人力で運用すべきでない
権威サービスのDNSSEC対応◆ BINDも自動署名してくれたり◆ アプライアンス製品だとGUIからボタン1発だったり◆ ZSKの自動更新もやってくれたり◆ XACK DNS Managerもやってくれます◆◆

署名に関連するレコードを意識することなく利用できる（DS除く）◆

提供する側としては当然署名済みゾーンを直接扱うわけで…

Copyright © 2021 XACK Inc.

14

RRSIG主張強すぎ問題

Copyright © 2021 XACK Inc.

15

RRSIG主張強すぎ問題

Copyright © 2021 XACK Inc.

16

RRSIG主張強すぎ問題◆

署名済みゾーンってめちゃめちゃ見づらいですよね？

Copyright © 2021 XACK Inc.

17

RRSIG主張強すぎ問題◆

署名済みゾーンってめちゃめちゃ見づらいですよね？

◆

ゾーンファイルのRRSIG占有率が高すぎる

Copyright © 2021 XACK Inc.

18

RRSIG主張強すぎ問題◆

署名済みゾーンってめちゃめちゃ見づらいですよね？

◆

ゾーンファイルのRRSIG占有率が高すぎる◆オチはないCopyright © 2021 XACK Inc.

19

RFCに書いてある作業が実現できない

Copyright © 2021 XACK Inc.

20

再掲
◆

2年前の発表資料です

Copyright © 2021 XACK Inc.

21

RFCに書いてある作業が実現できない◆

NSECからNSEC3へ移行する手順
2. Add signed NSEC3 RRs to the zone, either incrementally or all atonce. If adding incrementally, then the last RRSet added MUST be
the NSEC3PARAM RRSet.

Copyright © 2021 XACK Inc.

22

RFCに書いてある作業が実現できない◆

NSECからNSEC3へ移行する手順
2. Add signed NSEC3 RRs to the zone, either incrementally or all atonce. If adding incrementally, then the last RRSet added MUST be
the NSEC3PARAM RRSet.

徐々にまたは一度に、署名されたNSEC3 RRの全てをゾーンに追加する。

Copyright © 2021 XACK Inc.

23

RFCに書いてある作業が実現できない◆

NSECからNSEC3へ移行する手順
2. Add signed NSEC3 RRs to the zone, either incrementally or all atonce. If adding incrementally, then the last RRSet added MUST be
the NSEC3PARAM RRSet.

徐々にまたは一度に、署名されたNSEC3 RRの全てをゾーンに追加する。
◆NSEC署名済みゾーンにNSEC3を徐々に追加するツールってご存知ですかCopyright © 2021 XACK Inc.

24

試験ケース爆増Copyright © 2021 XACK Inc.

25

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する◆

概ね同じようなパターンを3周

Copyright © 2021 XACK Inc.

26

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆◆

NSECとNSEC3が共存する

Copyright © 2021 XACK Inc.

27

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆

Copyright © 2021 XACK Inc.

28

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆ NSEC3 Opt-OutがNSEC3PARAM違いで2つある◆Copyright © 2021 XACK Inc.

29

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆ NSEC3 Opt-OutがNSEC3PARAM違いで2つある◆ etc ...
◆

Copyright © 2021 XACK Inc.

30

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆ NSEC3 Opt-OutがNSEC3PARAM違いで2つある◆ etc ...
◆◆DNSKEYも複数置くパターンで試験ケース数が爆増する

Copyright © 2021 XACK Inc.

31

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆ NSEC3 Opt-OutがNSEC3PARAM違いで2つある◆ etc ...
◆◆DNSKEYも複数置くパターンで試験ケース数が爆増する◆

委任元にDSが複数置いてあるパターンも

Copyright © 2021 XACK Inc.

32

試験ケース爆増◆NSEC, NSEC3, NSEC3 Opt-Outで試験ケース数が爆増する
概ね同じようなパターンを3周◆ …とでも思ったか◆

NSECとNSEC3が共存する◆ NSEC3がNSEC3PARAM違いで2つある◆ NSEC3 Opt-OutがNSEC3PARAM違いで2つある◆ etc ...
◆◆DNSKEYも複数置くパターンで試験ケース数が爆増する
委任元にDSが複数置いてあるパターンも◆ ZSKとKSKが分かれていないケース◆Copyright © 2021 XACK Inc.

33

試験ケース爆増◆応答が正しく取り扱ってもらえるかの検証をするため既存のリゾルバーを使うことになる

Copyright © 2021 XACK Inc.

34

試験ケース爆増◆応答が正しく取り扱ってもらえるかの検証をするため既存のリゾルバーを使うことになる◆BINDだけだと不安じゃない？→Unboundでも同様の試験を、でケース数爆増

Copyright © 2021 XACK Inc.

35

試験ケース爆増◆応答が正しく取り扱ってもらえるかの検証をするため既存のリゾルバーを使うことになるBINDだけだと不安じゃない？→Unboundでも同様の試験を、でケース数爆増◆ BINDとUnboundで挙動が違う→BINDバグってないですか？
◆Copyright © 2021 XACK Inc.

36

さて…

Copyright © 2021 XACK Inc.

37

今年まだRFCにケチ付けてないですね？

Copyright © 2021 XACK Inc.

38

RFC未定義領域問題

Copyright © 2021 XACK Inc.

39

RFC未定義領域問題◆ノルマ達成Copyright © 2021 XACK Inc.

40

RFC未定義領域問題◆RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている
Because every authoritative RRset in a zone must be protected by adigital signature, RRSIG RRs must be present for names containing aCNAME RR. This is a change to the traditional DNS specification[RFC1034], which stated that if a CNAME is present for a name, it is
the only type allowed at that name. A RRSIG and NSEC (see Section 4)
MUST exist for the same name as a CNAME resource record in a signedzone.

Copyright © 2021 XACK Inc.

41

RFC未定義領域問題◆RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている
Because every authoritative RRset in a zone must be protected by adigital signature, RRSIG RRs must be present for names containing aCNAME RR. This is a change to the traditional DNS specification[RFC1034], which stated that if a CNAME is present for a name, it is
the only type allowed at that name. A RRSIG and NSEC (see Section 4)
MUST exist for the same name as a CNAME resource record in a signedzone.

署名ゾーンでは、CNAMEリソースレコードを持つ名前に対して、同じ名前を持つRRSIGとNSECセクション4参照)が存在しなければならない(MUST)。
Copyright © 2021 XACK Inc.

42

RFC未定義領域問題◆◆

RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている一方で、CNAMEと同名のRRSIG, NSECそのものを問い合わせられた場合に取るべき挙動は？

Copyright © 2021 XACK Inc.

43

RFC未定義領域問題◆◆

RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている一方で、CNAMEと同名のRRSIG, NSECそのものを問い合わせられた場合に取るべき挙動は？
◆それそのものを返す？CNAME先を返す？

Copyright © 2021 XACK Inc.

44

RFC未定義領域問題◆◆

RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている一方で、CNAMEと同名のRRSIG, NSECそのものを問い合わせられた場合に取るべき挙動は？
◆◆

それそのものを返す？CNAME先を返す？

RFC4033～4035にてこのケースは言及されていない

Copyright © 2021 XACK Inc.

45

RFC未定義領域問題◆◆

RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている一方で、CNAMEと同名のRRSIG, NSECそのものを問い合わせられた場合に取るべき挙動は？
◆◆

それそのものを返す？CNAME先を返す？

RFC4033～4035にてこのケースは言及されていない◆

やった！Summer Dayのネタにできるぞ！

Copyright © 2021 XACK Inc.

46

RFC未定義領域問題◆◆

RRSIG, NSECレコードはその性質からCNAMEレコードと同所有者名での共存が認められるよう変更されている一方で、CNAMEと同名のRRSIG, NSECそのものを問い合わせられた場合に取るべき挙動は？
◆◆

それそのものを返す？CNAME先を返す？

RFC4033～4035にてこのケースは言及されていない
やった！Summer Dayのネタにできるぞ！
◆ ところが…
◆Copyright © 2021 XACK Inc.

47

原点回帰
◆

RFC1034 3.6.2. Aliases and canonical names
CNAME RRs cause special action in DNS software. When a name server
fails to find a desired RR in the resource set associated with thedomain name, it checks to see if the resource set consists of a CNAME
record with a matching class.

Copyright © 2021 XACK Inc.

48

原点回帰
◆

RFC1034 3.6.2. Aliases and canonical names
CNAME RRs cause special action in DNS software. When a name server
fails to find a desired RR in the resource set associated with thedomain name, it checks to see if the resource set consists of a CNAME
record with a matching class.

ネームサーバーがドメイン名に関連づけられたリソースの集合から要求されたRRを発見することに失敗した場合、リソースの集合がクラスの一致するCNAMEレコードで構成されていないかを確認する。

Copyright © 2021 XACK Inc.

49

原点回帰
◆

RFC1034 3.6.2. Aliases and canonical names
CNAME RRs cause special action in DNS software. When a name server
fails to find a desired RR in the resource set associated with thedomain name, it checks to see if the resource set consists of a CNAME
record with a matching class.

ネームサーバーがドメイン名に関連づけられたリソースの集合から要求されたRRを発見することに失敗した場合、リソースの集合がクラスの一致するCNAMEレコードで構成されていないかを確認する。

Copyright © 2021 XACK Inc.

50

原点回帰◆

RFC1034 3.6.2. Aliases and canonical names
CNAME RRs cause special action in DNS software. When a name server
fails to find a desired RR in the resource set associated with thedomain name, it checks to see if the resource set consists of a CNAME
record with a matching class.

ネームサーバーがドメイン名に関連づけられたリソースの集合から要求されたRRを発見することに失敗した場合、リソースの集合がクラスの一致するCNAMEレコードで構成されていないかを確認する。
◆

改訂するまでもなく問い合わせられたレコードそのものを返すのが正Copyright © 2021 XACK Inc.

51

原点回帰
◆

RFC1034 3.6.2. Aliases and canonical names
CNAME RRs cause special action in DNS software. When a name server
fails to find a desired RR in the resource set associated with thedomain name, it checks to see if the resource set consists of a CNAME
record with a matching class.

ネームサーバーがドメイン名に関連づけられたリソースの集合から要求されたRRを発見することに失敗した場合、リソースの集合がクラスの一致するCNAMEレコードで構成されていないかを確認する。
◆

改訂するまでもなく問い合わせられたレコードそのものを返すのが正◆

ノルマ未達成Copyright © 2021 XACK Inc.

52

まとめ◆◆◆DNSSEC対応に当たってのあれこれをとりとめなくご紹介しました

XACK DNSも（権威機能の）DNSSEC対応したので製品ラインナップ入りしたらぜひご検討ください
今後もより良い製品を目指して開発を進めてまいります

Copyright © 2021 XACK Inc.

53

参考文献
◆RFC（原文）https://datatracker.ietf.org/doc/html/rfc1034◆ https://datatracker.ietf.org/doc/html/rfc4033◆ https://datatracker.ietf.org/doc/html/rfc4034◆ https://datatracker.ietf.org/doc/html/rfc4035◆ https://datatracker.ietf.org/doc/html/rfc5155◆◆

RFC(JPRS様邦訳)
https://jprs.jp/tech/material/rfc/RFC1034-ja.txt◆ https://jprs.jp/tech/material/rfc/RFC4033-ja.txt◆ https://jprs.jp/tech/material/rfc/RFC4034-ja.txt◆ https://jprs.jp/tech/material/rfc/RFC4035-ja.txt◆ https://jprs.jp/tech/material/rfc/RFC5155-ja.txt◆Copyright © 2021 XACK Inc.

54

https://xack.co.jp

Copyright © 2021 XACK Inc.

55