Name Server 総合スレ【DNS】
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2008/11/26(水) 01:14:36●主なオープンソース
BIND
ttps://www.isc.org/software/bind
djbdns
ttp://djbdns.qmail.jp/
NSD
ttp://www.nlnetlabs.nl/projects/nsd/
Unbound
ttp://unbound.net/
●規格
RFC1034, 1035
ttp://www.ietf.org/rfc/rfc1034.txt
ttp://www.ietf.org/rfc/rfc1035.txt
●アプライアンス
Nominum
ttp://www.nominum.com/
Infoblox
ttp://www.infoblox.co.jp/
0491488
2011/01/25(火) 10:04:09レスどうもありがとうございます。
教典とは以下のことでしょうか?
http://djbdns.qmail.jp/djbdns/separation.html
ここに書いてあることは感覚的には納得がいきます。
外に晒しているDNSサーバがキャッシュサーバの場合、再起検索も受け付ける
↓
再起検索は、再起検索でない検索より負荷が掛かる
↓
検索を多数受け付けるとサーバの負荷が上がる
一方、コンテンツサーバは再起検索を受け付けないように設定する
↓
DDoS(多数の再起検索)が投げられた
↓
再起検索を拒否するように設定されたDNSサーバは、超多数のDNSクエリを
受け付けても、拒否するだけならなんとか耐えられる
こんな感じでしょうか。
0492名無しさん＠お腹いっぱい。
2011/01/25(火) 10:24:35DDos 攻撃の踏み台に使われることがあるんでやめた方がいい。
# 詳細は dns amp でぐぐれ
allow-recursive で再帰検索の acl をかければ防げるけど、
権威サーバと共用してるようなところではどうせそんなことしてないだろう。
0493488
2011/01/25(火) 10:43:30dns amp でググってヒットした記事をいくつか読みました。
なるほど、自分で管理しているDNSサーバのレスポンスよりも、
誰でも使えてしまうキャッシュサーバをインターネット上に置いてしまうことが問題ですね。
(http での open proxy を、インターネット上に置くな、というのと同じか)。
どうもありがとうございました。
0494名無しさん＠お腹いっぱい。
2011/01/26(水) 00:18:44ACL書いた先だけ可能にするという設定になっていいと思うんだよな
9.8あたりでそうしていただきたい
0495名無しさん＠お腹いっぱい。
2011/01/26(水) 01:16:069.4.あたりからそうなってますが。
allow-queryなどのオプションと連動するので中途半端に設定してると意味がないですが。
0496名無しさん＠お腹いっぱい。
2011/01/28(金) 00:10:26allow-query
allow-query-cache
allow-recursion
っていう3つの項目あるけど、この3つの相互作用は
とても分かりづらいよね
9.7.2-P2のallow-queryが効かないバグとか見てると開発者さえ
理解してるか怪しいんじゃないか
0497名無しさん＠お腹いっぱい。
2011/01/28(金) 00:37:41もう BIND の時代は終わりだと思う
sendmail が Postfix になったように、BIND に取って代わるソフトウェアは出てこないのだろうか
コンテンツサーバ→NDS、キャッシュサーバ→unbound がいちおうあるけど。
MyDNS、maraDNS ってどうなの？
0498名無しさん＠お腹いっぱい。
2011/01/28(金) 01:28:35そこで、BIND X・・・じゃなくてBIND 10ですよ。
0499名無しさん＠お腹いっぱい。
2011/01/28(金) 02:18:200500名無しさん＠お腹いっぱい。
2011/01/30(日) 21:44:270501名無しさん＠お腹いっぱい。
2011/01/30(日) 22:41:550502名無しさん＠お腹いっぱい。
2011/01/31(月) 14:00:590503名無しさん＠お腹いっぱい。
2011/02/02(水) 21:13:27フルリゾルバの PowerDNS recursor は2年くらい前から使っているが問題なく動いている
hosts に書いた情報も一緒に混ぜてクライアントに返してくれる機能がなにげに便利
ゾーンサーバ側(PowerDNS Authoritative Server)は使ってないのでわからん
DNSSEC関係については、ゾーンサーバ側が試験中、フルリゾルバ側はまだ
0504名無しさん＠お腹いっぱい。
2011/02/04(金) 03:37:28いまさらながら評価してみるか
0505名無しさん＠お腹いっぱい。
2011/03/04(金) 13:06:12.13例えば2台のDNS(dns1とdns2)と、2台のwwwサーバ(www1とwww2)を用意して、
dns1に問い合わせが来たときはwww1を返す
dns2に問い合わせが来たときはwww2を返す
ということは普通にやってもいいことですか。
0506名無しさん＠お腹いっぱい。
2011/03/04(金) 13:30:44.57dns2はwww IN CNAME www2
みたいに。
0507名無しさん＠お腹いっぱい。
2011/03/04(金) 14:01:55.88普通はやらない。
0508名無しさん＠お腹いっぱい。
2011/03/04(金) 14:05:57.46普通にAレコード2つ書くんじゃだめなの？
0509名無しさん＠お腹いっぱい。
2011/03/04(金) 14:20:42.81負荷分散とリダンダント両立できないからやめとけ。
0510名無しさん＠お腹いっぱい。
2011/03/04(金) 14:21:04.06両方のDNS鯖で
www IN CNAME www1
www IN CNAME www2
って書いとけばラウンドロビンする
0511名無しさん＠お腹いっぱい。
2011/03/04(金) 14:59:11.03直接Aでいいじゃん。
0512名無しさん＠お腹いっぱい。
2011/03/04(金) 15:39:33.87仮にwww1が死んでもそのままアドレスは返すってことかな。
0513名無しさん＠お腹いっぱい。
2011/03/04(金) 15:47:04.730514名無しさん＠お腹いっぱい。
2011/03/04(金) 18:52:10.350515名無しさん＠お腹いっぱい。
2011/03/04(金) 20:17:53.27CNAMEの多重指定はRFC違反じゃ？
書くならAを2行書くべきだろう。
クライアントの地理情報によって返すアドレスを変えるという手法ならどこかの会社が特許取ってたな。
8.8.8.8とか使われるとアウトだが。
0516名無しさん＠お腹いっぱい。
2011/03/04(金) 20:23:11.04どこの会社？
0517名無しさん＠お腹いっぱい。
2011/03/04(金) 21:31:22.950518名無しさん＠お腹いっぱい。
2011/03/05(土) 02:57:53.56詳しく
0519名無しさん＠お腹いっぱい。
2011/03/05(土) 08:23:05.120520名無しさん＠お腹いっぱい。
2011/03/05(土) 18:15:55.95リダイレクタが落ちたら終わりじゃん。
0521名無しさん＠お腹いっぱい。
2011/03/05(土) 18:56:09.720522名無しさん＠お腹いっぱい。
2011/03/05(土) 19:00:32.900523名無しさん＠お腹いっぱい。
2011/03/05(土) 20:02:40.650524名無しさん＠お腹いっぱい。
2011/03/05(土) 21:09:43.500525名無しさん＠お腹いっぱい。
2011/03/06(日) 11:50:38.39CNAMEじゃなくてAならやったことあるよ。
DNSラウンドロビンの負荷分散が効かないクライアント
向けに負荷分散したかったので（冗長性は別のしくみで確保）
CNAMEだとダメな理由は思いつかない
DNSラウンドロビン効かないクライアント向けに負荷分散して、
かつ冗長性を持たせたいなら、www1とwww2でDNSサーバ動かす
というテクニックもあるぞ
0526名無しさん＠お腹いっぱい。
2011/03/07(月) 10:37:01.48CNAMEは1個だけ、ってRFCに明記されてるから。
そうするとうまく動かないとかそういうことじゃなく。
0527名無しさん＠お腹いっぱい。
2011/03/07(月) 11:08:15.000528505
2011/03/07(月) 12:47:08.592台の仮想サーバーに入れようと考えたのですが、
片側の仮想がダウンしたときでも、この方法ならサービスが継続できるかと思いまして。
0529名無しさん＠お腹いっぱい。
2011/03/07(月) 13:29:13.46それともダウンしたイベント契機とかでちゃんとシリアル上げるようにするの？
0530名無しさん＠お腹いっぱい。
2011/03/07(月) 13:33:31.63シリアルは別に上げなくてもいい。
まぁ、普通のやり方ではないけど。
0531名無しさん＠お腹いっぱい。
2011/03/07(月) 20:11:09.20TTLにかかわらず1800秒キャッシュするし（一度IE落とせばOK）、某携帯電話屋の
プロクシサーバは3600秒だった。某サーバソフトは起動時にDNS引いて
その結果を死ぬまで保持する。
それでもOKな用途なら、
> dns1とwww1、dns2とwww2をそれぞれセットにして、
> 2台の仮想サーバーに入れようと考えたのですが、
> 片側の仮想がダウンしたときでも、この方法ならサービスが継続できるかと思いまして。
同じようなようなことをやってるところは知ってる。
そこでは仮想サーバを分離せずに、ApacheとBIND を同時に動かす
サーバを2台用意して、
・どっちかのサーバのネットワークが落ちれば、そのサーバのBINDには
到達できなくなるので、そのサーバのApacheのアクセスは無くなる。
・Webサーバプロセスの応答を自分自身で監視して、応答に異常があればBINDも停止させることで
そのサーバのApacheへのアクセスを無くす。
・メンテで片方のサーバ止めたい時はBINDを止めるだけでいい。
ということをやってた。今でも動いてるけど、問題が起きたという話は聞いてないです。
0532名無しさん＠お腹いっぱい。
2011/03/08(火) 10:19:19.62ゾーンファイルを変更した後に適用させるのは、
/etc/init.d/bind9 restart でいいかな。
0533名無しさん＠お腹いっぱい。
2011/03/08(火) 10:53:26.13その /etc/init.d/bind9 ってスクリプト読んでみ。
0534名無しさん＠お腹いっぱい。
2011/03/08(火) 11:00:05.70どうもです。
0535名無しさん＠お腹いっぱい。
2011/03/08(火) 11:18:09.59ゾーンを指定しないと全ゾーンが読み直されるので、
大量のドメインを収容してる場合は非常に重くなる。
数ゾーン程度ならたいして変わらんけどさ。
0536名無しさん＠お腹いっぱい。
2011/03/08(火) 12:08:53.360537名無しさん＠お腹いっぱい。
2011/03/08(火) 12:26:24.23viewで内外を分けたとき、外ゾーンの転送が使えないことがいま分かったよ...
0538名無しさん＠お腹いっぱい。
2011/03/09(水) 00:57:18.88それいいな！
dns1とdns2に持たせるレコードのTTLを違うようにすれば
不等負荷分散もできそうだ
0539名無しさん＠お腹いっぱい。
2011/03/09(水) 16:44:19.87た瞬間からlame delegationです
0540名無しさん＠お腹いっぱい。
2011/03/09(水) 16:52:57.11わかってないな。NSレコードは両方書いておくんだよ。
ってかやってることはGSLBと変わらん。
0541名無しさん＠お腹いっぱい。
2011/03/09(水) 18:02:54.65止まってる状態に過ぎないわな。
普通にあり。
0542名無しさん＠お腹いっぱい。
2011/03/09(水) 18:07:12.73必要もないのに故意に権威サーバを障害状態にして世のキャッシュに被害を与える
どこがありなのか明快に説明してほしい
0543名無しさん＠お腹いっぱい。
2011/03/09(水) 18:48:07.92ネットワーク障害で到達できなかったり、パケロスで応答が帰らな
かったりは、普通にDNSで想定されてるし、しょっちゅう起こってる。
その時のキャッシュサーバ（フルリゾルバ）の動作も
RFC 1034の時代から明確に決められてる（別のNSを選択する）ので
lameを放置したりしない限り問題ないというのが俺の認識なんだけども。
> 計画メンテならちゃんとTTLを調整してレコードを書き換えてやれば良いだけ
そういう生真面目な態度は嫌いじゃないし、それが正しいことは同意する。
でも、自ゾーンの権威サーバのメンテのために、上位ゾーンの
レジストラにメンテ対象のNSレコード消してもらってメンテ終わったら
復活してもらうのか？（2台あったらそれを2回やるのか？）
NSレコードの変更に金がかかるレジストラもあるというのに。
0544名無しさん＠お腹いっぱい。
2011/03/11(金) 07:23:55.680545名無しさん＠お腹いっぱい。
2011/03/11(金) 07:27:18.082台のサーバで同じZSKとKSK使えばOK？
0546名無しさん＠お腹いっぱい。
2011/03/11(金) 09:06:04.28どちらも有効な署名があって両方のDSレコードが
親ゾーンに登録されていればいい
どうせDNSSECなんか難しすぎて誰も運用できないが
0547名無しさん＠お腹いっぱい。
2011/03/15(火) 10:21:50.44ttp://www.atmarkit.co.jp/flinux/rensai/bind02/bind02.html
のサンプルはそう書かれてないし、むしろ最後にはCNAMEに書いてるんだけど、
これは間違い？
0548名無しさん＠お腹いっぱい。
2011/03/15(火) 11:27:57.500549名無しさん＠お腹いっぱい。
2011/03/15(火) 11:36:12.39RFC1912の7ページあたり。
0550名無しさん＠お腹いっぱい。
2011/03/15(火) 18:40:27.760551名無しさん＠お腹いっぱい。
2011/03/19(土) 15:26:20.92起動後に名前解決できなくなるってことある？
bind9をリスタートさせれば戻るんだけど。
0552名無しさん＠お腹いっぱい。
2011/03/19(土) 16:08:34.94heartbeat使ってないからわからないけど
BINDが自分のIPアドレスを認識してないんじゃない？
定期的にインターフェイスチェックして見つけてくれると思うけど。
0553名無しさん＠お腹いっぱい。
2011/03/19(土) 16:27:01.63netstat -lnで確認したらどうもそうらしい。
haresourcesにbind9を追加してheartbeatと連動するようにしたらできｔ。
0554名無しさん＠お腹いっぱい。
2011/03/19(土) 23:06:13.53ユーザーをrootから一般ユーザへ降格させてると特権ポートがバインドできなくなって(以下略
restartではなくstop->startが必要になる。
0555名無しさん＠お腹いっぱい。
2011/03/22(火) 12:15:08.53BINDって 0.0.0.0 や :: に bind(2)できないのか……
0556名無しさん＠お腹いっぱい。
2011/04/03(日) 01:52:48.53verisign.comさえ署名してないのに誰が使ってるのかね
0557名無しさん＠お腹いっぱい。
2011/04/06(水) 22:21:17.21aguseなどで確認したり、関東の友人数人に確認してもらうと、しっかり反映されてページが表示されるのですが、自分の住んでいる地域だけは、ISPを変えてもPCを変えても、お名前のドメインパーキングページが表示されます。pingで確認しても、IPはお名前のままです。
もちろん24時間ほどでしっかり見れるようになるのですが、なぜ自分の住んでいる地域だけが、反映が遅いのでしょうか…？
ちなみに、GMO系列以外で取得したドメインは、即反映されて自分の地域でも普通に閲覧できます。
何年もずっと疑問なのですが、説明してくれるようなサイト等はありませんか？
0558名無しさん＠お腹いっぱい。
2011/04/07(木) 00:28:25.230559名無しさん＠お腹いっぱい。
2011/04/07(木) 00:43:07.12「ISPを変えても」が実際にはアクセス網のOEM提供で実態は一緒だったりもするし。
0560名無しさん＠お腹いっぱい。
2011/04/07(木) 10:55:12.130561名無しさん＠お腹いっぱい。
2011/04/07(木) 10:59:50.530562名無しさん＠お腹いっぱい。
2011/04/07(木) 11:11:04.430563名無しさん＠お腹いっぱい。
2011/04/07(木) 11:13:21.89社内から直接ローカルIPを叩かないと見れません。
なぜですか。
0564名無しさん＠お腹いっぱい。
2011/04/07(木) 11:26:57.690565名無しさん＠お腹いっぱい。
2011/04/07(木) 12:09:54.12さ
っip
くらは咲いて居て始めてみれる物ですが…
0566名無しさん＠お腹いっぱい。
2011/04/07(木) 18:33:25.81誰かおすすめサイト教えてくだちぃ
0567名無しさん＠お腹いっぱい。
2011/04/07(木) 18:42:57.730568名無しさん＠お腹いっぱい。
2011/04/07(木) 19:00:11.72やり方は環境によって違うので、
ネットワーク管理者に聞いてください。
0569anonymous
2011/04/07(木) 20:02:04.860570名無しさん＠お腹いっぱい。
2011/04/08(金) 10:27:48.030571anonymous
2011/04/10(日) 05:47:36.90exanames.com
infoblox.com
jasadvisors.com
verisignlabs.com
jpドメインは iij.ad.jp と jprs.co.jp くらいしかなさそう？
0572名無しさん＠お腹いっぱい。
2011/04/10(日) 22:15:24.72iwayuru設定ファイルコピペと文字列置換だけで手軽に運用してえのよ
0573名無しさん＠お腹いっぱい。
2011/04/11(月) 08:10:13.210574名無しさん＠お腹いっぱい。
2011/04/11(月) 10:00:30.88そういう人はサーバ運用しない方がいい。
0575名無しさん＠お腹いっぱい。
2011/04/11(月) 10:23:18.39jp だと、sannet のレンサバを使ってるドメインがほとんどすべて DNSSEC 化してる。
ユーザーがやめてくれと申し出ないかぎりデフォでやるという、
神対応なんだかひどい仕打ちなんだかよくわからんことになってる。
0576アクロンなら毛糸洗いに自信が持てます
2011/04/11(月) 17:07:32.910577名無しさん＠お腹いっぱい。
2011/04/11(月) 20:57:07.50地域的分散
お金あるなら、IPAnycastオヌヌメ
0578名無しさん＠お腹いっぱい。
2011/04/15(金) 03:24:38.58おー本当だ
0579名無しさん＠お腹いっぱい。
2011/04/16(土) 20:09:23.458.8.8.8に逃げるか
でも遅いんだよな
0580名無しさん＠お腹いっぱい。
2011/04/16(土) 20:32:49.86インストールするだけで127.0.0.1でDNSSEC Validator付き
DNSサービス起動するので便利。
http://www.unbound.net/download.html
このやり方が普及するとDNS権威サーバの負荷が上がっちゃうな
0581名無しさん＠お腹いっぱい。
2011/04/21(木) 23:49:15.12DNSポイゾニング方式ってどうやってるんだ？
BINDとかで簡単にできるのかな？
0582名無しさん＠お腹いっぱい。
2011/04/22(金) 00:13:01.190583名無しさん＠お腹いっぱい。
2011/04/22(金) 00:43:55.43RPZ
0584名無しさん＠お腹いっぱい。
2011/04/22(金) 00:49:42.62普通に named.confに zone "blocked.example.com" { ... }
を延々と書いてるはず
0585名無しさん＠お腹いっぱい。
2011/04/24(日) 16:36:54.93Privoxyみたいなソフトを仲介させて全体か一部を逐一弾くめんどい形式なのかと思ってた
0586名無しさん＠お腹いっぱい。
2011/04/24(日) 17:17:24.65外部へのudp53は止めてるのかねえ
0587名無しさん＠お腹いっぱい。
2011/04/24(日) 21:01:06.36DNSが多いらしい
>>586
8.8.8.8では今のところフィルタリング無しみたいだ
googleってブロッキングリストの供給受けているのに
http://www.netsafety.or.jp/about/003.html
うちのISPが提供してるDNSサーバでは問題のドメインは
ブロックされてるが（Aを問い合わせるとニセのIPが返る）、
53/udpは素通しみたいなので、8.8.8.8やローカルのBINDを
使えばブロックされない
なんというザル。。。。
0588名無しさん＠お腹いっぱい。
2011/04/24(日) 21:22:20.08参照DNSを8.8.8.8に設定変更できる人がどれだけいるのかと
……エロの力は絶大だからわからんな
0589名無しさん＠お腹いっぱい。
2011/04/25(月) 11:50:28.040590名無しさん＠お腹いっぱい。
2011/04/25(月) 12:25:41.19googleはweb検索表示にリストを参照するらしい
http://www.netsafety.or.jp/news/press/press-003.html
■ このスレッドは過去ログ倉庫に格納されています