オープンリゾルバとは？おーぷんりぞるば
オープンリゾルバとは、インターネット上の誰からの再帰問合せにも応答してしまう状態のDNSキャッシュサーバ。送信元IPアドレスを詐称した小さな問合せに対して大きな応答を返すため、DNS増幅（リフレクタ）攻撃の踏み台にされる。悪意なく、設定の見落としでこの状態になっている例が多い。
最終更新：2026-10-06
この語が出る過去問を解く →背景
DNSはUDPで動き、問合せの送信元が本物かどうかを確かめないまま応答を返す。応答は問合せより大きいので、送信元を標的のアドレスに詐称すれば、攻撃者のわずかな帯域が何十倍にも増幅されて標的へ集まる。踏み台にされた側は自分の通信が止まるわけではないため気づきにくく、加害側に立ってしまう。キャッシュサーバと権威サーバをどう分離するかという設計判断とセットで問われる。
具体例
JPCERT/CCやIPAは、DNSサーバの再帰問合せを自組織のアドレス範囲からだけ受け付けるよう設定を見直すことを継続して呼びかけている。設計としては、外部へ公開する権威サーバと内部利用者向けのキャッシュサーバを別のホストに分け、後者は外向きに開かないのが基本形になる。
試験での引っ掛け
対策は再帰問合せの受付を自組織に限定することで、権威サーバとしての応答まで止める選択肢は誤り。1台に両方の機能を同居させていることが根本原因である点まで問われる。またNTPやSNMPのように応答が要求より大きいUDPサービスは同じ構図で踏み台になるので、DNSだけの話ではない。
関連用語
出た過去問
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）解説で登場
DNSの再帰的な問合せを使ったサービス不能攻撃（DNS amp攻撃）の踏み台にされることを防止する対策はどれか。
正解：DNSサーバをキャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。
要点：DNS amp対策は外部からの再帰問合せを止めること
DNS amp攻撃は、送信元を詐称した問合せをオープンリゾルバへ送り、大きな応答を標的へ集中させる攻撃である。したがって、外部から自由に再帰問合せできる状態をなくすことが対策になる。キャッシュサーバとコンテンツサーバを分け、キャッシュサーバへはインターネット側から問い合わせられないようにすればよい。
出典：令和元年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）解説で登場
DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされることを防止する対策はどれか。
正解：DNSサーバをキャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。
要点：リフレクタ攻撃対策は外部からの再帰問合せを止めること
DNSリフレクタ攻撃は、送信元を詐称した問合せをオープンリゾルバへ送り、大きな応答を標的へ集中させる攻撃である。踏み台にされないためには、外部から自由に再帰問合せができる状態をなくせばよい。キャッシュサーバとコンテンツサーバを分け、キャッシュサーバへはインターネット側から問い合わせられないようにする。
出典：令和4年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）解説で登場
DNSの再帰的な問合せを使ったサービス妨害攻撃（DNSリフレクタ攻撃）の踏み台にされないための対策はどれか。
正解：DNSサーバをDNSキャッシュサーバと権威DNSサーバに分離し、インターネット側からDNSキャッシュサーバに問合せできないようにする。
要点：オープンリゾルバをなくすことがDNS反射攻撃の踏み台対策
DNSリフレクタ攻撃の踏み台になるのは、外部の誰からでも再帰的問合せを受け付けてしまうオープンリゾルバである。キャッシュサーバ（再帰問合せに応じる）と権威サーバ（自ゾーンの応答だけ返す）を分離し、キャッシュサーバへの問合せは内部からだけに制限することで、踏み台にされることを防げる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。