DNS・名前解決 / DNS
権威DNSとは
Authoritative DNS。ドメインの正しいDNS情報を保持して回答するDNSサーバーです。
用語集内のカードを見るこの記事で学べること
権威DNSを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- 権威DNSを読むときの前提
- 再帰DNSと役割を分ける
- ゾーンとSOAを見る
- 委任違いと編集先違いを見抜く
- 変更証跡と引き継ぎ
実務メモ
正本の回答とキャッシュ側の回答を分けて報告する
どこで効くか
権威DNSはゾーンの正本を持つDNSサーバーです。DNS変更の切り分けでは、まず権威DNSへ直接問い合わせ、その後で再帰DNS、社内DNS、端末キャッシュの見え方を確認します。
残す証跡
証跡には対象ゾーン、権威DNS名、問い合わせたレコード、回答値、TTL、SOA serial、NS一覧、利用者側DNSとの差分、確認時刻を残します。
避けたい誤解
利用者側DNSの旧回答だけを見ると、権威DNSの誤設定とキャッシュ残りを混同します。逆に管理画面だけを見ると、委任先違いや旧権威DNSの残存を見落とします。
まず確認すること
- 権威DNSへ直接問い合わせた結果を先に保存する
- SOA serialと複数NSの回答差を確認する
- 親ゾーンのNSと編集先DNSを突合する
権威DNSを読むときの前提
権威DNS（Authoritative DNS）は、あるゾーンの正しいDNS情報を保持し、再帰DNSからの問い合わせに対して最終的な回答を返すDNSサーバーです。利用者端末が直接使う再帰DNSとは役割が違います。
実務では、DNS変更が正しく入ったかを確認する最初の基準として権威DNSを見ます。権威DNSで新値が返らないなら設定や委任の問題、権威DNSで新値が返るのに利用者側で旧値ならキャッシュや社内DNSの問題として切り分けます。
証跡には、対象ゾーン、権威DNS名、問い合わせたレコード、回答値、TTL、SOA serial、NS一覧、利用者側DNSとの差分、確認時刻を残します。
再帰DNSと役割を分ける
再帰DNSは利用者の代わりに問い合わせ、TTLの範囲で回答をキャッシュします。権威DNSはゾーンの正本を持つ側です。障害調査では、まず権威DNSへ直接問い合わせて正本を確認し、その後に再帰DNSや端末の見え方を確認します。
この順序を逆にすると、キャッシュ残りを設定ミスと誤解したり、権威DNSの誤設定を単なる反映待ちと誤解したりします。
- 権威DNSへの直接問い合わせ結果を先に保存する。
- 再帰DNSと端末の回答を別証跡にする。
- TTL内の旧回答と権威DNSの誤回答を分ける。
ゾーンとSOAを見る
権威DNSの確認では、個別レコードだけでなく、SOA、NS、serial、zone apex、サブドメイン委任を確認します。複数NSでSOA serialや回答が違う場合、ゾーン同期や反映に問題がある可能性があります。
DNSSECを使う場合は、署名、DS、DNSKEY、期限切れも確認します。権威DNSの障害は、AやMXなど個別レコードが正しくても名前解決全体に影響します。
- SOA serialとNS一覧を保存する。
- 複数NSの回答差を確認する。
- DNSSEC利用時は署名とDSを確認する。
委任違いと編集先違いを見抜く
管理画面の値が正しくても、親ゾーンが別の権威DNSへ委任していれば利用者には反映されません。特にドメイン移管、DNSサービス移行、CDN導入、サブドメイン委任では編集先違いが起きやすいです。
確認では、レジストラのNS、親ゾーンのNS、実際に編集したゾーン、権威DNSの回答を並べます。旧DNSサービスにだけ残るレコードも見ます。
- 親ゾーンのNSと編集先DNSを突合する。
- 旧権威DNSの残存レコードを確認する。
- サブドメイン委任の境界を明記する。
変更証跡と引き継ぎ
権威DNSに関わる変更では、ゾーン内容、NS、SOA、TTL、DNSSEC、管理者、戻し条件を残します。権威DNS障害時には、利用者側DNSのキャッシュを消しても根本解決にはなりません。
引き継ぎでは、どの権威DNSが正か、どの管理画面で編集するか、関連語としてDNS、NS、再帰DNS、TTL、DNSSEC、ゾーンを残すと確認しやすくなります。
- 正の権威DNSと管理者を記録する。
- ゾーン変更前後の主要レコードを保存する。
- 再帰DNS側の結果と混ぜずに報告する。
関連語
同じ主要カテゴリの用語
DNS・名前解決の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。