ネットワークオペレータなら知っておきたい新gTLDの影響：DNSDAYレポート（2/2 ページ）

[渡瀬圭一，＠IT]

DNSサービスの安定運用のための「実装ダイバーシティ」とは何か

　DNSは、インターネットの基盤を支える重要なサービスの1つである。DNSが止まるとWebサービスもメールサービスも利用できなくなってしてしまうため、その安定運用はインターネットにとって極めて重要なものだ。

　「DNSDAY」最後のプログラムである「DNS実装ダイバーシティの話」は、DNSサービスを提供する代表的なDNS実装の1つである「BIND 9」に近年数多くの致命的な脆弱性が発見され、その対応に追われたことを機に、実装ダイバーシティ（diversity：多様性の意味）について考えるという内容だ。

【関連リンク】

BIND 9に再びDoSの脆弱性、攻撃されると復旧には強制終了が必要に

http://www.atmarkit.co.jp/ait/articles/1210/10/news084.html

またもやBIND 9にDoSにつながる脆弱性、アップグレード推奨

http://www.atmarkit.co.jp/news/201209/13/bind9.html

BIND 9にまたDoSの脆弱性、修正版へのバージョンアップを

http://www.atmarkit.co.jp/news/201206/05/bind9.html

BIND9にDoS攻撃の脆弱性、クラッシュの実例報告も

http://www.atmarkit.co.jp/news/201111/17/bind9.html

BIND 9にDoS攻撃につながる脆弱性、アップグレードを推奨

http://www.atmarkit.co.jp/news/201107/06/bind9.html

　実装ダイバーシティの基本的な考え方は、障害や脆弱性発生時などにおける冗長化を図るために、複数の種類のDNS実装を普段から準備・運用しておくことにある。例えば、ある実装に致命的な脆弱性が発見され、すぐに対応できないような状況になった場合などに備えて、脆弱性の影響を受けない実装に切り替えてDNSのサービスを継続できるようにするというものだ。

　実装ダイバーシティを実現するため、BIND 9以外のさまざまな実装の概要や運用上の注意などについて、情報交換や議論を進めること――それが本プログラムの主目的である。

「実装ダイバーシティ」をテーマとしたパネルディスカッション

　まずブロードバンドタワーの伊藤高一氏による「code diversityの概況」に始まり、続けて代表的なDNSサーバの実装が紹介された。具体的には、エヌ・ティ・ティピー・シーコミュニケーションズの高田美紀氏による「Unboundの紹介」、データホテルの市川剛氏による「djbdnsの紹介」、さくらインターネットの井上昌之氏による「100万ゾーンを管理するDNSの運用 〜Nominum社が開発しているANSの運用を含め〜」、ハートビーツの滝澤隆史氏による「NSDの紹介」、Dozensの松田顕氏による「PowerDNSの紹介」、JPRSの神戸直樹氏による「BIND 10の紹介」が順に行われた。

　その後、日本DNSオペレーターズグループ（DNSOPS.JP）代表幹事／日本インターネットエクスチェンジの石田慶樹氏の司会により議論が進められた。議論における関心の多くは、複数のDNS実装を扱うことで上昇するオペレーションコストや、それぞれの実装ごとの設定方法や運用に必要な知識、異なる実装間でのゾーンデータの取り扱いの違いといったことに集中した。

　重要なことは、ハートビーツの滝澤氏の発表にあるように、それぞれの実装においてアーキテクチャや管理手法が異なっていることであろう。例えばNSD3では、何か変更をするたびにプロセスを再起動あるいはリロード（プロセスの起動し直し）をしなければならないため、頻繁なゾーン更新をしなければいけないゾーンには向かないということだ（NSD4では解消される予定とのこと）。

　ここでの議論は答えを求めるものではなく、いろいろな考えを聞き出すことにあるため、「何が良いか」という結論には至っていない。しかしBIND 9以外の実装に興味を持つきっかけとしては有効に働いたようだ。

生きた情報収集はとても重要

　今回の「Internet Week 2012」3日目は、午前中の「DNSSECチュートリアル」に始まり、JPRSによるランチセミナー「親の心子知らず？　委任にまつわる諸問題について考える〜ランチのおともにDNS〜」、午後のセッション「DNSDAY」、夕刻からの「日本DNSオペレーターズグループBoF」と、DNS三昧の一日となった。

　それらでは、DNSに関するさまざまな情報が交換され、議論が交わされている。ランチセミナーの「親の心子知らず？　委任にまつわる諸問題について考える〜ランチのおともにDNS〜」では、ドメイン名を各ゾーンに階層化し、管理範囲を確定するための仕組みである「委任（delegation）」について、技術的な視点からの解説と、特徴に由来する注意点について詳しい説明が行われた。中でも特に、問題となった事例の解説はこれまでよりも一歩踏み込んだものであり、全体としても漠然とした知識の整理に大いに役立つものであった。

　「日本DNSオペレーターズグループBoF」でも本音ベースの議論が交わされるなど、参加者は公開資料には載らない情報を数多く得られたのではないだろうか。こうした、いわば「現場の生きた情報」は、インターネットで検索して得られる情報よりも有用である。