../キャッシュサーバ　../キャッシュサーバ/関連ページ

1. キャッシュサーバの振る舞い

/動作確認 毒盛対策の視点からは「なにをキャッシュしているか」が問題です。

浸透問題の視点からはキャッシュされたレコードの/TTLの更新が行われるかなどが調査項目になります。 そして、TTL満了時の動作も問題になります。

1.1. TTL についての調査

http://www.e-ontap.com/dns/propagation/ttl.html

• ISPのキャッシュDNSサーバはTTLを越えてキャッシュを保持するか? [現在その証拠は見当たらない。]

unbound, PowerDNS recursor などにはTTLの上限、下限を指定する機能があります。

• ６０秒などの短いTLLは無視することも可能です。

長いTTLを許すキャッシュサーバにはGhost Domain Names脆弱性がありそうです。

1.2. TCP サポート

DNSプロバイダでのDNS/TCPのサポート状況を調査しました。

• eaccess, plala を除いてサポートされています。

1.3. yatz.qmail.jp を問い合わせたときの返答

• yatz.qmail.jp では委譲されたzone名がCNAMEである変則的設定になっている。
  cn: CNAME; au(q): authority section に qmail.jpのSOA/NSを含めている。

• ns: NS; soa: SOA;

（警告）以下は調査したときの返事をまとめたもので、いつも同じ返事になるとは限らない。

• キャッシュサーバの状態に依存する。

順番を入れ替え,NS,SOAは安定して返される項目だけに変更した。 -- ToshinoriMaeno 2011-07-29 01:31:54

• GTEIDNS 4.2.2.1, 4.2.2.2
• DNSAdvantage 156.154.70.1, 156.154.71.1
• auone 210.196.3.183, 210.141.112.163
• BIGLOBE 202.225.94.247, 210.147.240.193
• odn 143.90.130.165,143.90.130.39

eo光ネット ･ 優先DNSサーバー　：【 60.56.0.135 】　　TTL refresh ・ 代替DNSサーバー　：【 218.251.89.134 】

OpenDNSがdnscacheと類似の返答をしています。 日本のプロバイダのサーバはBINDが多いようです。 -- ToshinoriMaeno 2011-07-27 10:30:40

authority section にあるSOAやNSは返事としては余計だと考えますので、無視してみます。

1.4. ひとつの分類

(NS, SOA）を問い合わせたときに、(NS, SOA)を答えるものと、CNAMEだけを答えるものに分けられます。

• Aの問い合わせにはCNAMEとその先のAを答えるものだけでした。

NSなどにCNAMEを答えるものはanyに対しての返答で分類できます。

• SOAが含まれているか、いないかです。

zone apex に対するCNAMEをどう扱うかの違いでしょう。

• RFCではまだ正式には認められていないのですが、エラーとするキャッシュサーバ（リゾルバー）は見当たりません。

1.4.1. CNAME がキャッシュされると

いったんCNAMEがキャッシュに入ると、SOAを問い合わせても、CNAMEを答えてくるようです。　-- ToshinoriMaeno 2011-07-28 01:35:26

• 調査に間違いがありました。再調査中です。

1.5. yata.qmail.jp の扱い

yata.qmail.jp/設定　zone が CNAME だけから構成されている。

1.6. 今後調べたいこと

毒盛対策の視点からは「なにをキャッシュしているか」が問題です。