DNSサーバーとは？

DNSサーバーはDNSクエリをどのように解決しますか？

キャッシュのない一般的なDNSクエリでは、クライアントにIPアドレスを配信するために連携して動作する4つのサーバーがあります。再帰リゾルバ、ルートネームサーバー、TLDネームサーバー、および権限ネームサーバーです。

DNSリカーサー（DNSリゾルバとも呼ばれる）は、DNSクライアントからクエリを受信し、他のDNSサーバーと対話して正しいIPを突き止めるサーバーです。リゾルバがクライアントからリクエストを受信すると、リゾルバは実際にクライアント自体として動作し、適切なIPを検索して他の3種類のDNSサーバーに照会します。

最初に、リゾルバはルートネームサーバーに照会します。ルートサーバーは、人間が読み取れるドメイン名をIPアドレスに変換（リゾルブ）する最初のステップです。次にルートサーバーは、ドメインの情報を格納するトップレベルドメイン（TLD）DNSサーバー（.comや.netなど）のアドレスをリゾルバーに応答します。

次に、リゾルバはTLDサーバーに照会します。TLDサーバーは、ドメインの権限ネームサーバーのIPアドレスを応答します。次に、リカーサーは権限ネームサーバーに照会し、権限ネームサーバーが配信元サーバーのIPアドレスを応答します。

リゾルバは最終的に配信元サーバーのIPアドレスをクライアントに返信します。このIPアドレスを使用して、クライアントは配信元サーバーに対して直接クエリを開始でき、配信元サーバーはWebブラウザが解釈および表示できるWebサイトデータを送信することで応答します。

DNS Cachingとは？

上記のプロセスに加えて、再帰リゾルバはキャッシュされたデータを使用してDNSクエリを解決することもできます。特定のWebサイトの正しいIPアドレスを取得した後、リゾルバはその情報をキャッシュに一定期間保存します。この期間中に、他のクライアントがそのドメイン名のリクエストを送信した場合、リゾルバは通常のDNSルックアッププロセスをスキップして、単純にキャッシュに保存されたIPアドレスでクライアントに応答できます。

キャッシュの時間制限が切れると、リゾルバはIPアドレスを再度取得して、キャッシュに新しいエントリを作成する必要があります。Time-To-Live（TTL）と呼ばれるこの時間制限は、各サイトのDNSレコードで明示的に設定されます。通常、TTLは24〜48時間の範囲です。WebサーバーはIPアドレスを時々変更するため、リゾルバはキャッシュから同じIPを無期限に提供でず、TTLが必要です。

DNSサーバーに障害が発生すると、どうなりますか？

DNSサーバーは、停電、サイバー攻撃、ハードウェアの不具合など、さまざまな理由でフェイルする可能性があります。インターネットの初期には、DNSサーバーの停止は比較的大きな影響を与える可能性がありました。ありがたいことに、今日はDNSに多くの冗長性が組み込まれています。たとえば、ルートDNSサーバーとTLDネームサーバーのインスタンスが多数あり、ほとんどのISPにはユーザーのためのバックアップ再帰リゾルバーがあります。（個々のユーザーは、 Cloudflareの1.1.1.1のように、パブリックDNSリゾルバも使用できます）人気のあるWebサイトの多くは、権限ネームサーバーにも複数のインスタンスがあります。

DNSサーバーが大規模に停止した場合、一部のユーザーはバックアップサーバーで処理されるリクエストの量が原因で遅延が発生する可能性がありますが、インターネットの大部分を使用できなくなるには、非常に大きなDNS停止が必要になります。（これは、2016年にDNSプロバイダーのDynが歴史上最大のDDoS攻撃を受けた時に実際に発生しました）。

DNSセキュリティと DNSSEC

DNSサーバーが侵害されるなどして障害が発生すると、ユーザーや企業、インターネット全体に多大な悪影響を及ぼす可能性があります。DNSサーバーは、インターネットに接続されたあらゆるものと同様に、さまざまな攻撃や悪意のある者によるなりすましなどの被害を受けやすくなっています。DNSSECのようなDNSセキュリティ対策は、このような攻撃を防ぐのに役立ち、DNSサーバーやそれを使用するユーザーの両方を安全に保つことができます。

Cloudflareが提供するマネージドDNSサービスは、DNSセキュリティを内蔵しており、攻撃やその他の一般的なサーバー障害の原因からDNSサーバーを保護します。