Contents
1. DNSサーバ設定のよくある間違い
「よくある間違い」を直しただけでは不十分です。:-) 検索エンジンでたどりついた人は特にご注意。
1.1. 最大の間違い
コンテンツサーバとキャッシュサーバ を同居させていること。 (分離することの重要性)
再帰検索サービスを公開していませんか。DNS/キャッシュサーバへの毒盛を招きます。
1.2. DNS は「確実に正しく動く」ことが要求されます。
「よくある間違い」を直しただけでは不十分です。:-) 「(多くの場合に)なんとなく動けばいい」のではありません。
DNS 一般、基礎知識もお読みください。
DNS サーバで設定の間違いを犯しても、認識されにくいようです。 エラーが記録されていないからといって、 正しく動作しているとは限りません。 ただちにアクセス不能などの現象が起きるとは限りません。 気づくとしたら DNS サーバを参照する外部の人です。 アクセス不能などの被害を受ける(外部の)利用者は DNS サーバが原因だとは判別しづらいのです。
設定の間違いが管理者の能力の不足(あるいは怠慢)によるものだとしても そういう人に管理させている組織にも責任があります。
DNS の仕組みそのものにも欠陥があります。 実装(BIND)が間違っているケースもあります。 (中途半端な知識 DNS/BIND博物館)
1.3. DNS 管理者は RFC に精通しているべきです
DNS 設定の間違いは検索の遅延やアクセス不能などをひきおこします。 また、無駄トラフィックを発生させます。 これらはインターネットにゴミをまきちらす行為です。 (DNS) 管理者はかならず基礎([http://dns.qmail.jp//ref.html RFC])から 勉強してください。
科学技術と倫理 ( Online Ethics Center for Engineering and Science )についても学んでください。
社会のための技術」講義録も参考になります。
1.4. 委譲関係の確認
サーバ設定の前に JPNIC などの上位サーバに正しく登録されているか、確認しましょう。
- 登録した DNS サーバはすべて動いていますか。
- 登録した名前で DNS サーバが動いていますか
- 契約していない(契約の切れた)プロバイダのサーバを指定していませんか。 ゾーン転送は正しく行われていますか。
- 存在しないドメインに属するサーバを指定していませんか。
- 再帰検索を許していませんか
- コンテンツサーバとキャッシュサーバを分離していますか
NS, MX レコードに 別名 (CNAME) を使っていませんか
- プライベートアドレスを外部に問い合わせていませんか
セカンダリサーバの管理も責任範囲内です。 lame server とは機能していない(セカンダリ)サーバです。
1.4.1. lame delegations
- ゾーン転送が正しく行われていないと
- authorityなしの返事を返す
- サーバによって異なる返事をする
- 返事をしない
相手が承知していないのに、勝手にセカンダリを押し付けている場合もあります。 資源を盗んでいることになります。
NICに登録されているサーバをアナウンスしないところもあります。 きちんと動かしているなら、隠す理由はないはずです。
上位サーバの動作にも注意する必要があります。 自分が正しくても、上位サーバが間違った情報を返すと、 正しく動作しません。
クライアント、リゾルバーの設定間違いの影響も大きいようです。
Negative Caching RFC 2308 http://dns.qmail.jp/rfc2308/ (日本語訳) を実装したキャッシュサーバを使っていますか
1.5. 間違い設定の例
その他：複数のサーバを同じネットワークにおくのは外部接続点での故障に関しては二重化の効果がありません。
http://sc.menandmice.com/ ある調査報告によると 75 % のドメインの設定に間違い(incorrectly configured)があったとのことです。
調査：
http://dns.qmail.jp/checklist/ 検査した項目;
http://www.janog.gr.jp/meeting/janog11/log/dns_real.txt DNS正引きの実態 (藤原 和典、JANOG11「論」ミーティング)
参考： http://www.squish.net/dnscheck squish.net http://www.dnsreport.com/ DNS report for your domain http://www.checkdns.net/ CheckDNSサービス](uniplace.com)
1.6. NS レコードを返さない権威サーバ
間違った実装のDNSアプライアンスサーバがあるようです。