Internet Week 2017 DNSOPS.jp BoF

権威DNSサービスのダイバーシティ
高嶋隆一©DMM.com LABO

背景
コンテンツプロバイダはサーバロードバランシングを用いたサーバ冗長
GSLBを利用したサイト間冗長パブリッククラウドやCDNを用いた個別コンテンツ分散等様々な冗長化技術を使ってリスク分散をしているが、その親ゾーンの権威DNSサーバが参照できなくなればおしまい©DMM.com LABO

2

事業担当部門からのリクエスト

事業担当部門からも、対DDoS耐性を含む権威DNSサーバへの可用性向上のリクエストが発生。事業によってはそもそもの必要条件となっているものもあり。
(例)©DMM.com LABO

3

この要件、どう解決するか©DMM.com LABO

4
https://commons.wikimedia.org/wiki/Sport_wrestling_(Mundja)#/media/File:WrestlingUSAF_Flag.jpg Public Domainオンプレミスの強化

対DDoS防御ネットワーク装置の導入
サーバロードバランシングや網内Anycastによるスケールアウト等の対策が考えられるが、いずれの対策も高コストな上、データセンタ内外のネットワーク障害、上位ISPの障害等には無力©DMM.com LABO

5

外部DNSサービスの導入

DDoS対策サービスを用意しているものを選定する
十分なキャパシティを用意しているサービスを選定する事は可能だが、どんなにメジャーなサービスも止まる時は止まる©DMM.com LABO

6

100%のSLAを持つサービスは存在しない
Dyn Statement on 10/21/2016 DDoS Attack• https://dyn.com/blog/dyn-statement-on-10212016-ddos-attack/Global DNS outage hits Microsoft Azure customers• http://www.zdnet.com/article/global-dns-outage-hits-microsoft-azurecustomers/

AWS Route53 DNS Outage – Impacts Last Almost a Full Day• https://mwork.io/2017/03/14/aws-route53-dns-outage-impacts-lastalmost-a-full-day/©DMM.com LABO

7

単一でダメなら組み合わせればいいじゃない= ダイバーシティ©DMM.com LABO

8
http://www.hq.nasa.gov/office/pao/History/alsj/a15/ap15-S71-42217HR.jpg Public Domain

複数の権威DNSサービスの利用
候補
オンプレ
外部DNSサービス• クラウド事業者のDNSサービス• 専業のDNSサービスプロバイダ• ISPのDNSサービス©DMM.com LABO

9

オンプレ
可能な限りがんばる
サーバロードバランシング
台数を増やしたスケールアウト
複数ネットワーク、拠点への分散配置
DDoS防御装置の導入(できれば)しかし、投資、維持運用コストもそれなりにかかるので、複数の外部DNSサービスを利用できるのであれば「使わない」というオプションもある。
©DMM.com LABO

10

外部サービス要件
BGP Anycast、異国間地域分散、キャパシティ等DDoS対策が十分取れている事
複数サービスを利用する為、専用の方法以外で外部のDNSサービスと連携が取れる事©DMM.com LABO

11

クラウド事業者のDNSサービス
性能、DDoS対策の観点では申し分ないのだが、やはり提供事業者のクラウド内での利用を想定したものとなっている。
◯ DDoS対策、キャパシティ
× 全てのRRがサポートされているわけではない× ゾーン転送はサポートされていない。
他サービスとの併用を考える時にはAPIを使った同期ツールを作成し、APIの更新に合わせて保守する必要がある©DMM.com LABO

12

専業のDNSサービスプロバイダ
条件さえ盛り込めば、可用性、データ同期共に可能なDNSサービスプロバイダが存在する◯ DDoS対策、キャパシティについては、それを売り物にした複数のサービス(*)が存在◯ データの同期についても複数のDNSサービスプロバイダがAXFR/IXFR等の標準ベースの同期をサポート? DDoS対策、キャパシティを鑑みればコストは安いが会社によっては?

©DMM.com LABO(*)条件を満たすDNSサービスプロバイダの例
https://dyn.com/
https://www.akamai.com/jp/ja/products/cloud-security/fast-dns.jsp
https://www.neustar.biz/security/dns-services

13

ISPの権威DNSサービス
回線の付加サービスとなっているケースが多くピンキリだが、たまにアタリが・・・? DDoS対策、キャパシティについては素晴らしい設備があるプロバイ
ダから物理サーバ1台しかないところまでピンキリ◯ データの同期については、殆どのAXFR/IXFR等の標準ベースの同期をサポート◯ 付加サービス扱いの為、妙に安い時がある
× 付加サービス扱いの為、回線を買っていないと買えない時がある
× 付加サービス扱いの為、ダッシュボードとかなくて申込書がいったりする時がある©DMM.com LABO

14

というわけで・・・©DMM.com LABO

15

これが2017年5月以前：権威DNSサーバはオンプレミスにのみ存在$ dig ns dmm.com @8.8.8.8~~snip~~;; ANSWER SECTION:dmm.com.
dmm.com.
dmm.com.
~~snip~~©DMM.com LABO

899
899
899

IN
IN
IN

NS
NS
NS

ns1.dmm.com.
ns2.dmm.com.
ns4.dmm.com.

オンプレ

16

こうじゃ
オンプレと複数のDNSサービスプロバイダへ権威DNSサーバを分散配置$ dig ns dmm.com @8.8.8.8~~snip~~;; ANSWER SECTION:
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
dmm.com.
~~snip~~©DMM.com LABO

899
899
899
899
899
899
899
899
899
899

IN
IN
IN
IN
IN
IN
IN
IN
IN
IN

NS
NS
NS
NS
NS
NS
NS
NSNSNS

ns1.dmm.com.
ns2.dmm.com.
ns4.dmm.com.
dns-a.iij.ad.jp.
a9-67.akam.net.
a1-198.akam.net.
a13-64.akam.net.
a12-67.akam.net.
a14-65.akam.net.
a18-66.akam.net.

オンプレ
DNSサービスその1

DNSサービスその2

17

ポイント
オンプレ含む複数のDNSサービスを利用して全落ちは避ける
DDoS対策も取れたDNSサービスプロバイダを選んで全落ちは避ける
データ同期はAXFR/IXFRを利用したレガシーなスタイルで保守コストと将来のサービス変更を容易に©DMM.com LABO

18

結論

複数の権威DNSサービスを使って、自社のサービスを守ろう！

©DMM.com LABO

19

Thank you !

©DMM.com LABO

20