JAPAN REGISTRY SERVICES.JPへのDNSSEC導入スケジュールについて
2010年7月21日
DNSSEC 2010 サマーフォーラム
JPRS

Copyright © 2010 株式会社日本レジストリサービス

JAPAN REGISTRY SERVICES

目次• JPRSのこれまでの取り組み• JPRSからの情報提供• JPのDNSSEC導入スケジュール

Copyright © 2010 株式会社日本レジストリサービス

2

JAPAN REGISTRY SERVICESJPRSのこれまでの取り組み

Copyright © 2010 株式会社日本レジストリサービス

JAPAN REGISTRY SERVICES.JPにおける取り組み 【DNSSEC技術検証】
2010年7月現在

ステップ1/ステップ2

ステップ3/ステップ4

ステップ5

ステップ6

概要

•JPRS社内に実験環境の構築•権威DNSサーバ、キャッシュDNS
サーバの機能・性能測定•インターネットを介した仮想JP
DNSセカンダリとのゾーン転送確認•インターネットを介したISPの
仮想キャッシュDNSサーバと接続•ネットワーク機器等の製品ベンダーと協力し、機器のDNSSEC対応状況を確認•試験用レジストリシステムの公開•JPドメイン名の指定事業者の試験用レジストラシステムと接続•JPドメイン名登録申請の動作確認•DNSSECジャパンの成果に基づいた追加検証の実施•DNSSECジャパン
へ検証結果フィード
バック

参加者

JPRS, JP DNSセカンダリ

JPRS, JP DNSセカンダリ, ISP,ネットワーク機器等の製品ベンダー

JPRS, JP DNSセカンダリ, ISP,ネットワーク機器等の製品ベンダー,
JPドメイン名の指定事業者

DNSSEC
ジャパン

構成

JPRS

JPRS

JPRSと連携

仮想ルートサーバ

仮想ルートサーバ

仮想ルートサーバ

仮想.JP権威DNSサーバ

仮想.JP権威DNSサーバ

仮想.JP権威DNSサーバ

仮想登録者権威DNSサーバ

仮想登録者権威DNSサーバ

仮想登録者権威DNSサーバ

仮想レジストリシステム

仮想レジストリシステム

試験用レジストリシステム

Internet

InternetInternet

仮想キャッシュ
DNSサーバ
仮想.JP
権威DNSサーバ
JP DNS
セカンダリ

ネットワーク機器

仮想キャッシュ
DNSサーバネットワーク機器

負荷生成装置仮想.JP
権威DNSサーバ

JPRS

JP DNS
セカンダリCopyright © 2010 株式会社日本レジストリサービス(http://dnssec.jp/)

仮想キャッシュ
DNSサーバ

仮想企業
権威DNSサーバ

負荷生成装置仮想.JP
権威DNSサーバ

ネットワーク機器

試験用
レジストラシステム

ISP/製品ベンダー

JP DNS
セカンダリ

ISP/製品ベンダー

JPドメイン名
指定事業者

4

JAPAN REGISTRY SERVICES

ステップ1～4までの状況の説明• ステップ1– ローカルに実験を行い、DNSSEC機能確認手順書(*1)および
DNSSEC性能確認手順書(*2)を作成し、ステップ3・4の準備を実施(*1) キャッシュDNSサーバおよび権威DNSサーバで、正しくDNSSECサービスを提供できるようにするために必要な各種動作を確認するための手順書。想定されるト
ラブルと、トラブルシュートのためのシナリオという形式で確認手順を示している(*2) キャッシュDNSサーバへの負荷および権威DNSサーバへのトラフィック変化を把握するための機器構成と方式を示した手順書• ステップ2– ゾーン転送の実験を行い、BINDの不具合を検出、ISCに報告してBIND 9.7.1で修正を反映• ステップ3・4– 数社のISPやハードベンダーと共同でキャッシュサーバおよびNW接続機器の挙動を確認、レポートを作成中– 成果の一部はJANOG26で紹介

Copyright © 2010 株式会社日本レジストリサービス

5

JAPAN REGISTRY SERVICES

成果の発表(予定含む)のご案内• 2010/07/08 JANOG26「動かしてみましたDNSSEC」• 2010/07/21 DNSSEC機能確認手順書・
DNSSEC性能確認手順書公開↑済• 2010/10/中 ステップ3・4実験レポート公開• 2010/11/下 InternetWeekでのレポート解説

Copyright © 2010 株式会社日本レジストリサービス↓未6

JAPAN REGISTRY SERVICESDNSSEC.jp技術検証への展開• ステップ1～5で構築した環境をDNSSEC.jp技術検
証WGの検証環境としても使用可能に• 技術検証の実施希望者は、DNSSEC.jpに参加し技術検証WGのメンバーとして活動を

Copyright © 2010 株式会社日本レジストリサービス7

JAPAN REGISTRY SERVICESJPRSからの情報提供

Copyright © 2010 株式会社日本レジストリサービス

JAPAN REGISTRY SERVICESDNSSEC関連情報• <http://jprs.jp/dnssec/>で情報提供中– 世界的な動きの紹介– DNSSECに関するJPRSがまとめた技術文書– DNSSEC関連のRFCおよびその翻訳– DNSSECに関するよくある質問とその回答などを掲載中• 本日掲載– DNSSEC機能確認手順書– DNSSEC性能確認手順書⇒手順書に関するお問い合わせは<dnssec-info@jprs.co.jp>までお寄せください

Copyright © 2010 株式会社日本レジストリサービス

9

JAPAN REGISTRY SERVICES

JPのDNSSEC導入スケジュール

Copyright © 2010 株式会社日本レジストリサービス

JAPAN REGISTRY SERVICES

今後のスケジュール• 2010/10 JPゾーンの署名開始(2ヶ月程度前にJPゾーンの署名パラメー
タを公開)(1ヵ月程度後にルートゾーンへのDS登録)• 2011/01 DS登録受付およびJP DNSへの反映開始<http://jprs.co.jp/press/2010/100721.html>

Copyright © 2010 株式会社日本レジストリサービス

11

JAPAN REGISTRY SERVICES

各マイルストーンにおける変化•

署名開始時– DNSSEC非対応のキャッシュサーバでは特に変化なし– DNSSEC対応のキャッシュサーバでは、検証を有効にしていなくてもJPのDNSSEC関連レコードが追加されるようになり、存在しない名前を引くとNSEC3が返るようになる•ルートゾーンへのDS登録時– ルートゾーンのトラストアンカーを設定していなければ署名開始時からの変化は特になし– ルートゾーンのトラストアンカーを設定しているキャッシュサーバはJPゾーンの検証が可能となる•

DS登録＆DNS反映開始時– ルートゾーンのトラストアンカーを設定していなければ署名開始時からの変化は特になし– DNSSEC対応のキャッシュサーバでは、JPゾーンにDS登録されたゾーンのDNSSEC関連レコードが追加されるようになる– ルートゾーンのトラストアンカーを設定しているキャッシュサーバはJPゾーンにDS登録されたゾーンの検証が可能となる

Copyright © 2010 株式会社日本レジストリサービス

12

JAPAN REGISTRY SERVICES

現在(～2010/10)
DO=1の設定が行われているサーバ。
BIND9、Unbound等

ルート

ルート

公
DNSSEC対応

DNSデータ
SOA,NS,…

キャッシュ
DNSサーバー

秘署名

ルート
DNSサーバー

DNSデータDNSSEC非対応
ユーザー

SOA,NS,…

JPDNSサーバーキャッシュ
DNSサーバー

DO=0の設定が行われているサーバ。
BIND8、djbdns等

Copyright © 2010 株式会社日本レジストリサービス

DNSデータ
SOA,NS,A,…

example.jp
DNSサーバー
13

JAPAN REGISTRY SERVICES

署名開始時(2010/10～)
DNSSECを有効にしていなくても、DNSSEC関連のレコードが追加される（存在しない名前を引くとNSEC3が返る）

ルート

ルート

公
DNSSEC対応

DNSデータ
SOA,NS,…

キャッシュ
DNSサーバー秘署名

ルート
DNSサーバー

JPJP公
DNSデータDNSSEC非対応
ユーザー

SOA,NS,…

秘署名

JP
DNSサーバーキャッシュ
DNSサーバー

従来のDNSの応答が行われる

Copyright © 2010 株式会社日本レジストリサービス

DNSデータ
SOA,NS,A,…

example.jp
DNSサーバー
14

JAPAN REGISTRY SERVICES

ルートゾーンへのDS登録時(2010/末)
トラストアンカーを設定していれば、JPゾーンのDNSSECによる検証が可能となる
トラストアンカーを設定していなければ、署名開始時と変化なし

ルート

ルート

公
DNSSEC対応
キャッシュ
DNSサーバー

DNSデータ
SOA,NS,…
DS

秘署名

ルート
DNSサーバー
DSを登録

JP

JP

公
DNSデータDNSSEC非対応
ユーザー

SOA,NS,…

秘署名

JP
DNSサーバーキャッシュ
DNSサーバー

従来のDNSの応答が行われる

Copyright © 2010 株式会社日本レジストリサービス

DNSデータ
SOA,NS,A,…

example.jp
DNSサーバー
15

JAPAN REGISTRY SERVICES

DS登録＆DNS反映開始時(2010/1～)
トラストアンカーを設定していれば、JPゾーンに登録されたゾーンのDNSSECによる検証が可能となる
トラストアンカーを設定していなければ、署名開始時と変化なし

ルート

ルート

公
DNSSEC対応
キャッシュ
DNSサーバー

DNSデータ
SOA,NS,…
DS

秘署名

ルート
DNSサーバー
DSを登録

JP

JP

公
DNSデータDNSSEC非対応
ユーザー

キャッシュ
DNSサーバー

SOA,NS,…
DS

秘署名

JP
DNSサーバー
DSを登録

example.jp

example.jp

公
従来のDNSの応答が行われる

Copyright © 2010 株式会社日本レジストリサービス

DNSデータ
SOA,NS,A,…

秘署名

example.jp
DNSサーバー
16

JAPAN REGISTRY SERVICES

Q and A

Copyright © 2010 株式会社日本レジストリサービス

17