「ドメイン名前解決」の版間の差分

提供: ArchWiki
ナビゲーションに移動 検索に移動
79行目: 79行目:
 
これにより、''ssh'' コマンドを使用する際に {{ic|mainmachine1.example.org}} のようなローカルホストを単に {{ic|mainmachine1}} として参照することができますが、 [[ドメイン名前解決#ルックアップユーティリティ|drill]] コマンドなどは検索を行うために完全修飾ドメイン名を要求します。
  
これにより、''ssh'' コマンドを使用する際に {{ic|mainmachine1.example.org}} のようなローカルホストを単に {{ic|mainmachine1}} として参照することができますが、 [[ドメイン名前解決#ルックアップユーティリティ|drill]] コマンドなどは検索を行うために完全修飾ドメイン名を要求します。
   
  +
== ルックアップユーティリティ ==
−
== Lookup utilities ==
  
   
−
To query specific DNS servers and DNS/[[DNSSEC]] records you can use dedicated DNS lookup utilities. These tools implement DNS themselves and do not use [[#Name Service Switch|NSS]].
 +
特定の DNS サーバーと DNS/[[DNSSEC]] レコードを照会するには、専用の DNS ルックアップユーティリティを使用できます。これらのツールは DNS 自体を実装し、[[#Name Service Switch|NSS]] を使用しません。
   
  +
{{Pkg|ldns}} は、DNS から情報を取得するために設計されたツールである {{man|1|drill}} を提供します。
−
{{Pkg|ldns}} provides {{man|1|drill}}, which is a tool designed to retrieve information out of the DNS.
  
   
  +
たとえば、''drill'' を使用して特定のネームサーバーにドメインの TXT レコードを照会するには、次のようにします。
−
For example, to query a specific nameserver with ''drill'' for the TXT records of a domain:
  
   
 
$ drill @''nameserver'' TXT ''domain''
  
$ drill @''nameserver'' TXT ''domain''
   
  +
DNS サーバーが指定されていない場合、''drill'' は {{ic|/etc/resolv.conf}} で定義されたネームサーバーを使用します。
−
Unless a DNS server is specified, ''drill'' will use the nameservers defined in {{ic|/etc/resolv.conf}}.
  
   
  +
{{Tip|一部の DNS サーバーには、独自の DNS ルックアップ ユーティリティが付属しています。例えば
−
{{Tip|Some DNS servers ship with their own DNS lookup utilities. E.g.
  
   
−
* {{Pkg|knot}} provides {{man|1|khost}} and {{man|1|kdig}}.
 +
* {{Pkg|knot}} {{man|1|khost}} と {{man|1|kdig}} を提供します。
−
* [[Unbound]] has {{man|1|unbound-host}}.
 +
* [[Unbound]] {{man|1|unbound-host}} を持っています。
−
* [[BIND]] has {{man|1|dig}}, {{man|1|host}}, {{man|1|nslookup}} and a bunch of {{ic|dnssec-}} tools.
 +
* [[BIND]] には、{{man|1|dig}}、{{man|1|host}}、{{man|1|nslookup}}、および多数の {{ic|dnssec-}} ツールがあります。
   
 
}}
  
}}

2023年2月3日 (金) 06:10時点における版

関連記事

一般に、ドメイン名は IP アドレスを表し、DNS（Domain Name System）で関連付けられています。ここでは、ドメイン名前解決の設定方法とドメイン名の解決方法について説明します。

Name Service Switch

この記事またはセクションは加筆を必要としています。
理由: Mention nss-mdns, nss-tls-gitAUR and others. (議論: トーク:ドメイン名前解決#)

Name Service Switch (NSS) 機能は GNU C ライブラリ (glibc) の一部であり、getaddrinfo(3) API をサポートしており、ドメイン名を解決するために使用されます。NSS では、システムデータベースを別々のサービスで提供することができ、その検索順序は管理者が nsswitch.conf(5) で設定することができます。ドメイン名の解決を行うデータベースは hosts データベースであり、glibc は以下のサービスを提供しています。

  • files: /etc/hosts ファイルを読み込む。hosts(5) を参照してください。
  • dns :/etc/resolv.conf を読み込む glibc resolver。 resolv.conf(5) を参照してください。

systemd はホスト名解決のために 3 つの NSS サービスを提供します。

NSS を使用してドメイン名を解決する

NSS データベースは getent(1) でクエリできます。ドメイン名は、NSS を介して解決できます。 

$ getent hosts domain_name
ノート: ほとんどのプログラムは NSS を使用してドメイン名を解決しますが、/etc/resolv.conf や /etc/hosts を直接読み取るプログラムもあります。ネットワーク設定#localhost がネットワーク上で解決される を参照してください。

Glibc resolver

The glibc resolver reads /etc/resolv.conf for every resolution to determine the nameservers and options to use.

resolv.conf(5) lists nameservers together with some configuration options. Nameservers listed first are tried first, up to three nameservers may be listed. Lines starting with a number sign (#) are ignored.

ノート: The glibc resolver does not cache queries. To improve query lookup time you can set up a caching resolver. Glibc resolver also can not validate DNSSEC. A DNSSEC capable validator resolver is required for that one. See #DNS servers for more information.

Overwriting of /etc/resolv.conf

Network managers tend to overwrite /etc/resolv.conf, for specifics see the corresponding section:

To prevent programs from overwriting /etc/resolv.conf, it is also possible to write-protect it by setting the immutable file attribute: 

# chattr +i /etc/resolv.conf
ヒント: If you want multiple processes to write to /etc/resolv.conf, you can use resolvconf.

ルックアップ時間を制限する

非常に長いホスト名のルックアップに直面したとき (pacman やブラウジング中など)、代替ネームサーバーが使われるまでの小さなタイムアウトを定義することがしばしば役に立ちます。これを行うには、/etc/resolv.conf に以下を記述してください。 

options timeout:1

IPv6 でホスト名の解決が遅れる

ホスト名の解決時に5秒の遅延が発生した場合は、DNS サーバー/ファイアウォールの誤動作が原因である可能性があり、並列の A および AAAA 要求に対して1つの応答しか返さない可能性があります。[1] /etc/resolv.conf で次のオプションを設定することで、これを修正できます。 

options single-request

ローカルドメイン名

ローカルマシン名のホスト名を完全修飾ドメイン名なしで使用できるようにするには、/etc/resolv.conf にローカルドメインの行を以下のように追加してください。 

domain example.org

これにより、ssh コマンドを使用する際に mainmachine1.example.org のようなローカルホストを単に mainmachine1 として参照することができますが、 drill コマンドなどは検索を行うために完全修飾ドメイン名を要求します。

ルックアップユーティリティ

特定の DNS サーバーと DNS/DNSSEC レコードを照会するには、専用の DNS ルックアップユーティリティを使用できます。これらのツールは DNS 自体を実装し、NSS を使用しません。

ldns は、DNS から情報を取得するために設計されたツールである drill(1) を提供します。

たとえば、drill を使用して特定のネームサーバーにドメインの TXT レコードを照会するには、次のようにします。 

$ drill @nameserver TXT domain

DNS サーバーが指定されていない場合、drill は /etc/resolv.conf で定義されたネームサーバーを使用します。

ヒント: 一部の DNS サーバーには、独自の DNS ルックアップ ユーティリティが付属しています。例えば

Resolver のパフォーマンス

Glibc resolver は問い合わせをキャッシュしません。ローカルキャッシュを実装するには、 systemd-resolved を使用するか、ローカルキャッシュ DNS server を設定し、 127.0.0.1 と ::1 を /etc/resolv.conf または /etc/resolvconf (openresolv を使用する場合) でネームサーバとして使用します。

ヒント:

Privacy and security

The DNS protocol is unencrypted and does not account for confidentiality, integrity or authentication, so if you use an untrusted network or a malicious ISP, your DNS queries can be eavesdropped and the responses manipulated. Furthermore, DNS servers can conduct DNS hijacking.

You need to trust your DNS server to treat your queries confidentially. DNS servers are provided by ISPs and third-parties. Alternatively you can run your own recursive name server, which however takes more effort. If you use a DHCP client in untrusted networks, be sure to set static name servers to avoid using and being subject to arbitrary DNS servers. To secure your communication with a remote DNS server you can use an encrypted protocol, like DNS over TLS (RFC 7858), DNS over HTTPS (RFC 8484), or DNSCrypt, provided that both the upstream server and your resolver support the protocol. An alternative can be a dedicated software to encrypt and decrypt the communication, such as stunnel. To verify that responses are actually from authoritative name servers, you can validate DNSSEC, provided that both the upstream server(s) and your resolver support it.

Application-level DNS

Be aware that some client software, such as major web browsers[2][3], are starting to implement DNS over HTTPS. While the encryption of queries may often be seen as a bonus, it also means the software sidetracks queries around the system resolver configuration.[4]

Firefox provides configuration options to enable or disable DNS over HTTPS and select a DNS server.

Chromium will examine the user's system resolver and enable DNS over HTTPS if the system resolver addresses are known to also provide DNS over HTTPS. See this blog post for more information and how DNS over HTTPS can be disabled.

Mozilla has proposed universally disabling application-level DNS if the system resolver cannot resolve the domain use-application-dns.net. Currently, this is only implemented in Firefox.

Oblivious DNS

Oblivious DNS is a system which addresses a number of DNS privacy concerns. See Cloudflare's article for more information.

Third-party DNS services

ノート: Before using a third-party DNS service, check its privacy policy for information on how user data is handled. User data has value and can be sold to other parties.

There are various third-party DNS services available, some of which also have dedicated software:

  • cloudflared — A DNS client for Cloudflare DNS over HTTPS
https://developers.cloudflare.com/1.1.1.1/dns-over-https/cloudflared-proxy || cloudflared
  • dingo — A DNS client for Google DNS over HTTPS
https://github.com/pforemski/dingo || dingo-gitAUR
  • opennic-up — Automates the renewal of the DNS servers with the most responsive OpenNIC servers
https://github.com/kewlfft/opennic-up || opennic-upAUR
  • nextdns — A DNS-over-HTTPS CLI client for NextDNS
https://github.com/nextdns/nextdns || nextdnsAUR

You can use dnsperftest to test the performance of the most popular DNS resolvers from your location. dnsperf.com provides global benchmarks between providers.

DNS サーバ

DNS servers can be authoritative and recursive. If they are neither, they are called stub resolvers and simply forward all queries to another recursive name server. Stub resolvers are typically used to introduce DNS caching on the local host or network. Note that the same can also be achieved with a fully-fledged name server. This section compares the available DNS servers, for a more detailed comparison, refer to Wikipedia:Comparison of DNS server software.

この記事またはセクションは加筆を必要としています。
理由: Fill in the unknowns. (議論: トーク:ドメイン名前解決#)
Name Package Capabilities resolvconf Supported protocols
Authoritative Recursive Cache Validates
DNSSEC		 DNS DNSCrypt DNS
over TLS		 DNS
over HTTPS
BIND bind Yes Yes Yes Yes Yes Yes No Server1 Server
CoreDNS corednsAUR or coredns-binAUR ? ? ? ? ? ? ? Yes ?
Deadwood (MaraDNS recursor) maradnsAUR No Yes Yes No No Yes No No No
dnscrypt-proxy dnscrypt-proxy No No Yes No No Server Resolver No Yes
dnsmasq dnsmasq Partial2 No Yes Yes Yes Yes No No No
Knot Resolver knot-resolver No Yes Yes Yes No Yes No Yes Server
pdnsd pdnsd Yes Yes Permanent No Yes Yes No No No
PowerDNS Recursor powerdns-recursor No Yes Yes Yes Yes Yes No Partial No
Rescached rescached-gitAUR No No Yes No Yes Yes No Yes Yes
SmartDNS smartdns No No Yes No ? Yes No Resolver Resolver
Stubby stubby No No No Yes No Server No Resolver No
systemd-resolved systemd No No Yes Yes Yes Resolver and limited server No Resolver No
Unbound unbound Partial Yes Yes3 Yes Yes Yes Server Yes Server
  1. BIND can serve both DNS over TLS and DNS over HTTPS (see tls{} and listen-on), but cannot yet forward queries to a DNS over TLS/DNS over HTTPS upstream. The dig tool can make queries over DNS over TLS and DNS over HTTPS (using +tls and +https options), though without any certificate checks.
  2. From Wikipedia: dnsmasq has limited authoritative support, intended for internal network use rather than public Internet use.
  3. The Redis backend can be used to provide a persistent cache for Unbound.

Authoritative-only servers

Name Package DNSSEC Geographic
balancing
gdnsd gdnsd No Yes
Knot DNS knot Yes Yes
MaraDNS maradnsAUR No ?
NSD nsd No No
PowerDNS powerdns Yes Yes

Conditional forwarding

It is possible to use specific DNS resolvers when querying specific domain names. This is particularly useful when connecting to a VPN, so that queries to the VPN network are resolved by the VPN's DNS, while queries to the internet will still be resolved by your standard DNS resolver. It can also be used on local networks.

To implement it, you need to use a local resolver because glibc does not support it.

In a dynamic environment (laptops and to some extents desktops), you need to configure your resolver based on the network(s) you are connected to. The best way to do that is to use openresolv because it supports multiple subscribers. Some network managers support it, either through openresolv, or by configuring the resolver directly. NetworkManager supports conditional forwarding without openresolv.

ノート: Although you could use other conditions for forwarding (for example, source IP address), "conditional forwarding" appears to be the name used for the "domain queried" condition.

See also

「https://wiki.archlinux.jp/index.php?title=ドメイン名前解決&oldid=29665」から取得