Applied Mathematics 8 (2008)
授業資料/第10回
をテンプレートにして作成
開始行:
#contents
** これまでの復習 [#jf62a8c4]
これまでの授業に追い付けていない，もしくは理解が完全でな...
そこで少し時間を取り，これまでの復習や解説を行う.
* DNS とはなにか? [#mef86f0c]
今回は DNS (Domain Name System) について学習しよう.
これまでの授業内容に加えてこの DNS がわかれば，サーバ設定...
さて，DNS とはホスト名(詳細は後述する)と IP address の対...
分散した巨大な電話帳を思い浮かべればよいだろう.
日頃 web を使ったりしていて，その役割は既におよそ知ってい...
#br
CENTER:&ref(./DNS-model.png,80%);
CENTER:DNS の基礎的な役割
#br
以下で行うサーバの設定も，詳細部分を除けばそんなに難しく...
** 必ず DNS を使わないといけないか? [#d7dbc108]
使っているマシンをインターネットに繋ぐのであればまず必要...
DNS はインターネットのホスト名を用いてそのホストへアクセ...
インターネットの巨大さを考えると，他の方法でこの機能を完...
逆に言えば，「インターネットに繋がなければ不要なこともあ...
** /etc/hosts [#fff8eac9]
ホスト名と IP アドレスの対応などの「ネットワーク電話帳デ...
これは， /etc/hosts というファイルに書きこむだけでよい.
しかもこれは DNS と両立が可能である．
この方法は DNS サーバが不安定であるようなネットワークに居...
&ref(./warning.png); /etc/hosts にホスト名と IPアドレスの...
&br;
&ref(./warning.png); /etc/hosts のこの便利な性質が，逆に ...
&br;
なお，/etc/hosts の情報と DNS への問い合わせのどちらを優...
デフォルトでは
hosts: files dns
となっており，/etc/hosts を優先するという妥当な設定になっ...
&ref(./notes.png); /etc/nsswitch.conf を読んで，上のよう...
** DNS が「ネットワーク上の分散データベース」の形である必...
ネットワークの巨大さとその変化の早さを考えると，一カ所に...
つまり，分散して，なるべく現場に近い部分で各々管理しても...
としてのこの形に自然と行き着くことは理解できるだろう.
** ホスト，ドメイン [#j91fea61]
阪大のwebサーバは www.osaka-u.ac.jp という名称であるが，...
まず，これは www.osaka-u.ac.jp. と最後にドットをつけた表...
最後のドットは「非常にしばしば」省略されているだけである.
通常ユーザとしてはこれは気にする必要はないが，DNS Server ...
&ref(./warning.png); 普段は意識しなくてよいが，この「最後...
さて次にこの中身であるが，これは osaka-u.ac.jp というドメ...
さらにドメイン部分を詳しく解説すると，正確にはこれは .(ド...
www.osaka-u.ac.jp. を図で書くと次のようになる(歴史的に よ...
CENTER:&ref(./domain-structure.png);
各階層には複数(というか非常に多くの)ドメインが含まれるの...
CENTER:&ref(./domain-structure-multi.png);
ちなみに，www.osaka-u.ac.jp のように，ホスト名+ドメイン名...
** DNS の問い合わせのおおざっぱな仕組み [#c9cc067d]
DNS の問い合わせは効率や安全性のために実は結構複雑な仕組...
そして，DNS server への問い合わせというのは，上のサーバか...
より細かい，正確な話はサーバ設定時に後述する.
このように，データベースが階層構造をもって分散されていて...
DNS の仕組みはかなり古いわりに「シンプルながら良くできて...
もちろん細かい問題はあるので，少しずつ改善されていくだろう.
** DNS 問い合わせの種類(二種類ある) [#be3ea513]
DNS サーバへの問い合わせは，大ざっぱに言って二種類ある.
分かりにくいのでここで書いておこう.
: 再帰的問い合わせ | 丸投げ的問い合わせ. 聞かれた方は，自...
: 非再帰的問い合わせ | 聞かれる方に負担の少ない問い合わせ...
DNS の仕組みからいって，「誰か一人は再帰的問い合わせに答...
通常は，DNS 階層のなるべく下に居て再帰的問い合わせを処理...
** DNS から得られる情報 [#oc094b9b]
基本的には，DNS で(直接に)得られる情報は
| ホスト名を手がかりとした場合は | そのホストの IP アドレ...
| IP Address を手がかりとした場合は | そのホスト名 |
ということになる.
もちろん，DNS に問い合わせる過程で間接的にはより広い情報(...
ここで，上の「得られる情報」についてもう少し情報を記して...
具体的には，次の「レコード名」である. これは，DNS での問...
| レコード名 | 解説 |h
| &color(red){SOA}; | その情報の責任元の情報. Start of Au...
| A | IP Address |
| AAAA | IP Address(IPv6) |
| NS | ネームサーバ |
| CNAME | そのホストの正準名(≒真の名前) |
| MX | そのアドレス宛にメールが来たらどのメールサーバへ送...
| PTR | ホスト名 |
&ref(./warning.png); 見逃しがちだが，上の SOA は「得られ...
あと，DNS には時々 "IN" というキーワードが出てくるが，こ...
** 正引き [#n93ee15d]
ホスト名から IP Address や他の情報を知るために DNS Server...
正引きできないホストというのはインターネット上では(一応)...
** 逆引き [#ae8a1188]
逆に，IP Address からホスト名や他の情報を知ろうとする問い...
ちなみに，逆引きは必ず出来なければいけないはと規定されて...
つまり，逆引き出来ない IP Address があっても DNS のルール...
ただ，
- ネットワーク上でそれなりにきちんとしたサーバ等はほとん...
- 逆引き出来ないホストに対しては◯◯のサービスをしない，と...
- 正引きと逆引きの結果が整合しないといけない，というさら...
- 同様のチェックをパスしないと動かないコマンドもある
などなど，逆引きをきちんと設定しないと困る場面もあるので...
//
//
//
* ユーザとして DNS を使ってみる [#z86fdc98]
** DNS の状態等を知るツール(1) host [#jda443ea]
サーバの設定以前に，DNS 情報を知る方法を一般的に知ってお...
あまり知られていないように思うが，"host" コマンドが正引き...
例えば
host www.osaka-u.ac.jp
とすると(正引き)
> www.osaka-u.ac.jp has address 133.1.8.18
と答え "133.1.8.18" が返ってくるし,
host 133.1.8.18
とすると(逆引き)
> 18.8.1.133.in-addr.arpa domain name pointer www.osaka-...
と答え "www.osaka-u.ac.jp." が返ってくる.
&ref(./warning.png); host コマンドは律儀にも最後にドット...
上記のように，オプション無しだと host コマンドはそっけな...
例えば，
host -v www.osaka-u.ac.jp
とすると, 次のような出力が得られる(結果的に A, AAAA, MX ...
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN A
> &br;
> ;; ANSWER SECTION:
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS a.osak...
> &br;
> ;; ADDITIONAL SECTION:
> sigw.sinet.ad.jp. 36369 IN A 150.10...
> &br;
> Received 127 bytes from 127.0.0.1#53 in 5 ms
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 33...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN AAAA
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 10800 IN SOA a.osak...
> &br;
> Received 84 bytes from 127.0.0.1#53 in 2 ms
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN MX
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 10800 IN SOA a.osak...
> &br;
> Received 84 bytes from 127.0.0.1#53 in 2 ms
ちなみに，DNS 問い合わせ結果表示の中で，"IN" の前にしばし...
他にも，結構多様なオプションがあるので，"man host" として...
&ref(./notes.png); まずは上と同じようにして host コマンド...
また，-v オプションの代わりに -a を使ってみよう.
また，適当なホスト名に対して "host -v" で調べた結果を，こ...
** DNS の状態等を知るツール(2) dig [#ec4ab47e]
近年では，DNS 問い合わせを手で行うコマンドとしては "dig" ...
使い方は host に似ているがより細かい((というか細かすぎる)...
詳しくは "man dig" と "dig -h" で調べてもらうとして，大ざ...
&ref(./warning.png); "jman dig" とはしないこと! なぜか知...
&br;
通常の単なる正引きは
dig www.osaka-u.ac.jp
でよい.
単なる逆引きは "-x" オプションを用いて
dig -x 133.1.8.18
とする.
問い合わせに使う DNS server を指定したいときは，@そのサー...
例えば，上の結果から www.osaka-u.ac.jp の情報の責任元であ...
dig @a.osaka-u.ac.jp www.osaka-u.ac.jp
とすると，
> ; <<>> DiG 9.3.5-P1 <<>> @a.osaka-u.ac.jp www.osaka-u....
> ; (1 server found)
> ;; global options: printcmd
> ;; Got answer:
> ;; ->>HEADER<<- opcode: QUERY, &color(red){status: NOE...
> ;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 3,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN A
> &br;
> ;; ANSWER SECTION:
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS a.osak...
> &br;
> ;; ADDITIONAL SECTION:
> a.osaka-u.ac.jp. 259200 IN A 133.1....
> b.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; Query time: 11 msec
> ;; SERVER: 133.1.192.3#53(133.1.192.3)
> ;; WHEN: Wed Jan 7 17:01:07 2009
> ;; MSG SIZE rcvd: 143
となり，自分が責任者である情報については素直に教えてくれ...
&br;
では，少し調子にのってこのネームサーバに他の問い合わせを...
例えば，
dig @a.osaka-u.ac.jp www.yahoo.co.jp
としてみる. すると，
> ; <<>> DiG 9.3.5-P1 <<>> @a.osaka-u.ac.jp www.yahoo.co...
> ; (1 server found)
> ;; global options: printcmd
> ;; Got answer:
> ;; ->>HEADER<<- opcode: QUERY, &color(red){status: REF...
> ;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, AD...
> &br;
> ;; QUESTION SECTION:
> ;www.yahoo.co.jp. IN A
> &br;
> ;; Query time: 1 msec
> ;; SERVER: 133.1.192.3#53(133.1.192.3)
> ;; WHEN: Wed Jan 7 17:02:33 2009
> ;; MSG SIZE rcvd: 33
となり("ANSWER SECTION" が無いこと，status が "REFUSED" ...
&br;
ちなみに，DNS Server がどういう内容にどう返答してくれるか...
詳しくは DNS Server の設定を行うと理解できるので，そこま...
&br;
さて，dig は +trace というオプションをつけると生真面目に...
もう少し詳しく書くと，このオプション付きでの dig は，問い...
&ref(./warning.png); 逆に言えば，通常の dig コマンドは質...
&br;
つまり，+trace つきで dig コマンドを使ったときは，各々の...
例えば，
dig +trace www.osaka-u.ac.jp
とすると，
> ; <<>> DiG 9.3.5-P1 <<>> +trace www.osaka-u.ac.jp
> ;; global options: printcmd
> . 496121 IN NS J.ROOT...
> . 496121 IN NS G.ROOT...
> . 496121 IN NS K.ROOT...
> . 496121 IN NS E.ROOT...
> . 496121 IN NS H.ROOT...
> . 496121 IN NS A.ROOT...
> . 496121 IN NS C.ROOT...
> . 496121 IN NS D.ROOT...
> . 496121 IN NS M.ROOT...
> . 496121 IN NS B.ROOT...
> . 496121 IN NS F.ROOT...
> . 496121 IN NS L.ROOT...
> . 496121 IN NS I.ROOT...
> ;; Received 504 bytes from 127.0.0.1#53(127.0.0.1) in ...
> &br;
> jp. 172800 IN NS C.DNS....
> jp. 172800 IN NS D.DNS....
> jp. 172800 IN NS E.DNS....
> jp. 172800 IN NS F.DNS....
> jp. 172800 IN NS G.DNS....
> jp. 172800 IN NS A.DNS....
> jp. 172800 IN NS B.DNS....
> ;; Received 431 bytes from 192.58.128.30#53(J.ROOT-SER...
> &br;
> osaka-u.ac.jp. 86400 IN NS sigw.s...
> osaka-u.ac.jp. 86400 IN NS b.osak...
> osaka-u.ac.jp. 86400 IN NS a.osak...
> ;; Received 127 bytes from 204.74.112.245#53(C.DNS.jp)...
> &br;
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> osaka-u.ac.jp. 259200 IN NS a.osak...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> ;; Received 159 bytes from 150.100.2.2#53(sigw.sinet.a...
などのような返答が返ってくる.
これをみると，
+ 自分自身(127.0.0.1)への問い合わせの結果としてまず "."(...
が 13台あることを知る(フルサービスリゾルバと呼ばれるリゾ...
+ その 13台の中の J.ROOT-SERVICE.NET に "jp." 担当の NS ...
+ その 7台の中の C.DNS.JP に "osaka-u.ac.jp." 担当の NS ...
+ その 3台の中の sigw.sinet.ad.jp に www.osaka-u.ac.jp. ...
という流れで検索したことがよく分かる.
ただし，通常は，なるべくネットワーク上を流れる情報が少な...
*** ルートサーバの重要性とセキュリティ [#r2edd16e]
ここで，上に出てきたルートドメイン担当の DNSサーバ(ルート...
このルートサーバは，DNS の総元締であるので，これらがきち...
また逆に言えば，インターネットへの攻撃者からみればルート...
そのため，これまでにも大規模の各種攻撃にたびたびさらされ...
しかし，13台が世界各地に散っていることや使用するソフトウ...
&ref(./notes.png); ルートサーバに対するこれまで加えられた...
&br;
&ref(./warning.png); ちなみに，インターネットを支えるルー...
** DNS の状態等を知るツール(3) nslookup [#eec39afa]
dig が広く知られる前はよく使われていたのがこの "nslookup"...
ある条件を満たさない問い合わせをそもそも受け付けないこと...
&ref(./notes.png); "man nslookup" として nslookup のマニ...
// むしろ通常ユーザにとっての実用上の一番の欠点は，(古め...
&ref(./notes.png); host, dig, nslookup についてマニュアル...
また，および得られた IP アドレスを元に逆引きを行ってみよ.
また，自分の携帯のメールアドレスにメールを出す場合，その...
//
//
//
* DNS サーバを作ってみる(事前知識編) [#zada5062]
さて，DNS server (他には，ネームサーバという名前も良く使...
** DNS server として何を使うか [#f99f5f24]
DNS server ソフトウェアとしては主に BIND (Berkeley Intern...
もちろん世の中には他のソフトウェアもあるが，BIND の利用率...
この BIND は，BSD 由来のソフトウェアであり，FreeBSD では...
ただし，後述するセキュリティの問題があるので，その時利用...
あと，混乱しがちであるが，BIND が作るコマンドは named (名...
&ref(./notes.png); 今インストールされている BIND のバージ...
named -v
とすればよい.
(FreeBSD 7.0 についてくるのは 9.4.2 であるようだが，念の...
** BIND 設定のための資料 [#d1d8a1c4]
なにしろ BIND は古くからあるソフトウェアのため，進化して...
(とはいっても，DNS を知っていさえすれば設定ファイルを読ん...
DNS に対する理解ができていない状態で設定ファイルを読むと...
| 名称等 | 備考 |h
| FreeBSD システム管理とチューニング(書籍), page 341--374...
| FreeBSD ビギナーズバイブル(改訂第二版)(書籍), page 543-...
| BIND 9 による DNS サーバ構築(書籍) | とてもわかりやす...
| DNS & BIND (書籍) | 定番中の定番. インターネットに繋が...
** DNS server とセキュリティ [#i47c1234]
DNS server というのは古来より cracker の主な攻撃対象の一...
なぜ狙われるかというと，以下のような理由による.
: (理由) | (解説)
: ネットワークの情報を持っている | うまくすれば DNS serve...
: root 権限で動作していることが多い | 乗っ取れればシステ...
: ネットワーク情報を提供している | server が「嘘の情報」...
もちろん，DNS server ソフトウェアも(それを用いる OS 側も)...
であるので，DNS server の設定には注意を払おう.
FreeBSD では，セキュリティ向上のため，BIND についてはデフ...
+ 特別なユーザ bind の権限で動作する. root権限ではない.
+ /var/named というディレクトリの下に BIND 動作環境が「閉...
&ref(./notes.png); DNS サーバの提供するネットワーク情報を...
/etc/namedb というディレクトリが実際にはどこにあるか調べよ.
* レポート [#l9875a9f]
途中で「調べよ」と指示された事項について調査を行い，報告...
また，本日行った作業について報告せよ.
もちろん各自の
+ 所属(学部，学科)
+ 学籍番号
+ 学年
+ 氏名
+ 日時
+ 肝心のレポート内容(得た知見，作業について気づいたこと等)
を書くのを忘れないように.
* about Icons [#p90706c9]
Some icons in this page are downloadable at [[ICONFINDER:...
The "note" icon &ref(./notes.png); designed by [[Marco Ma...
and the "warning" icon &ref(./warning.png); designed by [...
Thank you Marco and Alexandre!
// &ref(./notes.png);
// &ref(./warning.png);
終了行:
#contents
** これまでの復習 [#jf62a8c4]
これまでの授業に追い付けていない，もしくは理解が完全でな...
そこで少し時間を取り，これまでの復習や解説を行う.
* DNS とはなにか? [#mef86f0c]
今回は DNS (Domain Name System) について学習しよう.
これまでの授業内容に加えてこの DNS がわかれば，サーバ設定...
さて，DNS とはホスト名(詳細は後述する)と IP address の対...
分散した巨大な電話帳を思い浮かべればよいだろう.
日頃 web を使ったりしていて，その役割は既におよそ知ってい...
#br
CENTER:&ref(./DNS-model.png,80%);
CENTER:DNS の基礎的な役割
#br
以下で行うサーバの設定も，詳細部分を除けばそんなに難しく...
** 必ず DNS を使わないといけないか? [#d7dbc108]
使っているマシンをインターネットに繋ぐのであればまず必要...
DNS はインターネットのホスト名を用いてそのホストへアクセ...
インターネットの巨大さを考えると，他の方法でこの機能を完...
逆に言えば，「インターネットに繋がなければ不要なこともあ...
** /etc/hosts [#fff8eac9]
ホスト名と IP アドレスの対応などの「ネットワーク電話帳デ...
これは， /etc/hosts というファイルに書きこむだけでよい.
しかもこれは DNS と両立が可能である．
この方法は DNS サーバが不安定であるようなネットワークに居...
&ref(./warning.png); /etc/hosts にホスト名と IPアドレスの...
&br;
&ref(./warning.png); /etc/hosts のこの便利な性質が，逆に ...
&br;
なお，/etc/hosts の情報と DNS への問い合わせのどちらを優...
デフォルトでは
hosts: files dns
となっており，/etc/hosts を優先するという妥当な設定になっ...
&ref(./notes.png); /etc/nsswitch.conf を読んで，上のよう...
** DNS が「ネットワーク上の分散データベース」の形である必...
ネットワークの巨大さとその変化の早さを考えると，一カ所に...
つまり，分散して，なるべく現場に近い部分で各々管理しても...
としてのこの形に自然と行き着くことは理解できるだろう.
** ホスト，ドメイン [#j91fea61]
阪大のwebサーバは www.osaka-u.ac.jp という名称であるが，...
まず，これは www.osaka-u.ac.jp. と最後にドットをつけた表...
最後のドットは「非常にしばしば」省略されているだけである.
通常ユーザとしてはこれは気にする必要はないが，DNS Server ...
&ref(./warning.png); 普段は意識しなくてよいが，この「最後...
さて次にこの中身であるが，これは osaka-u.ac.jp というドメ...
さらにドメイン部分を詳しく解説すると，正確にはこれは .(ド...
www.osaka-u.ac.jp. を図で書くと次のようになる(歴史的に よ...
CENTER:&ref(./domain-structure.png);
各階層には複数(というか非常に多くの)ドメインが含まれるの...
CENTER:&ref(./domain-structure-multi.png);
ちなみに，www.osaka-u.ac.jp のように，ホスト名+ドメイン名...
** DNS の問い合わせのおおざっぱな仕組み [#c9cc067d]
DNS の問い合わせは効率や安全性のために実は結構複雑な仕組...
そして，DNS server への問い合わせというのは，上のサーバか...
より細かい，正確な話はサーバ設定時に後述する.
このように，データベースが階層構造をもって分散されていて...
DNS の仕組みはかなり古いわりに「シンプルながら良くできて...
もちろん細かい問題はあるので，少しずつ改善されていくだろう.
** DNS 問い合わせの種類(二種類ある) [#be3ea513]
DNS サーバへの問い合わせは，大ざっぱに言って二種類ある.
分かりにくいのでここで書いておこう.
: 再帰的問い合わせ | 丸投げ的問い合わせ. 聞かれた方は，自...
: 非再帰的問い合わせ | 聞かれる方に負担の少ない問い合わせ...
DNS の仕組みからいって，「誰か一人は再帰的問い合わせに答...
通常は，DNS 階層のなるべく下に居て再帰的問い合わせを処理...
** DNS から得られる情報 [#oc094b9b]
基本的には，DNS で(直接に)得られる情報は
| ホスト名を手がかりとした場合は | そのホストの IP アドレ...
| IP Address を手がかりとした場合は | そのホスト名 |
ということになる.
もちろん，DNS に問い合わせる過程で間接的にはより広い情報(...
ここで，上の「得られる情報」についてもう少し情報を記して...
具体的には，次の「レコード名」である. これは，DNS での問...
| レコード名 | 解説 |h
| &color(red){SOA}; | その情報の責任元の情報. Start of Au...
| A | IP Address |
| AAAA | IP Address(IPv6) |
| NS | ネームサーバ |
| CNAME | そのホストの正準名(≒真の名前) |
| MX | そのアドレス宛にメールが来たらどのメールサーバへ送...
| PTR | ホスト名 |
&ref(./warning.png); 見逃しがちだが，上の SOA は「得られ...
あと，DNS には時々 "IN" というキーワードが出てくるが，こ...
** 正引き [#n93ee15d]
ホスト名から IP Address や他の情報を知るために DNS Server...
正引きできないホストというのはインターネット上では(一応)...
** 逆引き [#ae8a1188]
逆に，IP Address からホスト名や他の情報を知ろうとする問い...
ちなみに，逆引きは必ず出来なければいけないはと規定されて...
つまり，逆引き出来ない IP Address があっても DNS のルール...
ただ，
- ネットワーク上でそれなりにきちんとしたサーバ等はほとん...
- 逆引き出来ないホストに対しては◯◯のサービスをしない，と...
- 正引きと逆引きの結果が整合しないといけない，というさら...
- 同様のチェックをパスしないと動かないコマンドもある
などなど，逆引きをきちんと設定しないと困る場面もあるので...
//
//
//
* ユーザとして DNS を使ってみる [#z86fdc98]
** DNS の状態等を知るツール(1) host [#jda443ea]
サーバの設定以前に，DNS 情報を知る方法を一般的に知ってお...
あまり知られていないように思うが，"host" コマンドが正引き...
例えば
host www.osaka-u.ac.jp
とすると(正引き)
> www.osaka-u.ac.jp has address 133.1.8.18
と答え "133.1.8.18" が返ってくるし,
host 133.1.8.18
とすると(逆引き)
> 18.8.1.133.in-addr.arpa domain name pointer www.osaka-...
と答え "www.osaka-u.ac.jp." が返ってくる.
&ref(./warning.png); host コマンドは律儀にも最後にドット...
上記のように，オプション無しだと host コマンドはそっけな...
例えば，
host -v www.osaka-u.ac.jp
とすると, 次のような出力が得られる(結果的に A, AAAA, MX ...
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN A
> &br;
> ;; ANSWER SECTION:
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS a.osak...
> &br;
> ;; ADDITIONAL SECTION:
> sigw.sinet.ad.jp. 36369 IN A 150.10...
> &br;
> Received 127 bytes from 127.0.0.1#53 in 5 ms
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 33...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN AAAA
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 10800 IN SOA a.osak...
> &br;
> Received 84 bytes from 127.0.0.1#53 in 2 ms
> Trying "www.osaka-u.ac.jp"
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16...
> ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN MX
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 10800 IN SOA a.osak...
> &br;
> Received 84 bytes from 127.0.0.1#53 in 2 ms
ちなみに，DNS 問い合わせ結果表示の中で，"IN" の前にしばし...
他にも，結構多様なオプションがあるので，"man host" として...
&ref(./notes.png); まずは上と同じようにして host コマンド...
また，-v オプションの代わりに -a を使ってみよう.
また，適当なホスト名に対して "host -v" で調べた結果を，こ...
** DNS の状態等を知るツール(2) dig [#ec4ab47e]
近年では，DNS 問い合わせを手で行うコマンドとしては "dig" ...
使い方は host に似ているがより細かい((というか細かすぎる)...
詳しくは "man dig" と "dig -h" で調べてもらうとして，大ざ...
&ref(./warning.png); "jman dig" とはしないこと! なぜか知...
&br;
通常の単なる正引きは
dig www.osaka-u.ac.jp
でよい.
単なる逆引きは "-x" オプションを用いて
dig -x 133.1.8.18
とする.
問い合わせに使う DNS server を指定したいときは，@そのサー...
例えば，上の結果から www.osaka-u.ac.jp の情報の責任元であ...
dig @a.osaka-u.ac.jp www.osaka-u.ac.jp
とすると，
> ; <<>> DiG 9.3.5-P1 <<>> @a.osaka-u.ac.jp www.osaka-u....
> ; (1 server found)
> ;; global options: printcmd
> ;; Got answer:
> ;; ->>HEADER<<- opcode: QUERY, &color(red){status: NOE...
> ;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 3,...
> &br;
> ;; QUESTION SECTION:
> ;www.osaka-u.ac.jp. IN A
> &br;
> ;; ANSWER SECTION:
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; AUTHORITY SECTION:
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS a.osak...
> &br;
> ;; ADDITIONAL SECTION:
> a.osaka-u.ac.jp. 259200 IN A 133.1....
> b.osaka-u.ac.jp. 259200 IN A 133.1....
> &br;
> ;; Query time: 11 msec
> ;; SERVER: 133.1.192.3#53(133.1.192.3)
> ;; WHEN: Wed Jan 7 17:01:07 2009
> ;; MSG SIZE rcvd: 143
となり，自分が責任者である情報については素直に教えてくれ...
&br;
では，少し調子にのってこのネームサーバに他の問い合わせを...
例えば，
dig @a.osaka-u.ac.jp www.yahoo.co.jp
としてみる. すると，
> ; <<>> DiG 9.3.5-P1 <<>> @a.osaka-u.ac.jp www.yahoo.co...
> ; (1 server found)
> ;; global options: printcmd
> ;; Got answer:
> ;; ->>HEADER<<- opcode: QUERY, &color(red){status: REF...
> ;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, AD...
> &br;
> ;; QUESTION SECTION:
> ;www.yahoo.co.jp. IN A
> &br;
> ;; Query time: 1 msec
> ;; SERVER: 133.1.192.3#53(133.1.192.3)
> ;; WHEN: Wed Jan 7 17:02:33 2009
> ;; MSG SIZE rcvd: 33
となり("ANSWER SECTION" が無いこと，status が "REFUSED" ...
&br;
ちなみに，DNS Server がどういう内容にどう返答してくれるか...
詳しくは DNS Server の設定を行うと理解できるので，そこま...
&br;
さて，dig は +trace というオプションをつけると生真面目に...
もう少し詳しく書くと，このオプション付きでの dig は，問い...
&ref(./warning.png); 逆に言えば，通常の dig コマンドは質...
&br;
つまり，+trace つきで dig コマンドを使ったときは，各々の...
例えば，
dig +trace www.osaka-u.ac.jp
とすると，
> ; <<>> DiG 9.3.5-P1 <<>> +trace www.osaka-u.ac.jp
> ;; global options: printcmd
> . 496121 IN NS J.ROOT...
> . 496121 IN NS G.ROOT...
> . 496121 IN NS K.ROOT...
> . 496121 IN NS E.ROOT...
> . 496121 IN NS H.ROOT...
> . 496121 IN NS A.ROOT...
> . 496121 IN NS C.ROOT...
> . 496121 IN NS D.ROOT...
> . 496121 IN NS M.ROOT...
> . 496121 IN NS B.ROOT...
> . 496121 IN NS F.ROOT...
> . 496121 IN NS L.ROOT...
> . 496121 IN NS I.ROOT...
> ;; Received 504 bytes from 127.0.0.1#53(127.0.0.1) in ...
> &br;
> jp. 172800 IN NS C.DNS....
> jp. 172800 IN NS D.DNS....
> jp. 172800 IN NS E.DNS....
> jp. 172800 IN NS F.DNS....
> jp. 172800 IN NS G.DNS....
> jp. 172800 IN NS A.DNS....
> jp. 172800 IN NS B.DNS....
> ;; Received 431 bytes from 192.58.128.30#53(J.ROOT-SER...
> &br;
> osaka-u.ac.jp. 86400 IN NS sigw.s...
> osaka-u.ac.jp. 86400 IN NS b.osak...
> osaka-u.ac.jp. 86400 IN NS a.osak...
> ;; Received 127 bytes from 204.74.112.245#53(C.DNS.jp)...
> &br;
> www.osaka-u.ac.jp. 259200 IN A 133.1....
> osaka-u.ac.jp. 259200 IN NS a.osak...
> osaka-u.ac.jp. 259200 IN NS b.osak...
> osaka-u.ac.jp. 259200 IN NS sigw.s...
> ;; Received 159 bytes from 150.100.2.2#53(sigw.sinet.a...
などのような返答が返ってくる.
これをみると，
+ 自分自身(127.0.0.1)への問い合わせの結果としてまず "."(...
が 13台あることを知る(フルサービスリゾルバと呼ばれるリゾ...
+ その 13台の中の J.ROOT-SERVICE.NET に "jp." 担当の NS ...
+ その 7台の中の C.DNS.JP に "osaka-u.ac.jp." 担当の NS ...
+ その 3台の中の sigw.sinet.ad.jp に www.osaka-u.ac.jp. ...
という流れで検索したことがよく分かる.
ただし，通常は，なるべくネットワーク上を流れる情報が少な...
*** ルートサーバの重要性とセキュリティ [#r2edd16e]
ここで，上に出てきたルートドメイン担当の DNSサーバ(ルート...
このルートサーバは，DNS の総元締であるので，これらがきち...
また逆に言えば，インターネットへの攻撃者からみればルート...
そのため，これまでにも大規模の各種攻撃にたびたびさらされ...
しかし，13台が世界各地に散っていることや使用するソフトウ...
&ref(./notes.png); ルートサーバに対するこれまで加えられた...
&br;
&ref(./warning.png); ちなみに，インターネットを支えるルー...
** DNS の状態等を知るツール(3) nslookup [#eec39afa]
dig が広く知られる前はよく使われていたのがこの "nslookup"...
ある条件を満たさない問い合わせをそもそも受け付けないこと...
&ref(./notes.png); "man nslookup" として nslookup のマニ...
// むしろ通常ユーザにとっての実用上の一番の欠点は，(古め...
&ref(./notes.png); host, dig, nslookup についてマニュアル...
また，および得られた IP アドレスを元に逆引きを行ってみよ.
また，自分の携帯のメールアドレスにメールを出す場合，その...
//
//
//
* DNS サーバを作ってみる(事前知識編) [#zada5062]
さて，DNS server (他には，ネームサーバという名前も良く使...
** DNS server として何を使うか [#f99f5f24]
DNS server ソフトウェアとしては主に BIND (Berkeley Intern...
もちろん世の中には他のソフトウェアもあるが，BIND の利用率...
この BIND は，BSD 由来のソフトウェアであり，FreeBSD では...
ただし，後述するセキュリティの問題があるので，その時利用...
あと，混乱しがちであるが，BIND が作るコマンドは named (名...
&ref(./notes.png); 今インストールされている BIND のバージ...
named -v
とすればよい.
(FreeBSD 7.0 についてくるのは 9.4.2 であるようだが，念の...
** BIND 設定のための資料 [#d1d8a1c4]
なにしろ BIND は古くからあるソフトウェアのため，進化して...
(とはいっても，DNS を知っていさえすれば設定ファイルを読ん...
DNS に対する理解ができていない状態で設定ファイルを読むと...
| 名称等 | 備考 |h
| FreeBSD システム管理とチューニング(書籍), page 341--374...
| FreeBSD ビギナーズバイブル(改訂第二版)(書籍), page 543-...
| BIND 9 による DNS サーバ構築(書籍) | とてもわかりやす...
| DNS & BIND (書籍) | 定番中の定番. インターネットに繋が...
** DNS server とセキュリティ [#i47c1234]
DNS server というのは古来より cracker の主な攻撃対象の一...
なぜ狙われるかというと，以下のような理由による.
: (理由) | (解説)
: ネットワークの情報を持っている | うまくすれば DNS serve...
: root 権限で動作していることが多い | 乗っ取れればシステ...
: ネットワーク情報を提供している | server が「嘘の情報」...
もちろん，DNS server ソフトウェアも(それを用いる OS 側も)...
であるので，DNS server の設定には注意を払おう.
FreeBSD では，セキュリティ向上のため，BIND についてはデフ...
+ 特別なユーザ bind の権限で動作する. root権限ではない.
+ /var/named というディレクトリの下に BIND 動作環境が「閉...
&ref(./notes.png); DNS サーバの提供するネットワーク情報を...
/etc/namedb というディレクトリが実際にはどこにあるか調べよ.
* レポート [#l9875a9f]
途中で「調べよ」と指示された事項について調査を行い，報告...
また，本日行った作業について報告せよ.
もちろん各自の
+ 所属(学部，学科)
+ 学籍番号
+ 学年
+ 氏名
+ 日時
+ 肝心のレポート内容(得た知見，作業について気づいたこと等)
を書くのを忘れないように.
* about Icons [#p90706c9]
Some icons in this page are downloadable at [[ICONFINDER:...
The "note" icon &ref(./notes.png); designed by [[Marco Ma...
and the "warning" icon &ref(./warning.png); designed by [...
Thank you Marco and Alexandre!
// &ref(./notes.png);
// &ref(./warning.png);
ページ名:
