DNS サーバ DNSSEC 導入
Load Balancer 機能チェックリスト

平成 23 年 1 月
DNSSEC ジャパン

1 /7

DNSSEC サ ー バ DNSSEC 導 入
Load Balancer 機 能 チ ェ ッ ク リ ス ト（目次）1.

は じ め に ........................................................................................................................ 3
1.1.

目 的 ........................................................................................................................ 3

1.2.

注 意 事 項 ................................................................................................................ 3

1.3.

想 定 す る 読 者 ......................................................................................................... 4

1.4.

本 ガ イ ド ラ イ ン に お け る 前 提 条 件 ...................................................................... 52.

チ ェ ッ ク リ ス ト ............................................................................................................ 63.

総 括 ............................................................................................................................... 74.

参 考 情 報 ........................................................................................................................ 72 /7

DNS サ ー バ DNSSEC 導 入
Load Balancer 機 能 チ ェ ッ ク リ ス ト1. はじめに
近年、インターネットの根幹を支える重要な仕組みである DNS に対して、DNS 応答を偽造することで引き起こされるセキュリティ上の脅威(キャッシュポイズニング)が顕在化している。
その対策として、DNS のセキュリティ拡張機能である DNSSEC の導入が急がれ、2010 年7 月、ルートサーバに導入されたのをきっかけに、各 gTLD,ccTLD も続々と導入に向けての施策を進めている。
1.1.

目的

「DNS サーバ DNSSEC 導入 Load Balancer 機能チェックリスト」（以下、「本ドキュメント」という。）は、DNS サーバの DNSSEC 導入に伴い、DNS サーバ上位の NW 機器においても考慮しなければならない確認事項を取りまとめ、チェックリストとして提示することで、スムーズに DNSSEC 導入ができることを目的としている。
本ドキュメントが、健全な DNSSEC 運用を確保することの一助になれば、幸いである。
1.2.

注意事項

・免責事項	  本ドキュメントの内容は保証されたものではない。下記 Web サイトの免責事項をご確認頂き、本ドキュメントを使用して頂きたい。
http://dnssec.jp/?page_id=16
・問合せ先
本ドキュメントに関する改善点等のコメントは下記事務局までご連絡頂けると幸いである。
DNSSEC ジ ャ パ ン 事 務 局 	  ＜ sec@dnssec.jp＞

3 /7

1.3.

想定する読者

本ドキュメントは、ドメイン名を DNSSEC 対応する必要のあるドメイン名登録者、ドメインレジストラ(JP ドメイン名の場合は指定事業者)、DNS サーバ運用者を読者として想定している。本ドキュメントの完全な理解のためには、DNSSEC を含む DNS の概念について基本的な理解があることが望ましい。
・DNSSEC の仕組みと現状
http://dnssec.jp/wp-content/uploads/2010/11/20101122-techwg-DNSSEC-mechanisms-and-status.pdf

・DNSSEC 導入に当たってhttp://dnssec.jp/wp-content/uploads/2010/11/20101122-techwg-DNSSEC-deployment.pdf
・DNSSEC 関連 RFC
http://dnssec.jp/?page_id=124	  RFC 4033 DNS Security Introduction and Requirements.
RFC 4034 Resource Records for the DNS Security Extensions.
RFC 4035 Protocol Modifications for the DNS Security Extensions.

4 /7

1.4.

本ガイドラインにおける前提条件

本ドキュメントは、以下の前提に基づいて作成している。
1.

以下に示すテスト環境を基に Load Balancer 機能チェックリストを作成している。

2.

構成上、DNS サーバも記載しているが、NW 機器にフォーカスをあてている。

5 /7

2. チェックリスト	 
Load Balancer 機能における最低限確認すべき項目を以下に提示する。

#確認項目

1

署 名 検 証 を 有 効 に し て 名 前 解 決 で き る こ と 	  ※ 12

署 名 検 証 を 無 効 に し て 名 前 解 決 で き る こ と 	  ※ 23IP フ ラ グ メ ン ト し た 場 合 も 正 常 に 名 前 解 決 で き る こ と

４TCP ク エ リ で も 名 前 解 決 で き る こ と

５

大量のクエリを投げた場合も正常に名前解決できること

６

DNS 負 荷 ツ ー ル で 投 げ た 場 合 、 各 組 織 で 必 要 不 可 欠 な 性 能 が で る

結果OK / NGこと
７IP フ ラ グ メ ン ト 化 し た 上 で 大 量 の ク エ リ を 投 げ た 場 合 、ク エ リ が 振り分けられていること

8

UDP フ ラ グ メ ン ト 化 し た 上 で 大 量 の ク エ リ を 投 げ た 場 合 、 ク エ リが振り分けられていること

9IP フ ラ グ メ ン ト さ れ 、再 構 築 さ れ た パ ケ ッ ト の 送 信 元 が 、キ ャ ッ シ
ュ DNS サ ー バ で あ る こ と

10

UDP フ ラ グ メ ン ト さ れ 、 再 構 築 さ れ た パ ケ ッ ト の 送 信 元 が 、 キ ャッ シ ュ DNS サ ー バ で あ る こ と

11Load Balancer で フ ラ グ メ ン ト さ せ た 場 合 も 正 常 に 問 合 せ 結 果 を得ることができること＜補足説明＞※ 1.	  署名検証を有効にして名前解決できる場合とは、DO,CD,AD ビットが通	  	  る、EDNS0 に対応していること。
※ 2.	  署名検証を無効にして名前解決できる場合とは、CD ビットが通ること。

6 /73. 総括
DNSSEC ジャパンのメンバーが上記チェックリストを用いて使用している NW 機器を検証し、以下の知見が得られた。
・ NW 機器(Load Balancer)側でも DNSSEC クエリを正常に処理できること。
・ DNSSEC 導入前と比較し、DNSSEC 導入後はネットワークのトラフィックの増加、DNS サーバ側のリソース(CPU / Memory)、及び Load Balancer 側の負荷も増加すること。
そのため、NW 設計、各機器の収容設計の見直し等について検討することを推奨する。
また、各 NW 機器の設定に関しては、各組織のポリシーに則っとり適宜設定すること。

4. 参考情報DNSSEC ジャパン(DNSSEC.jp)
http://dnssec.jp/
JPRS(DNSSEC 関連情報）
http://jprs.jp/dnssec/
JPNIC（DNSSEC)
http://www.nic.ad.jp/ja/newsletter/No43/0800.html
以上7 /7