1 / 27

DNS 設定におけるよくある間違い & DNS 設定チェックリスト

DNS 設定におけるよくある間違い & DNS 設定チェックリスト. インターネット総合研究所 伊藤 高一 kohi@iri.co.jp. Q.1. PC UNIX より遅いので始末に困っていた 3 年前のワークステーションをネームサーバにした。 　保守契約には入っていないので OS は 3 年前のままだが、運よく named が OS についてきていたので、それを使っている。. A.1. × 3 年前の named にはセキュリティホールが存在します。 BIND でセキュリティホールが見つかっていないのは以下のバージョンだけです。 4.9.11 8.2.7

jihan
Download Presentation

DNS 設定におけるよくある間違い & DNS 設定チェックリスト

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. DNS設定におけるよくある間違い&DNS設定チェックリストDNS設定におけるよくある間違い&DNS設定チェックリスト インターネット総合研究所 伊藤 高一 kohi@iri.co.jp IW2002 DNS Day

  2. Q.1 PC UNIXより遅いので始末に困っていた3年前のワークステーションをネームサーバにした。 　保守契約には入っていないのでOSは3年前のままだが、運よくnamedがOSについてきていたので、それを使っている。 IW2002 DNS Day

  3. A.1 × 3年前のnamedにはセキュリティホールが存在します。 BINDでセキュリティホールが見つかっていないのは以下のバージョンだけです。 • 4.9.11 • 8.2.7 • 8.3.4 • 9.2.1 • 資料作成時点、TxB、rcなどは除く。 IW2002 DNS Day

  4. Q.2 BIND 9.2.1をインストールしているが、レゾルバライブラリのセキュリティ対策のためにOSのパッチを当てた。 IW2002 DNS Day

  5. A.2 ○ BIND 9では、意識的にインストールしないとレゾルバライブラリはコンパイルすらされません。 　後からレゾルバライブラリをインストールしても、バイナリを再リンクしたり動的ライブラリのモジュールを差し替えるなどしないと、元々のルーチンが使われています。 IW2002 DNS Day

  6. Q.3 11月の頭にメーリングリストでnamed.rootがどーのこーのと書いてあるメールが流れてきたが、英語だったので読み飛ばした。 IW2002 DNS Day

  7. A.3 × 11月5日にJ.ROOT-SERVERS.NET.のアドレスが変更されたnamed.rootが配布されました。 IW2002 DNS Day

  8. Q.4 　メールサーバはyamada.nishiki.gr.jp.というホストがやっているが、MXレコードにはmail.nishiki.gr.jp.と書きたかったので、yamadaとは別にmailというAレコードを作ってyamadaと同じIPアドレスを書いた。 IW2002 DNS Day

  9. A.4 ○ mailのAレコードを作らずにyamadaを指すCNAMEレコードを作ってはいけません。同様にNSのRDATAもaliasではいけません。 • (RFC2181) 　送信元のMTAによってはMXを要求してCNAMEが返ってくると無視する実装もあるそうです。 　ちなみに次ホップでのReceived:ヘッダにはmailではなく逆索きして得られたyamadaが表示される可能性があります。 IW2002 DNS Day

  10. Q.5 　ルータのSerial4/0:17に振ったアドレスをDNSに登録するのに Serial4/0:17.ko.nishiki.gr.jp. 　という名前でAレコードとPTRレコードを設定した。 IW2002 DNS Day

  11. A.5 × ホスト名は • 数字またはアルファベットで始まり • 数字、アルファベット、ハイフンを繰り返し • 数字またはアルファベットで終わること になっています。 • (RFC1035,RFC1123) IW2002 DNS Day

  12. Q.6 メールサーバは • yamada.nishiki.gr.jp. • sasa.nishiki.gr.jp. の2台なのでnishiki.gr.jp.ゾーンに @ IN MX 10 yamada.nishiki.gr.jp. IN MX 20 sasa.nishiki.gr.jp. と設定した。 IW2002 DNS Day

  13. A.6 ○ 末尾の‘.’を忘れると相対表記と解釈され yamada.nishiki.gr.jp.nishiki.gr.jp. sasa.nishiki.gr.jp.nishiki.gr.jp. に展開されてしまいますので注意しましょう。 IW2002 DNS Day

  14. Q.7 ISPから来たセカンダリネームサービスの案内という紙に書いてあったセカンダリのホスト名を自分のところのNSレコードに書いた。 　プライマリの設定さえしておけば、商売なんだから後はISPが勝手に設定して当然だ。 IW2002 DNS Day

  15. A.7 × 　参照すべきマスタのIPアドレスがわからなければISP側も設定のしようがありません。 　ましてやセカンダリの希望の有無は、言われなければもっとわかりません。 IW2002 DNS Day

  16. Q.8 ISPからの案内にしたがって 32/27.0.168.192.in-addr.arpa. 　というゾーンを設定したが、逆索きできないのでメーカーのサポートを呼んだところ、「ゾーン名が間違ってますね」と言って 0.168.192.in-addr.arpa. 　に直してくれたら索けるようになった。 　やはりISPのサポートよりメーカーのサポートの方が腰も低いしソフトのことをよく知っているので頼りになる。 IW2002 DNS Day

  17. A.8 × RFC2317を使う場合はISP側の設定が済まないと逆索きできません。 　ユーザ側が/24に対応するゾーン名で設定してしまうとISP側からauthorityが委任できないばかりでなく、ユーザ側でも同じ/24に同居するサイトの逆索きができなくなります。 IW2002 DNS Day

  18. Q.9 　古い本に載っていた例ではSOAレコードの最後の数字が86400になっていたが、$TTL 86400と書いたので、SOAレコードの最後の数字は7200に設定した。 IW2002 DNS Day

  19. A.9 ○ SOAレコードの最後の数字は、以前はTTLのデフォルト値でしたが、BIND 8以降ではnegative cacheのTTLに意味が変更されています。 IW2002 DNS Day

  20. Q.10 　マスタサーバのホスト名はmiyama.nishiki.gr.jp.で @ IN NS miyama.nishiki.gr.jp. 　と設定しているが、ns.nishiki.gr.jp.の方が体裁がいいので、JPRSにはns.nishiki.gr.jp.というホスト名で登録した。 IW2002 DNS Day

  21. A.10 × 　例えばクライアント側のサーバで nishiki.gr.jp. IN NS ns.nishiki.gr.jp. はキャッシュ上にあり、ns.nishiki.gr.jp.のAレコードのTTLが切れるとauthorityにたどり着けなくなります。 　また実装によってはmiyamaが返したNSレコードを無視する物もあるようです。 IW2002 DNS Day

  22. Q.11 www.nishiki.gr.jp.とimap.nishiki.gr.jp.はtochi.nishiki.gr.jp.を指すCNAMEレコードとして定義していたが、tochi.nishiki.gr.jp.のリースが切れたので、tochi.nishiki.gr.jp.のAレコードもkoto.nishiki.gr.jp.を指すCNAMEレコードに書き換えた。 　これでwwwとimapもkoto.nishiki.gr.jp.を指すようになった。 IW2002 DNS Day

  23. A.11 △ 　循環参照を避けるために、多段CNAMEの段数が制限されている実装もあります。 • BIND 4.x/8.x: 8段 • BIND 9.x: 16段 • djbdns: 4段 Authority側のサーバではなくクライアント側のサーバに依存するので、使わないのが無難です。 IW2002 DNS Day

  24. Q.12 NOTIFYが導入されたので、ゾーンデータを変更した後、serialを増やす必要はなくなった。 IW2002 DNS Day

  25. A.12 × NOTIFYが届かないこともありますし、解釈しない実装もあります。 　それ以前にNOTIFYはSOAが変更されたことの通知なので、NOTIFYが飛んできたのに実際にはserialが変化していなければ、slaveはゾーン転送しないかもしれません。 IW2002 DNS Day

  26. FIN • 最後までお付き合いありがとうございました。 • あなたのサーバ、大丈夫でしたか? IW2002 DNS Day

  27. 石田氏コメント IW2002 DNS Day

More Related