IPA DNS — 頻出論点と過去問

頻出論点

1. この分野は何か

人が覚えやすいドメイン名（ホスト名）と通信に使われるIPアドレスを相互に対応付けるDNS（Domain Name System）の仕組みと運用を扱います。正引き・逆引きの名前解決やリソースレコードの役割、権威DNSサーバとDNSキャッシュサーバの分担、ゾーン転送やDNSSECの動作を区別できるようになります。

2. 実際の出題のされ方

名前解決の基本的な役割と代表的な脅威の用語は、ITパスポートで問われます。ドメイン名は数字の並びであるIPアドレスの代わりに接続先を人が覚えやすい名前で表すものであること、DNSがドメイン名とIPアドレスを変換する役割を担うこと、そしてキャッシュポイズニングの意味が出題されています。

応用情報技術者と高度試験の午前Iでは、IPアドレスからホスト名を調べる逆引きの役割や、リソースレコード名・リゾルバといった基本用語の正誤が問われます。

リソースレコードの用途やサーバ構成・ゾーン管理、応答の信頼性を守る仕組みは、高度試験の午前IIで詳しく問われます。ホスト名とIPアドレスの対応付けが1対1に限らず1対多（DNSラウンドロビンによる負荷分散）や多対1（バーチャルホスト等）も許容されること、MXレコードやCAAレコードの用途、プライマリからセカンダリへのゾーン転送におけるIPアドレス制限、オープンリゾルバを悪用したDDoS攻撃（DNSリフレクタ攻撃）への対策、カミンスキー攻撃に対する送信元ポート番号のランダム化が出題されています。また、デジタル署名を用いて応答の正当性と完全性を検証するDNSSECの働きも問われています。

3. 学習のポイント

• 名前解決の向きと対応関係: ドメイン名からIPアドレスを得る正引きと、IPアドレスからホスト名を得る逆引きの区別を押さえます。また、1つのホスト名に複数のIPアドレスを割り当てる構成も、複数のホスト名に同一のIPアドレスを割り当てる構成も両方可能である点を理解しておきます。
• 主要なリソースレコードの用途: 宛先ドメイン宛てのメールを受け付けるメールサーバを指定するMXレコード、そのドメインを管理するDNSサーバを指定するNSレコード、別名を定義するCNAMEレコード、ゾーンの管理情報やシリアル番号を持つSOAレコード、証明書発行を許可する認証局を指定して不正なサーバ証明書発行を防ぐCAAレコードを整理します。
• サーバの役割分離とゾーン転送管理: キャッシュサーバは自組織の利用者のために再帰問合せを引き受け、権威サーバは自分のゾーンについて外部からの問合せに答えます。役割ごとにサーバを分ければ、キャッシュサーバは社内からの問合せだけを受け付ける設定にでき、外部から踏み台（オープンリゾルバ）にされなくなります。また、プライマリサーバからセカンダリサーバへのゾーン転送でも、許可する接続元IPアドレスを限定してゾーン情報の漏えいを防ぎます。
• キャッシュ汚染対策とDNSSECの動作: カミンスキー攻撃への対策として問合せ時の送信元ポート番号のランダム化が有効であること、またDNSSECでは権威DNSサーバが秘密鍵で署名し、DNSキャッシュサーバ（フルサービスリゾルバ）が公開鍵で検証することで応答の偽装や改ざんを検知する流れを把握します。

4. 間違えやすいところ

• レコードの名前と用途の入れ替え: DNSサーバのホスト名を登録するのをMXレコードとしたり、別名を登録するのをNSレコードとしたり、名前解決を依頼するソフトウェア（リゾルバ）をレゾリューションと言い換えたりする誤りの選択肢が並んでいました。DNSサーバを指定するのはNS、別名はCNAME、メールの配送先はMXです。また、MXレコードで指定するものを問う問題では、ゾーン管理者のメールアドレスやプライマリ（マスタ）サーバ（どちらもSOAレコードに書かれる情報）が誤りの選択肢として出ています。
• ゾーン転送の漏えい対策の混同: ゾーン転送による内部ネットワーク情報の読み出しを防ぐ対策を問う問題では、SOAレコードのシリアル番号の更新や、キャッシュされる時間（TTL）の短縮、DNSラウンドロビンの設定といった無関係な運用操作が誤答肢として並んでいました。
• DNSSECで署名する側・検証する側: 署名を付けるのはそのゾーンを管理する権威DNSサーバで、検証するのは応答を受け取るDNSキャッシュサーバです。キャッシュサーバが署名してPCが検証する、あるいは権威DNSサーバが検証するといった、主体を入れ替えた選択肢が誤りとして出ています。また、DNSSECはDNSプロトコルの拡張仕様であり、BINDのようなサーバソフトウェアを置き換えるものでも、IPsecを前提とするものでもありません。