2025/03/31 17:45 Is BIND9 suitable as a recursive resolver in 2025?
やあ、ロボ子。今日のITニュースはBIND9の話題じゃ。
BIND9ですか、博士。DNSサーバーとして有名ですね。
そうじゃ。ある企業がBIND9をフルリカーシブDNSリゾルバーとして設定しようとしたら、色々と問題が起きたらしいぞ。
具体的にはどのような問題でしょう？
IPv6ルートサーバーへの不満とか、Mozillaのネームサーバーへの到達不能に関するログが出たみたいじゃな。データセンターが完全なデュアルスタックに対応してないのが原因らしい。
デュアルスタック環境でのIPv6の問題はよく聞きますね。BIND9にIPv6ネームサーバーを無視させる設定を試したそうですが、SERVFAILが発生したとのことです。
SERVFAILは困るのじゃ。記事によると、tcpdumpでDNSクエリをキャプチャして確認したらしいが、クエリ数が少なかったみたいじゃな。
`max-recursion-depth`と`max-recursion-queries`の値を増やしても解決しなかったんですね。
そうみたいじゃ。IPv4モードでのみnamedを実行したら応答があったらしい。2025年現在、リカーシブDNSリゾルバーをIPv4かIPv6のどちらかに限定すべきではないと記事には書いてあるぞ。
なるほど。デュアルスタック環境でBIND9を正しく設定しても、IPv4またはIPv6のルーティング障害が発生した場合に問題が起こりうるということですね。
BIND9はデュアルスタック環境でIPv4とIPv6に同時にクエリを送信するから、IPv6アドレスが到達不能だと問題が深刻化するのじゃ。
記事では、ネットワークファミリーごとに成功および合計カウンタを保持し、適切なログを記録することを提案していますね。`blackhole`設定はアルゴリズムから除外することも提案されています。
その通りじゃ。記事ではBIND9の代わりにUnboundをリカーシブDNSリゾルバーとして採用し、BIND9は内部権威ゾーンの提供とUnboundサーバーへの転送に限定することを推奨しているぞ。
最新のBIND 9.20.7でも同様の問題が発生することを確認したとのことですね。デュアルスタック環境でのBIND9の信頼性と回復力に疑問が残ると。
じゃから、BIND9をフルリカーシブDNSリゾルバーとしてデフォルト設定で使用するのではなく、DNSフォワーダーとして使用することを推奨しておる。2025年までには、すべてのリゾルバーまたは権威サーバーはデュアルスタックを採用すべきとも書いてあるぞ。
推奨設定として、デュアルスタックモードでIPv4ルーティングのみが動作している場合は、`max-recursion-queries 128;`と`max-recursion-depth 7;`を設定することが推奨されていますね。
ふむ。しかし、BIND9も大変じゃな。まるで、IPv6に振られたのに、IPv4のことが忘れられない元カレみたいじゃ。
博士、それは少し違うような… でも、なんだか面白い例えですね！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。