項目も分類が必要になった。-- ToshinoriMaeno 2021-06-04 00:41:40
Contents
1. DNS/問合せ
DNS/問合せ リゾルバーはどういうquery(問合せ)を送りだすのだろう。
- そして、返答(response)をどう処理しているのだろう。
DNS/毒盛 を避けるためになにをしているのだろう。
2. DNS/返答
リゾルバーにとって重要なのはゾーンサーバーからの返答です。
2.1. ゾーンサーバーからの返答
query(たずね、尋ね、とい、問、問い合わせ、照会)に対して、 DNS/ゾーンサーバ が返す返答を理解することが基本です。
形式 (DNS/RFC/1035/4) DNS/1/queries
/返答しないサーバーもあります。
/timed_out とは一定時間内に返事が返ってこないことだ。
- サーバーが動作していないか、返事が受け取れないか。
2.2. DJB の分類
DBJは(正常な)DNS返答を5種に分けていましたが、NXDomain はRCODEが違うので、見分けらる。/DJB
- またdelegationもaa offのはずなので、見分けられる。CNAME 返答では事情が異なる。
ということで残るは3種になるのだが。-- ToshinoriMaeno 2018-11-29 23:37:43
2.3. header
2.3.1. 返答コード
重要なのは：DNS/1/RCODE が 0 と 3 の場合です。(0: NOERROR, 3: NXDOMAIN)
SERVFAILも関係する。(特にCNAMEの場合) -- ToshinoriMaeno 2019-05-27 08:38:22
2.4. よっつの節
返答の/header部分に重要な情報がある。(DNS/1/messages)
- The four sections are:
Question Carries the query name and other query parameters.
Answer Carries RRs which directly answer the query.
Authority Carries RRs which describe other authoritative servers.
May optionally carry the SOA RR for the authoritative
data in the answer section.
Additional Carries RRs which may be helpful in using the RRs in the
other sections.
2.5. 返答の用途
RFC 1034にゾーンサーバからの返答の用途についての説明がある。
- 形式の規定がRFC 1035にあるかと思ったが見つからない。
実際にどう使われているかの調査から、こんな使い方をするのだろうという話になっているようだ。
-- ToshinoriMaeno 2016-04-27 00:53:45
/DJBは5つのDNS返答に分類している。これらはただの分類ではない。
- 書かれた順序にも意味がある。
2.6. NXDomain 返答
NXDOMAIN (RCODE NXDomain, AA flag, -> SOAあり) /NXDOMAIN返答
以下の場合もあることが分かっている。-- ToshinoriMaeno 2017-07-01 03:12:24
- Answer Sectionがあって、CNAMEレコードがあり、Authoritiy Section にSOAがない。
つまり、CNAME返答があっても、NoErrorではない場合があるということ。
https://serverfault.com/questions/157775/can-a-valid-cname-response-contain-an-nxdomain-status
There's an ongoing debate in the IETF "DNSEXT" Working Group about the correct response to a query when the target of the CNAME does not exist and in other unusual circumstances. In this case I believe the response is definitely incorrect.
https://www.ietf.org/mail-archive/web/dnsext/current/msg11940.html
Refocusing on Ed Lewis initial question, regarding the RCODE. One server is giving NXDOMAIN, the other NOERROR. Given the fact that CNAME records where followed, the status code should not be switched to NXDOMAIN. This is conform the server algorithm in RFC2672.
NXDOMAINを返すべきではない。とある。
2.7. NoError 返答の分類
NoError返答は四つに区別される。排他的である。（問い合わせ名に関して：DNS/RFC/2181/s10
- CNAMEであった。(問い合わせタイプではないとき）
- answerあり (AA flag, Answer Seciton; CNAME typeの問い合わせを含む)
- any type query の返事も含まれるはずだが、詳細は未調査
- no data (AA flag, +SOA)
- referral (AA off, + Authoriy Section NS)
最近見かけたもの：
- answer, authorityとも空のもの。(本来返事をすべきではないか、SERVFAILを返すような状況)
責任のないゾーンについての問い合わせ。
2.7.1. NoError返答の意味
前野は以下の名前で呼ぶことにした。
/CNAME返答 (qtype はCNAMEではないときで、qtypeが一致するレコードはない）
/有効返答 (qname, qtype が一致した返答RRSet) CNAME typeのレコードはないはず。
/NoData返答 (qnameに一致する名前はあったが、qtypeまで一致するレコードはない。CNAMEでもない。）
/参照返答 （あえて、委任返答とは呼ばない）
DNS/RFC/2181/s10 10.1. CNAME resource recordsには以下のようにある。
+ one CNAME record exists, optionally accompanied by SIG, NXT, and KEY RRs, + one or more records exist, none being CNAME records, + the name exists, but has no associated RRs of any type, + the name does not exist at all.
3つのsectionにどういうレコードを入れてよいかは、今後検討する。 -- ToshinoriMaeno 2016-07-23 14:45:46
2.8. CNAMEレコード
問い合わせ名がCNAMEレコードを持つ場合には上にあるように、
- CNAMEの先(本名)をたどる動作をするサーバーが多い。
このとき、返答コードはCNAMEが指す先の名前によるようだ。
注：毒盛される危険があるので、CNAMEの先に関する返答は全て捨てるのが安全である。
- つまり、answer sectionにCNAMEレコードがあった場合には、そのCNAMEをひとつだけ受け入れる。
これでも、毒の可能性はあるのだが。-- ToshinoriMaeno 2017-10-19 08:13:36
2.9. RFCに従わない運用サーバからの返答
前述の４つにあてはまらない返答もありそうだが、分かっていない。
- CNAMEレコードが存在する場合、2,3,4 ではなく、1 を返答することになっているのだが、 実装によってはCNAME以外のレコードがmatchすると、CNAMEを答えないものがある。(tinydns)
2.10. delegation
2.11. 毒盛
毒盛を目的とする返答はRFCに規定された形式の返答を返すとはかぎらない。
おかしな返答を受け取ったら、捨てるのが安全策である。
- よくあるのはAnswer Sectionがあるのに、Authority(+Additional) Sectionをもつ返答だ。
2.12. non-recursive server
再帰検索しないサーバ、権威サーバ、ゾーンサーバ、コンテンツサーバなどとも呼ばれる。
ローカルゾーン（ファイル）だけを使って返事をする。
RCODE: 0 返事あり、または /referral (?) というより /delegation
- RCODE: 3 NXDOMAIN
これら以外の値のRCODEはエラーを示す。