8.8.8.8 とは何か？誰もが入力するのに、ほとんど誰も理解していないアドレス

決して忘れないアドレスというものがあります。私は 8.8.8.8 を、オフィスの物入れに仕舞われたルーターに、ホテルの Wi-Fi につないだノートパソコンに、クライアントが電話口で待つ深夜二時のサーバーに、打ち込んできました。名前解決が壊れたときにネットワークの人間が手を伸ばす番号であり、あまりによく効くので、多くの人は一度設定したら、自分がトラフィックを何に向けたのか二度と問いません。

では、問いましょう。8.8.8.8 はウェブサイトではなく、あなたが訪れるサーバーでもありません。Google Public DNS の正面玄関、Google が誰にでも無料で提供するリカーシブなリゾルバサービスです。その姉妹アドレス 8.8.4.4 も、同じ扉を開きます。

リゾルバが代わりに質問してくれる

どのデバイスにもリカーシブリゾルバが必要です。example.com のような名前を入力すると、何かが答えを追いかけなければなりません。ルートに聞き、トップレベルサーバーに聞き、そのドメイン自身のネームサーバーに聞いて、IP アドレスを持ち帰るのです。その追跡こそがリゾルバの仕事のすべてです。DNS サーバーとは何かは役割をきちんと分けています。「DNS サーバー」という言葉が三つの異なる仕事に使われているからです。

既定では、接続したときに静かに割り当てられる、インターネットプロバイダのリゾルバを使います。設定を代わりに 8.8.8.8 に向けると、追跡の担当が替わります。クエリは Google のサービスへ行き、Google のマシンが歩き回ってキャッシュします。あなたが訪れるウェブサイトには違いが一切見えません。変わったのは仲介者だけです。

一つのアドレス、多くの都市：エニーキャストの仕組み

ここからが人々を驚かせる部分です。8.8.8.8 というアドレスを持つ機械は一台だけではありません。同じアドレスが世界中の Google の施設からアナウンスされており、エニーキャストと呼ばれる技術です。あなたのクエリは、あなたのネットワークのルーティングが最も近く、最も安く届くと判断したサイトに、ただ着地するだけです。それはたいてい、しかし常にではありませんが、地理的に最も近い場所です。

エニーキャストが買うものは二つあります。一つ目は速度です。自分の大陸で答えが返るクエリは、別の大陸への長い旅を省けます。二つ目は回復力です。サイトが故障したり攻撃を受けたりすると、ルーティングが移り、同じアドレスが別の場所から答え始めます。誰も設定を変える必要はなく、ほとんどのユーザーは障害にすら気づきません。単一マシンのサービスであれば、その障害は非常によく見えたはずなのにです。

長いバージョン：IPv6のアドレス

ここまではすべて IPv4 の話でした。同じサービスは、IPv6 アドレス——2001:4860:4860::8888 と、末尾が ::8844 のその双子——でも応答し、はるかに長い文字列の中で同じ記憶の芸当をやってのけます。IPv6 接続で、あの有名なアドレスだけを設定すると、隙間が残ることがあります。一部の機器はその後、プロバイダの IPv6 リゾルバをそっと併用するようになり、あなたの問い合わせは二つのサービスに分かれて、行う比較はすべて混乱します。設定画面で両方のアドレスファミリーが提示されるなら、両方を埋めてください。そうしなければ、やったつもりだった仕事の半分しか済んでいないことになります。

なぜこのアドレスが有名なものになったのか

一部は数字そのものです。四つの八は間違えようがなく、サービスの二つ目のアドレスはその一つを四に取り替えます。一部は習慣です。長年、サポートのスクリプトやフォーラムの回答は 8.8.8.8 をテスト用アドレスとして使ってきました。ping して、答えが返れば接続は生きており、不具合はおそらく DNS です。そのアドレスはリゾルバだったから有名になり、その後は有名だったからリゾルバとして使われました。所有するすべてのマシンにそれを設定しながら、それが誰のサービスなのか言えなかった管理者に、私は会ったことがあります。それはただ「DNS のアドレス」だったのです。コピー機がゼロックスになるように。

サービスがあなたについて知ること

リゾルバは多くのものを見ます。あなたが出すクエリはすべて、あなたが関心を持った名前と、それを出したアドレスを明かします。8.8.8.8 に切り替えても、その露出はなくなりません。プロバイダのログから Google のログへ、移るだけです。リゾルバを選ぶ人は、実際にはその記録が誰の手に置かれるかを選んでいます。そのことについて自分に正直である価値はあります。

Google はこのデータの扱い方を公開しており、大まかな形はこうです。完全なクエリログは、トラブル対応とセキュリティ作業のために一時的にだけ保持され、より長く保持されるデータは集計され、クエリを個人に結びつける詳細が取り除かれます。ただし、私の要約を当てにする前に、現在のポリシーを読んでください。ポリシーは変わりますし、要約は決して文書そのものではありません。

暗号化された扉：DoH と DoT

8.8.8.8 に届く古典的な方法は平文の DNS で、暗号化されずに旅します。経路上の誰もがあなたのクエリを読むことができ、原則として答えを改ざんすることもできます。このサービスは暗号化されたトランスポート——DNS over HTTPS と DNS over TLS——でも答えます。同じ質問を包み込み、経路から見えなくするものです。DNS over HTTPS の解説では、その包み方がどう働き、何を変えるかを順に説明しています。

暗号化が変えるのは、誰が見られるかであって、誰が答えるかではありません。リゾルバは相変わらずすべてを見ます。カフェのネットワークと、あなたと Google の間のすべてのホップは、もう見られません。その交換があなたに合うかどうかは、それらの観察者のうちどちらがより心配かによります。

答えの背後にいる用心棒：検証

このサービスには、箱のどこにも書かれていない二つ目の仕事があります。DNSSEC で保護されたドメイン——その答えが本当にドメイン自身のサーバーから来たことを証明する暗号署名です——については、Google のリゾルバがあなたに代わってその署名をチェックします。チェックに失敗すれば、偽造された答えや壊れた答えは届きません。代わりにエラーが届きます。あなたの椅子から見ると、それはウェブサイトがランダムに消えるように見えるかもしれません。実際には、リゾルバがドメインの署名とそのレコードの食い違いを捕まえたのです。通常はサイト自身の設定ミスで、時折、ドアで拒まれるもっと悪い何かです。

これは、このアドレスがトラブルシューターとして担う日常の仕事にとって重要です。8.8.8.8 がある名前について失敗を報告し、プロバイダのリゾルバがその名前のアドレスを楽しげに返すなら、検証が第一の容疑者です。公開リゾルバは、緩い方が無視する署名をチェックしているのです。そのサイトは選択的に落ちているのではありません。選択的に検証されているのです——そしてそれを知ることで、不可解な不一致は診断に変わります。

正直なトレードオフ

私はこのサービスをよく勧めますが、自動的には決して勧めません。得るものと手放すものは、こういう形です。

• 一貫性：同じリゾルバが自宅のネットワークでも、電話でも、海外のホテルのネットワークでも同じように振る舞い、「ここでは動くが、あそこでは駄目」という謎の一群が丸ごと消えます。
• メンテナンス：大きな公開リゾルバは昼夜を問わずパッチが当てられ、監視されています。放置されたプロバイダのリゾルバ——そして中にはひどく放置されたものもあります——は、そうではないかもしれません。
• 集中化：あなたのクエリは、広告会社が保持する、地球上で最大級のクエリの流れに合流します。公開されているポリシーは抑制的ですが、集中そのものを嫌うのはもっともなことです。
• ローカルな答え：一部のコンテンツネットワークは、あなたのリゾルバの位置からあなたの位置を推測します。グローバルなエニーキャストのリゾルバでは、プロバイダのローカルなものよりも遠いコンテンツサーバーが割り当てられることが時折あります。
• フィルタリング：プロバイダのリゾルバが既知の悪意あるドメインを静かにブロックしている場合、中立な公開リゾルバはその仕事を代わりにやってはくれません。

今使っているものを確かめる

デバイスがすでに 8.8.8.8 を向いているかどうか、気になりますか？何かを変える前に確認しましょう。

1. 1

   デバイスの DNS 設定を確認する

   使っている接続のネットワーク設定を開き、DNS サーバーの欄を見てください。自動で入力されているなら、リゾルバはルーターかプロバイダから来たもので、このデバイス自身には意見がありません。

2. 2

   ルーターも確認する

   多くの家庭用ルーターは自分のアドレスを配り、クエリを自ら上流へ転送します。本当の仕事をしているリゾルバは、デバイスではなくそこに住んでいるかもしれません。ノートパソコン一台を変えても何も変わらないことがあるのは、そのためです。

3. 3

   システムに直接尋ねる

   コマンドラインツールでルックアップを実行し、出力のサーバーの行を読むか、DNS ルックアップツールで答えを比べてください。Google の公開サービスが答えたクエリは、そのことをはっきりと言います。

4. 4

   変えるなら、意図を持って変える

   DNS サーバーの変更方法では各プラットフォームの設定を扱っており、8.8.8.8 を最初のアドレスに、8.8.4.4 を二番目に入力することも含まれます。一つの経路が落ちてもクエリが倒れないようにするためです。

あの ping テストについて

このアドレスは有名なので、二つ目のキャリアを手に入れました。「インターネットが使えるか」をテストするために人々が ping を打つ対象です。この儀式は慎重に扱ってください。ping が証明するのは、パケットが ping に応答する何かに届くことだけです。名前解決が機能しているかどうかについては何も語りません——それこそ、このアドレスが存在する理由そのものです。私は、人々がこれに ping を成功させ、接続は健全だと宣言し、その後ひとつの名前も解決できないブラウザの前で当惑しているのを見てきました。

もっとすっきりしたテストは、このサービスが作られた目的そのものです。質問を投げかけることです。信頼する名前を 8.8.8.8 経由で引き、次に普段のリゾルバ経由で引いて、答えを比べてください。一致すれば解決は健全です。食い違えば、掘るべき場所が分かります。到達可能性はドアベルであり、問い合わせは会話です。そして、そのうちの一方だけが、あなたが本当に気にするものをテストします。

8.8.8.8 とはそれだけのものです。とても優れた、とても公開された仲介者です。仲介者が何をして——何を見ているか——を知ることが、ネットワークを設定することと、渡された番号をただ入力することの違いです。