DNS検索ツールの使い方：実践ガイド

DNS検索ツールを使うと、あるホスト名に対して現在どのようなレコードが公開されているかを、ドメインネームシステムに問い合わせることができます。ウェブサイトに接続できないとき、メールサービスがメールを受信していないとき、最近のDNS変更を確認したいときに、時間の節約になります。大切なのは、応答をただコピーすることではありません。どのレコードタイプを問い合わせたのか、どのリゾルバーが応答したのか、そしてその応答が何を証明し、何を証明しないのかを知っておく必要があります。検索が報告するのは、そのリゾルバーがその時点で利用できたDNSデータです。ウェブサーバーが正常かどうか、メールボックスがメッセージを受け付けるかどうか、世界中のすべての訪問者に同じ結果が見えているかどうかをテストするものではありません。

正確なホスト名と知りたいことから始める

DNSチェッカーを開く前に、調べたい名前を正確に書き出してください。ルートドメインの example.com と、www.example.com のようなサブドメインとでは、レコードが異なることがあり、mail.example.com のようなメールのホストは、そのどちらとも異なることがあります。IPアドレス、メールの配送経路、権威ネームサーバー、エイリアス、確認用のテキストのうち、何が必要なのかを決めてください。これで、よくある間違いを防げます。たとえば、障害が起きているサービスが実際にはサブドメインのCNAMEやMXの設定なのに、ルートドメインのAレコードを検索してしまうといった間違いです。完全なURLがある場合は、ホスト名の部分だけを取り出します。パス、クエリ文字列、ページ名は、DNS名ではありません。

問題に関係するレコードタイプでクエリを実行し、それぞれの結果を、ステータスとあわせて読み取ります。CDN、冗長化されたサービス、DNSラウンドロビンでは、複数のアドレスが返されるのが正常なことがあります。AAAAの応答が空でも、ドメイン全体が壊れているとは限りません。その名前にIPv6レコードがないだけで、Aレコードは機能している場合があります。CNAMEは別のホスト名を指しているため、最終的なアドレスを知るには、その指す先に対して2回目の検索が必要になることがあります。MXの結果には優先度が含まれ、数値が小さいほうが、大きいほうより先に試されます。TXTの応答は、1つの論理的な文字列であっても、DNSツールによって複数のチャンクに分割されて表示されることがあります。

結果は証拠として使い、完全なヘルスチェックとは考えない

DNSの応答が成功したことが証明するのは、リゾルバーがデータを返したことだけです。宛先が接続を受け付けていること、あるいは正しいアプリケーションを提供していることまでは証明しません。サイトの障害を調べるには、DNSの応答を正常だと分かっている値と比較し、そのうえでHTTPS、証明書、アプリケーションの応答を別々にテストします。メールの場合は、MXと関連するポリシーのレコードを確認しますが、DNSだけでは、受信サーバーが特定のメッセージを受け付けるかどうかは確認できないことを忘れないでください。タイムアウト、SERVFAIL、NXDOMAIN、そして要求したレコードがない有効な応答は、それぞれ意味が異なります。空の結果を、どれも同じ障害として扱うのではなく、正確なエラーと時刻を記録しておけば、後で比較できます。

• 意図したサブドメインを含む、完全修飾のホスト名を正確に確認します。
• アドレスへの到達性を調べるときは、AとAAAAを別々に問い合わせます。
• ゾーンの委任や権威側の設定を確認するときは、NSとSOAのデータを使います。
• キャッシュやリゾルバー固有の挙動が疑われる場合は、別のリゾルバーで確認を繰り返します。
• IPアドレスを、ドメインの物理的な発信元、所有者、サーバーの正常性の証拠として扱うのは避けます。

変更時に繰り返し使える手順

計画的にDNSを編集するときは、何かを変更する前に、これまでの応答を保存しておきます。新しいレコードを公開したら、その名前をもう一度問い合わせ、値、レコードタイプ、TTLを比較します。応答が期待どおりでなければ、正しいDNSプロバイダーとゾーンを編集したかどうかを確認してください。レジストラのネームサーバーの設定によっては、いま変更したダッシュボードとは別の場所をドメインが指していることがあります。そのうえで、権威ネームサーバーと再帰リゾルバーを比較し、ゾーンの設定の問題と、キャッシュされたデータの問題を切り分けます。チェックは、自分が管理している、あるいは評価する権限を持つ公開レコードに絞り、DNSチェッカーをプライベートネットワークを探るための口実にしてはいけません。

優れたDNS検索ツールが最も価値を発揮するのは、レコードタイプと結果を明確に示し、IPv4とIPv6を別々の問いとして扱い、エラーを1つの緑のチェックマークの裏に隠さないときです。ツールを使って、DNSが現在何を示しているかを絞り込み、次の層については、サービス固有のチェックを使います。ドメインからIPへの確認だけであれば、ドメイン検索ツールで公開されているアドレスの応答を確認できます。別の記事のDNSレコードタイプのガイドでは、よく使われる各レコードの用途を説明しています。こうした境界を知っておけば、1回のクエリで確かめられる範囲を過大に主張せず、より速くトラブルシューティングできます。

役立つ検索記録を残す

検索がインシデントや計画的な変更の一部である場合は、証拠を簡潔で繰り返し使える形式で残してください。完全修飾名、クエリタイプ、応答のステータス、回答のセット、TTL、リゾルバー、ネットワーク上の場所、タイムスタンプを書き留めます。新しいウェブホストが見えるようになったか、MXの宛先が廃止したプロバイダーをまだ指しているか、といった、答えを出そうとしていた問いを1文で添えてください。そうすれば、最初のチェックに立ち会っていないチームメンバーにも、結果が分かりやすくなります。後で応答が変わっても、どのホスト名やリゾルバーを使ったかを思い出そうとするのではなく、同じ条件どうしで比較できます。保存するのは、チームが必要とする情報だけにしてください。特に、非公開の名前が絡むチェックでは注意が必要です。公開の検索サービスは、機密性のある内部のホスト名を扱う場所ではありません。