CNAMEレコード確認：エイリアスの行き着く先をたどる
CNAMEは、ある名前を別の名前のエイリアスにするもので、そのチェーンには奇妙なDNSの問題が潜みがちです。ホスト名を入力すると、エイリアスを最後までたどり、最終的に解決されるアドレスを確認できます。ループと、存在しなくなった名前を指すエイリアスという、典型的な2つの不具合も検出します。
CNAMEの仕組み
CNAMEは、IPアドレスを繰り返し書く代わりに、「この名前はあの名前と同じ」と宣言します。リゾルバーはターゲットを検索し、その答えを返します。企業は、wwwやshopをホスティングプラットフォームやCDNに向けるためにこれを使います。プロバイダーがサーバーを変更しても、自社側では何も変更する必要がありません。
チェーンも許されており、aがbを、bがcを指すことができます。ホップが増えるたびに検索が1回増えるので、短く保つのが得策です。このツールは最大8つまでたどります。
CNAMEが守るべきルール
- CNAMEのある名前には、他のレコードタイプを置けません。MXもTXTも不可で、何も置けません。
- ドメインのルートにはSOAとNSのレコードが必要なので、CNAMEにはできません。ルートでALIASや「CNAMEフラットニング」を提供するプロバイダーもあり、これはターゲットをプロバイダー側で解決し、通常のAレコードとして公開します。
- ターゲットはホスト名でなければなりません。IPアドレスやURLは不可です。
- CNAMEはすべてのレコードタイプに適用されます。そのため、名前をターゲットに向けると、メールやテキストのレコードが別の名前に分かれていない限り、それらも一緒に移ってしまいます。
ダングリングCNAME：静かなセキュリティホール
たとえば、blog.example.comがexample.hosting-platform.comのエイリアスだとします。ホスティングの契約を解約したのに、DNSレコードを消し忘れました。すると、エイリアスは存在しなくなった名前を指すことになり、プラットフォームによっては、誰でもその名前を登録して、あなたのサブドメインで自分のコンテンツを配信できてしまいます。これがサブドメイン乗っ取りで、DNSのセキュリティ指摘として最も多いものの1つです。
ときどき、サブドメインを追跡にかけてみてください。「この名前は存在しません」で終わるチェーンは、削除すべきものです。
追跡でわかるその他のこと
- ループ：チェーンがすでに通った名前に戻るため、その名前は解決されません。
- 長いチェーン：ホップごとに遅延が増え、一定のホップ数で諦めるリゾルバーもあります。
- プライベートアドレスで終わるチェーン：インターネットから到達できないアドレスです。ここでは表示されません。