DNSSEC導入とトラブル事例

２０１１年４月２０日
三洋ＩＴソリューションズ株式会社
SANNET（AS4704）
其田 学Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

まとめ• 今のところキャッシュDNSが起因で、ユーザからトラブル報告された事例はありません。
（.ukとかの事故はありますが…）• 権威DNSの対応は慎重に、MXレコードがあるゾーンを署名する際は、事前にメールログでqmailサーバとの通信がどれぐらいあるか調査すると幸せになれるかも。
• qmailパッチ当ててー
2

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

アジェンダ

１．SANNETでのDNSSEC導入について
２．トラブル事例

3

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

SANNETでのDNSSEC導入について

4

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

昨年度のDNSの取り組み
・2010年4月～

テスト系キャッシュDNSサーバにてテスト開始

・2010年7月16日

ルートDNSサーバ署名・2010年7月20日

本番系キャッシュDNSサーバ署名検証開始（おまけ）filter-aaaa-on-ipv6の有効化

5・2011年7～12月

権威DNSサーバ用の署名システム開発・テスト

・2011年12月

ホスティングサービス署名開始

・2011年1月16日

JPDNS署名・2011年1月17日

ホスティングサービスユーザ向け署名サービス開始

・2011年2月7日

sannet.ne.jp署名・2011年3月9日

minimal-responses有効化

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

キャッシュDNS構成
2010年7月（ROOT署名後）2010年4月•

ごくごく普通の構成•

ルートDS登録、署名検証開始•

filter-on-aaaa-ipv4導入

managed-keys {“.” initial-key 257 3 8 “AwEA…..以下省略";};
options {filter-aaaa-on-v4 yes;以下省略};
6

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

権威DNS構成(DNSSEC導入前）
INTERNET

LB

権威DNSサーバ
rsync(named.conf、ゾーンファイル)

設定/ゾーンファイル配布サーバ

ゾーンファイル生成
named.coonf生成

レコード情報レコードデータサーバ

7

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

権威DNS構成(DNSSEC導入後）
INTERNET

LB

権威DNSサーバ
rsync(named.conf、署名済みゾーンファイル)

ゾーンファイル生成
named.coonf生成
署名
鍵管理

設定/ゾーンファイル配布サーバ
レコード情報レコードデータサーバ

8

署名鍵

鍵保存サーバ
Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

署名・鍵管理システム

本当はOpenDNSSECを使いたかったのですが…
1.HSM買うお金なんてありません。
2.SoftHSMが重くて使えません。（SPARC-T1なので…)
3.DBの冗長性が×(2010年9月時点なので、今は使えるのかもしれませんが…）OpenDNSSEC導入を断念
bindのDNSSEC関係ツールを叩くツールを作って対応
9

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

署名・鍵管理システム 概要図

singer参照

転送作成

権威DNSサーバ

署名処理を行う

ゾーンファイル参照

署名済みゾーンファイル

参照更新

ゾーン情報DB
ゾーン名

次回署名時刻

ステータス

sannet.ne.jp

2011/4/20

initialsannet.jp

2012/4/20

active

管理DB

署名鍵監査

auditorゾーンと鍵の状態遷移を参照更新

管理するデーモン

作成

鍵情報DB
ID

ゾーン名

タイプ

ステータス

次回更新時刻１

sannet.jp

KSK

active2011/5/20

２sannet.jp

ZSK

active2012/4/20

作成
zone-manager

登録
DSレコードレジストリ・レジストラ
IF

ゾーンと鍵の状態遷移を管理するデーモン

0

10

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トラブル事例11

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トラブル事例

１．トランスファー時のトラブル
２．メール送受信トラブル

12

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トランスファー時のトラブル(問題）
DNSホスティングをご利用のお客様がドメインをトランスファーアウトした際、そのドメインのWEBページが見れないとの連絡(原因）
DSレコードを削除せずにトランスファーアウトしてしまった為、DSレコードがあるにも関わらず、移管先の権威DNSが署名されていないという状態になった。
13

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トランスファー時のトラブル

TLD NSSANNET DNS

署名済みゾーンファイル

14

DS

S社様DNS

署名なしゾーンファイル

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トランスファー時のトラブル「対処法その１」(対処法その１）
DSを消して検証を無効にする。
ユーザーに移管先の会社に連絡してDSレコードを削除してもらうように依頼（移管先がDSの削除に対応していることが必要）

15

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

トランスファー時のトラブル「対処法その２」（対処法その２）
署名の検証ができるようにする。

SANNETの権威DNSサーバに署名したゾーンが残っていた為ネームサーバの変更を依頼。

16

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

メール送受信トラブル(問題）
sannet.ne.jp署名後、お客様からメールが送信ができない。また、相手が送ったはずのメールが届かないと連絡が寄せられ始める。

17

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

メール送受信トラブル「原因」(原因）
送受信先のメールサーバが512byteを超える応答を扱えないqmailサーバ

18

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

メール送受信トラブル「トラブル例」
日時

内容

2011年
2月17日

他社ホスティングの管理者からSANNET宛にだけメールが送信できない->ホスティングの送信メールサーバがqmail

2月23日

メーリングリストからのメール配信が遅れたり、届かなかったりする。
->メーリングリスト管理者からのエラーログを入手qmail

3月3日

他社よりSANNET宛に送信されたメールが受け取り不可->他社使用のメールサーバがqmail

3月10日

自社宛にメール先方は512バイトを超えるDNS応答が受け取れないが届かなくなった（弊社管理ドメイン）->先方に対応していただく必要があると説明

3月22日

2週間前から自分宛に届かないメールがある。送信元にはCNAME参照
失敗のエラーメールが届いているとのこと->先方のサーバがqmail

弊社サポートログから抜粋

19

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

メール送受信トラブル「対処法」（対処）
送受信先のメールサーバ管理者にパッチを当ててもらうように依頼

システム系のメールサーバはなかなか対応してくれません。

20

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

メール送受信トラブル「対策？」SANNETのDNSSECページにqmail関係の注意文追加
http://www.sannet.ne.jp/security/dnssec/

JPRSからのアナウンス後、説明がやりやすくなりました「qmail/netqmailにおける512バイトを超えるDNS応答の不適切な取り扱いについて 」
http://jprs.jp/tech/notice/2011-03-03-inappropriate-handling-for-long-dns-packet.html
ホスティング屋さんISPさんの対応がだいぶ良くなりました♪

21

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.

今日一番言いたいこと

qmailの問題はDNSSECに限らず起こる問題です

パッチ当ててないqmail使っているところがございましたら、パッチを当ててくれると助かります。

22

Copyright© SANYO Information Technology Solutions Co., Ltd. All Rights Reserved.