構築事例：マルチDNS環境

2015年12月頃、DNSキャッシュサーバの水責め攻撃が発生し、DNSサーバのセキュリティについて見直しをしたいという要望を受けて、システムの入れ替えを検討されていました。特に、BINDに多くの脆弱性が発見されていることから、権威DNSサーバを攻撃されてもシステムが停止しないようにしたいというご要望でした。また、この機会に管理性も見直すことになりました。

マスタサーバにPowerDNSを採用

管理性を向上するため、マスタサーバにはPowerDNSを採用しました。また、PowerDNSの管理GUIであるPowerAdminを導入しました。これにより、DNSのレコードの管理がGUIで行えるようになりました。そして、管理者の負荷を下げるため、ドメイン毎に管理者を分けることにしました。

PowerDNSは、マスタサーバとして構成しますが、通常はインターネットには公開しないことにしました。他のすべての権威DNSサーバが利用不能になった場合のみ、ネットワークの構成を変更することで外部へ公開することになりました。

スレーブサーバに3種類のDNSソフトウェアを採用

スレーブサーバとしては、BIND、NSD、knotDNSの3種類のサーバを構築することになりました。BINDで運用するサーバを減らすことで、脆弱性への対応のためにバージョンアップを行う頻度を減らすことができると期待できます。また、ソフトウェアの種類を分けることで、一つのソフトウェアに脆弱性があっても、攻撃などで停止するリスクを最小にすることができます。

複数のOSを採用

さらに、各スレーブサーバのOSもCentOS、Debian、FreeBSDと3つの種類を使うことになりました。これによって、OSの脆弱性を攻撃された場合でも、権威DNSサーバに対する被害を最小限に留めることができるようになりました。

PowerDNSは、オランダのPowerDNS.COM BVが開発を行った、オープンソースソフトウェアのDNSサーバです。LDAP、MySQL、PostgreSQL、Oracle、BINDのゾーンファイルなど、様々なバックエンドを使用できます。この事例では、MySQLをバックエンドとして利用しています。

PowerDNSと連携するMySQLでは、権威DNSサーバとして管理するドメインやゾーンの情報、各レコードデータなどを管理します。これらの情報は、PowerAdminを使ってWEBから管理することができます。PowerDNSでは、BINDのゾーンファイルのような特殊な設定方法を覚える必要がないため、システム管理者以外も管理ができるようになります。さらに、ドメイン毎に管理者を分けることもできます。

BINDに比べて、脆弱性が少なく、性能が良いのも特徴です。

NSDとは、（Name Server Daemon）の略で、NLnet LabsとPIPE NCCが共同で開発を行い、保守を行っている権威DNSサーバのオープンソースソフトウェアです。DNSルートサーバの一部を担っており、十分な動作実績があります。残念ながら、マスタサーバとして大規模なドメインを管理するために必要なIXFR（差分ゾーン転送）をサポートしていません。しかし、スレーブサーバとしてIXFRを受けとることは可能です。

デージーネットのベンチマークでも、NSDは非常に軽量で、BINDに比べてかなり多くのリクエストを処理できることが分かっています。本事例では、こうしたことを考慮してスレーブサーバとして採用しました。

knotDNSとは、CZ NIC社が開発した権威DNSサーバのオープンソースソフトウェアです。knotDNSは、非常にシンプルな作りになっていて、高速に動作します。さらに、マルチスレッドに対応し、マルチコア環境では非常に高い性能を発揮することができます。

DNSサーバ構築の事例一覧

• unboundによるDNSキャッシュサーバ事例
• PowerDNSによるDNSサーバ事例
• DNSキャッシュサーバの水責め攻撃対策事例
• マルチDNS環境事例
• 児童ポルノブロッキング対応DNSキャッシュサーバ事例
• PowerDNSによるDNSSEC対応の権威DNSサーバ事例
• bindによるDNSSEC対応の権威DNSサーバ事例
• dnsdistを利用した負荷分散型権威DNSサーバ事例
• NSDを利用した権威DNSサーバ事例
• BINDからPowerDNSへ権威DNSサーバ移行事例