DNSとは？

DNSの意味

ドメイン名とIPアドレスなどの情報を対応付ける分散データベースシステム。ルートから順に委譲された階層構造をもち、権威サーバがゾーン情報を持ち、キャッシュサーバ（フルサービスリゾルバ）が反復問合せで答えを集める。通常はUDP 53番、応答が大きい場合やゾーン転送ではTCP 53番を使う。

DNSの具体例

端末はキャッシュサーバへ再帰問合せを出し、キャッシュサーバがルート→TLD→権威サーバの順に反復問合せを行う。

DNSは試験でどう引っ掛けられる？

ホスト名とIPアドレスの対応は1対1ではなく多対多に設定できる（1つのIPに複数の名前、1つの名前に複数のIP）。

DNSと関連する用語

• リソースレコード
• DNSSEC
• オープンリゾルバ

DNSが出た過去問

• DNSゾーンデータファイルのMXレコードに関する記述のうち、適切なものはどれか。

  正解：先頭フィールド（NAMEフィールド）には、メールアドレスのドメイン名を記述する。

  要点：MXレコードはドメイン宛メールの配送先を示す

  MXレコードは、あるドメイン宛ての電子メールをどのホストが受け取るかを示すレコードである。NAMEフィールドにはメールアドレスの＠より後ろに当たるドメイン名を書き、その配送先となるメール交換ホストの名前とプリファレンス値を指定する。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問6（IPA）

• DNSSECの機能はどれか。

  正解：DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する。

  要点：DNSSECは署名でレコードの正当性と完全性を検証

  DNSSECは、DNSの応答に含まれるリソースレコードへディジタル署名を付ける拡張である。問合せ側は公開鍵で署名を検証することで、そのレコードが正当な権威サーバから出されたものであり、途中で改ざんされていないことを確認できる。これによりキャッシュポイズニングを防げる。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• DNSの再帰的な問合せを使ったサービス不能攻撃（DNS amp攻撃）の踏み台にされることを防止する対策はどれか。

  正解：DNSサーバをキャッシュサーバとコンテンツサーバに分離し、インターネット側からキャッシュサーバに問合せできないようにする。

  要点：DNS amp対策は外部からの再帰問合せを止めること

  DNS amp攻撃は、送信元を詐称した問合せをオープンリゾルバへ送り、大きな応答を標的へ集中させる攻撃である。したがって、外部から自由に再帰問合せできる状態をなくすことが対策になる。キャッシュサーバとコンテンツサーバを分け、キャッシュサーバへはインターネット側から問い合わせられないようにすればよい。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）

• DNSでのホスト名とIPアドレスの対応付けに関する記述のうち、適切なものはどれか。

  正解：一つのホスト名に複数のIPアドレスを対応させることも、複数のホスト名に同一のIPアドレスを対応させることもできる。

  要点：DNSのホスト名とIPアドレスは多対多で対応できる

  DNSでは、1つのホスト名に複数のAレコードを登録して複数のIPアドレスを対応させることができ（DNSラウンドロビンなど）、逆に複数のホスト名へ同じIPアドレスを対応させることもできる（1台のサーバでの複数サイト運用など）。対応関係は多対多で構わない。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問7（IPA）

• DNSゾーンデータファイルのNSレコードに関する記述のうち、適切なものはどれか。

  正解：ゾーン分割を行ってサブドメインに権限委譲する場合は、そのネームサーバをNSレコードで指定する。

  要点：NSレコードはゾーンの権威サーバと委譲先を示す

  NSレコードは、あるゾーンの権威をもつネームサーバを示すレコードである。上位のゾーンからサブドメインを切り出して別のサーバに管理を任せる（権限委譲する）ときは、上位ゾーンにサブドメイン名のNSレコードを書いて委譲先のネームサーバを指定する。

  出典：令和1年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問8（IPA）