第2回 DNSベストプラクティスとは「隠す」そして「重ねる」
澁谷 寿夫
Infoblox株式会社
Systems Engineer
2007/12/14
塵も積もれば山となる――DNS冗長化のススメ
では、実際に何が問題なのでしょうか。
「利用されるDNSサーバとその順序」を見ると分かるように、DNSへのクエリーは必ず優先DNSサーバに送られ、応答がない場合に代替DNSサーバに送られます。つまり、クエリーごとに3秒のタイムアウトが発生します。1回のクエリーであれば、大した時間ではないので皆さんも気にしたことがないのではないでしょうか。
ですが、1000人の社員が1日平均20回のユニークな名前解決が必要な使い方をしている場合を考えてみましょう。優先DNSサーバが1日ダウンしていた場合の総タイムアウト時間は、
1000×20×3＝60000（秒）＝約16時間 |
となります。こういう計算をすることに意味があるかどうかという話もあるかと思いますが、経営者にとっては決して小さくない時間ではないでしょうか。
リゾルバのDNSサーバへの到達性（reachability）に関しては、あまり考えられてないのが現状です。タイムアウトをさせないためには、優先DNSサーバが落ちないようにする必要があります。そのための手段としてフォワーダーを冗長化することで、非常に大きなメリットが発生します。
ですが、WindowsやLinuxでは、HAクラスタ構成による冗長化をするのは簡単ではないかもしれません。そういった場合は、HAクラスタ構成に対応している製品やロードバランサを利用し、優先DNSサーバが極力落ちないよう、構築するという方法があります。
DNS設定フローチャートで確認ポイントをチェック
前回から、DNSサーバの設定の際に再帰的名前解決とゾーン転送の設定に気をつけるという話をしてきました。
DNSのまとめとして、DNSサーバ構築の際に、機能によってどのように設定するかをフローチャートに示します。
 |
| 図3 DNS設定のフローチャート |
このチャートを基に、DNSサーバの設定の見直しも検討してもらえればと思います。
次回はDHCPについて見直していきたいと思います。
 |
3/3 |
| Index | |
| DNSベストプラクティスとは「隠す」そして「重ねる」 | |
| Page1 いまだに設定ミスの多いDNS DNSベストプラクティス構成のポイント なぜプライマリを隠すのか |
|
| Page2 「プライマリを隠す」――いったい何から？ 具体的な設定を行ってみよう フォワーダーを冗長化する意味 |
|
 |
Page3 塵も積もれば山となる――DNS冗長化のススメ DNS設定フローチャートで確認ポイントをチェック |
| Profile |
| 澁谷 寿夫（しぶや ひさお） Infoblox株式会社 Systems Engineer 学生時代にLinuxと出会い、趣味と仕事で利用するようになる。 ISP勤務時代に出会ったCobaltに一目惚れしてしまい、ついにはCobaltに入社してしまう。それ以後アプライアンスをこよなく愛し、現在はコアネットワークサービスのアプライアンスメーカーであるInfobloxに勤務。 プライベートでは、オープンソースになったCobaltのGUIを開発するProject BlueQuartzの主開発者の1人として活動中。 |
 |
もう一度見直したいDNS／DHCP 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
