DNSの基礎、トラブルシューティング、セキュリティ、実践的なワークフローを、このツールを開発しているチームが解説します。
段階的な切り替えは一括切り替えに勝る
Blue
トラフィック100%
加重分割
95/5、次に50/50
Green
トラフィック100%
DNSの変更で2つの環境間のトラフィックを切り替える方法は、理屈の上では簡単です。しかし実際には、TTLとキャッシュが話を複雑にします。
1つのIPに1台のサーバー、または1つのIPに多数
ユニキャスト
1つのIPが1台のサーバーに対応
エニーキャスト
1つのIPを多拠点からアナウンス
同じIPアドレスを世界中の数十か所から同時にアナウンスする技術がエニーキャストです。主要なDNSプロバイダーが、どこからでも高速で止まりにくい理由を解説します。
検索結果にオリジンではなくCDNが表示される理由
訪問者
ドメインを検索
CDNエッジ
104.21.x.x
DNSが返すのはこれ
オリジンサーバー
実際のIPは非公開
CDNの本領は、コンテンツが1バイトも要求される前のDNS層で発揮されます。訪問者ごとに異なる答えを返し、最適なエッジへ誘導する仕組みを解説します。
IPv4の各範囲にはIPv6の対応物がある
セキュリティの観点では、IPv6は単なる「アドレスが増えたIPv4」ではありません。いくつかの違いが、脅威モデルを実際に変えます。
偽の回答で競争に勝つ
攻撃者
本物の応答と競争
偽の回答
先に到着
リゾルバーキャッシュ
共有する全員分が汚染される
偽のDNS応答でトラフィックをそらす手口は、ネットワークの世界で最も古いものの1つです。DNSSECや最新のリゾルバーの防御が存在する理由でもあります。
パブリックとプライベートのアドレス空間
パブリックIP
192.0.2.10
グローバルに一意、どこからでもルーティング可能
プライベート範囲
公開インターネットではルーティング不可
10.0.0.0/8や192.168.0.0/16などの範囲は、世界で一意にならないよう、あえて用意されています。それがDNSにとって重要な理由を解説します。
SSRFはサーバーを意図せぬプロキシに変える
攻撃者
リクエストURLを細工
脆弱なサーバー
SSRFにだまされて取得
169.254.169.254
メタデータエンドポイント
認証情報
攻撃者に返される
ルーティング不能に見える1つのIPアドレスが、クラウドインスタンスに認証情報や設定へのアクセスを与えます。SSRFの標的になりやすい点にも注意が必要です。
同じアドレスを書き表す4つの方法
サーバーサイドリクエストフォージェリは、サーバーがだまされて名前解決とリクエストを行ってしまった、ただ1つのドメイン名から始まることがよくあります。
同じドメインから、2つの異なる回答
最初のリクエスト
公開IPに解決
検証
通過、安全に見える
TTL切れ
数秒後
2回目のリクエスト
127.0.0.1に解決
一度は安全なアドレスに解決され、後から内部アドレスに解決されるドメイン。DNSリバインディングは、DNSそのものを攻撃対象にする手口です。
順に確認する4つの層
DNS
名前を解決
トランスポート
TCPが接続
TLS
証明書を検証
アプリケーション
HTTPが応答
この汎用的なブラウザーエラーは、互いに無関係な複数の障害を含んでいます。DNSは、最初に関与の有無を確認するのに最も手早い切り分け先です。
「伝播」の正体は、キャッシュの有効期限切れ
0分
変更を保存
0-5分
DNSホストが更新
TTLまで
古い回答がまだキャッシュ中
TTL後
全員に新しい回答が表示
どこにも何も送られず、各キャッシュがコピーの再利用をやめるだけ
レコードを更新して待ったのに、まだおかしい。故障を疑う前に、次の項目を順番に確認してください。
検索にかかる時間の目安
サイトの表示が遅い原因が、実は遅いDNS検索であることがあります。見分け方と、よくある原因、切り分けの手順を解説します。