BINDによるDNSサーバー構築とセキュリティ運用【202試験 主題2.08】



LinuCレベル2（202試験）の主題2.08「ドメインネームサーバー（DNS）」は、全試験範囲の中でも屈指の配点比率と出題頻度を誇る最重要分野です。インターネットやイントラネットにおいて名前解決を一手に担うDNSサーバーは、Webやメールなどすべてのネットワークサービスの基盤として機能します。

Linux環境における事実上の標準DNSサーバーソフトウェアが BIND（Berkeley Internet Name Domain） です。本記事では、AlmaLinux 9.8の実機環境に最新のBIND 9（9.16系）を導入し、DNS反復検索の仕組みから named.conf のグローバル設計、正引き・逆引きゾーンファイルの記法規則（SOA/NS/A/PTR/CNAME/MX）、rndc による運用管理、そしてTSIGやDNSSECによるセキュリティ強化策まで、実機検証ログとともに体系的に解説します。

1. DNSの基本アーキテクチャとBINDの役割#

DNSは、全世界に分散配置されたネームサーバーが協調動作する分散型階層データベースです。人間が識別しやすいドメイン名（例: www.example.com）と、コンピュータが通信に用いるIPアドレス（例: 192.0.2.1）を相互に変換（名前解決）します。

図1: DNS反復検索（Iterative Query）と階層問い合わせフロー

1.1 ドメイン名前空間と反復検索・再帰検索#

DNSの問い合わせ方式には、クライアントとサーバー、あるいはサーバー同士の間で異なる2種類のクエリが存在します。

1.2 BINDのコンポーネント構成#

BINDパッケージは、DNSサーバーデーモン本体と、設定検証や運用を行うための補助ツール群で構成されています。

• named: DNS問い合わせを受け付け、名前解決処理を実行するバックグラウンドデーモン（TCP/UDP 53番ポートで待受）。
• named-checkconf: 設定ファイル（/etc/named.conf）の構文エラーや未定義ディレクティブを起動前に検査するツール。
• named-checkzone: 各ゾーンファイル（*.zone）のリソースレコード構文やSOAタイマー設定の妥当性を検査するツール。
• rndc（Remote Name Daemon Controller）: 稼働中の named デーモンを停止させることなく、設定の再読込やキャッシュ消去、ステータス確認をセキュアに遠隔制御するCLIコマンド。

2. named.conf の基本設計と主要ディレクティブ#

BINDの中核となる設定ファイルは /etc/named.conf です。ステートメントの末尾にはセミコロン（;）が必須であり、ブロックは波括弧（{ }）で囲む構文規則を持ちます。

2.1 optionsディレクティブによるグローバル設定#

サーバー全体の動作挙動を定義する最重要ブロックが options { ... }; です。LinuC 202試験で頻出のディレクティブを整理します。

2.2 zoneディレクティブとゾーンタイプ#

サーバーが管理する個別のドメイン（正引き・逆引き）は zone "ドメイン名" IN { ... }; ブロックで定義します。type ディレクティブによりゾーンの役割を宣言します。

// 正引きマスターゾーンの定義
zone "example.com" IN {
    type master;
    file "example.com.zone";
    allow-query { any; };
    allow-transfer { 192.168.2.139; };
};

// 逆引きマスターゾーンの定義（192.168.2.0/24）
zone "2.168.192.in-addr.arpa" IN {
    type master;
    file "2.168.192.in-addr.arpa.zone";
    allow-query { any; };
    allow-transfer { 192.168.2.139; };
};

2.3 アクセス制御リスト（aclディレクティブ）#

複数のIPアドレスやネットワーク範囲に別名を付けてグループ化するのが acl（Access Control List）ディレクティブです。options や zone の外側の最上位スコープに記述します。

acl "internal-network" {
    127.0.0.1;
    192.168.2.0/24;
};

options {
    allow-query { internal-network; };
    allow-recursion { internal-network; };
};

2.4 named-checkconf による設定構文検査実機ログ#

設定ファイルの編集後、デーモンを再起動する前に構文誤り（セミコロンの欠落や閉じ括弧の不整合）がないかを検証します。エラーが存在しない場合、コマンドは出力を返さず終了ステータス0で完了します。

[user01@linuc-node01 ~]$ sudo named-checkconf /etc/named.conf && echo "named.conf syntax OK"
named.conf syntax OK

3. ゾーンファイルの構造と主要リソースレコード#

BINDが名前解決を行うための個別のホスト名とIPアドレスのマッピング情報は、/var/named/ 配下に配置する「ゾーンファイル」に記述します。

図2: DNSゾーンファイルとSOAレコードのタイマー構造

3.1 ゾーンファイルの共通記法ルール#

ゾーンファイル内には、以下の共通ディレクティブと特殊記号が用いられます。

• $TTL <秒数または期間>: ゾーン内の全リソースレコードに対するデフォルトの生存時間（Time To Live）を秒数または単位（例: 86400, 1d）で指定します。キャッシュDNSサーバーがレコードをキャッシュ保持する時間を決定します。
• $ORIGIN <ドメイン名>.: 後続のレコードでドメイン名が省略された場合に自動補完されるベースドメインを指定します。
• @: 現在のオリジン（ゾーン名そのもの）を表す特殊記号です。
• 末尾のドット（FQDN表現）: ドメイン名やホスト名の末尾にドット（.）を付けた場合は完全修飾ドメイン名（FQDN）として解釈されます。ドットを省略した場合は、自動的にカレントオリジン（.example.com.）が付加されるため、記述漏れに細心の注意が必要です。
• セミコロン（;）: 以降の文字列はコメントとして無視されます。

3.2 SOA（Start of Authority）レコードの各タイマー値#

ゾーンファイルの先頭には、必ずそのゾーンの管理権限と同期パラメータを宣言する SOA（Start of Authority）レコード を配置します。5つの数値パラメータの意味と役割はLinuC 202試験の最頻出ポイントです。

3.3 各種リソースレコードの記法（NS, A, AAAA, CNAME, MX, TXT）#

SOAレコードに続いて、各種リソースレコードを定義します。

3.4 逆引きゾーンファイルとPTRレコード（in-addr.arpa / ip6.arpa）#

IPアドレスからホスト名を逆引き解決するためのゾーンファイルでは、特殊な in-addr.arpa（IPv4）および ip6.arpa（IPv6）ドメインを用います。

IPv4ネットワーク 192.168.2.0/24 の逆引きを行う場合、ネットワークアドレスの各オクテットを「逆順」に並べて 2.168.192.in-addr.arpa というゾーン名を作成します。ホストの解決には PTR（Pointer）レコード を指定します。

$TTL 86400
@   IN  SOA ns1.example.com. hostmaster.example.com. (
            2026090701 ; Serial
            3600       ; Refresh
            1800       ; Retry
            604800     ; Expire
            86400 )    ; Minimum

@       IN  NS      ns1.example.com.

138     IN  PTR     ns1.example.com.
139     IN  PTR     ns2.example.com.
140     IN  PTR     mail.example.com.

3.5 named-checkzone によるゾーン検査実機ログ#

ゾーンファイルの作成後、named-checkzone <ゾーン名> <ゾーンファイルパス> を実行して整合性を確認します。

[user01@linuc-node01 ~]$ named-checkzone example.com /tmp/example.com.zone
zone example.com/IN: loaded serial 2026090701
OK

4. BINDの運用管理とクライアント検証#

DNSサーバーの稼働状態の確認、キャッシュデータの消去、ゾーン情報の再読込は、BIND付属の遠隔制御ユーティリティ rndc を用いて行います。

4.1 rndc（Remote Name Daemon Controller）コマンドによる制御#

rndc はTCP 953番ポートを介して named デーモンと暗号化通信（共有鍵認証）を行い、以下の運用管理コマンドを提供します。

4.2 dig と host による動作確認#

クライアント側からDNS名前解決の応答を検証する標準ツールが dig（Domain Information Groper） です。

# 特定DNSサーバー（@192.168.2.138）に対して正引きAレコードを問い合わせ
dig @192.168.2.138 www.example.com A

# 短縮表示（IPアドレスのみ取得）
dig @192.168.2.138 www.example.com +short

# ルートからの階層反復検索フローを追跡表示
dig @192.168.2.138 www.example.com +trace

# IPアドレスからの逆引き問い合わせ（-x オプション）
dig @192.168.2.138 -x 192.168.2.138 +short

5. BINDのセキュリティ対策（chroot, TSIG, DNSSEC）#

DNSサーバーはインターネットの最前線に位置するため、脆弱性を狙った標的型攻撃やキャッシュポイズニング攻撃に常に晒されます。LinuC 202試験では、BINDをセキュアに運用するための3大セキュリティ機構が出題されます。

5.1 named-chroot による特権分離#

BINDデーモンに未知のセキュリティホールが存在した場合でも、ホストOS全体のファイルシステムが侵害されるのを防ぐ手法が chroot（Change Root）環境 の適用です。

AlmaLinuxやRHEL系では、専用パッケージ bind-chroot を導入し、named-chroot.service を起動することで、named プロセスにとってのルートディレクトリ（/）が /var/named/chroot/ に閉じ込められます。設定ファイルは /var/named/chroot/etc/named.conf、ゾーンファイルは /var/named/chroot/var/named/ 配下に透過的にバインドマウントされます。

5.2 TSIG（Transaction Signature）によるセキュアなゾーン転送#

プライマリDNSとセカンダリDNSの間でゾーン情報を複製する「ゾーン転送（AXFR/IXFR）」において、IPアドレス偽装による不正なゾーン情報詐取や改ざんを防ぐための認証機構が TSIG（Transaction Signature） です。

TSIGでは、プライマリとセカンダリの双方で事前に共有した秘密鍵（HMAC-SHA256等）を用いてDNSメッセージごとに電子署名を付与・検証します。設定は key ステートメントおよび server ステートメントで行います。

key "transfer-key" {
    algorithm hmac-sha256;
    secret "c2VjcmV0LWtleS1kYXRhLTEyMzQ1Njc4OTA=";
};

server 192.168.2.139 {
    keys { "transfer-key"; };
};

zone "example.com" IN {
    type master;
    file "example.com.zone";
    allow-transfer { key "transfer-key"; };
};

5.3 DNSSEC（DNS Security Extensions）の基礎概念#

DNS応答の偽装（DNSキャッシュポイズニング攻撃）を根本的に防ぐ技術が DNSSEC です。権威DNSサーバーがリソースレコードセット（RRset）に対して公開鍵暗号による電子署名を付加し、リゾルバ側で署名を検証することで、「応答が改ざんされていないこと（完全性）」および「正当な権威サーバーからの応答であること（真正性）」を数学的に証明します。

6. LinuC 202試験（主題2.08）重要ポイント総整理#

主題2.08「ドメインネームサーバー（DNS）」における記述式問題（コマ問）頻出コマンドおよび設定ディレクティブを整理します。

6.1 記述式（コマ問）頻出コマンド・ディレクティブ一覧#

6.2 SOAレコードのタイマー値とゾーン転送の盲点#

受験者が最も混同しやすいSOAタイマーの相互関係を2点整理します。

7. まとめと次回予告（第11回：ApacheとTLS/HTTPS）#

本記事では、LinuCレベル2（202試験）の最重要インフラであるBINDによるDNSサーバーの動作原理、named.conf の基本設定、SOAタイマーを含むゾーンファイルの構築記法、rndc による制御、そしてchrootやTSIG、DNSSECによるセキュリティ強化手法を実機ログとともに体系的に整理しました。

DNSが正しく機能して初めて、ドメイン名に基づいたWebアクセスやメール配送が成立します。ゾーンファイルの構文ルールやシリアル番号管理の挙動を実機で体得しておくことが、本番試験の記述式問題における高得点と実務トラブルシューティングの確固たる基礎となります。

次回（第11回）からは、インターネットのもうひとつの柱であるWebサーバーを取り上げます。Linux環境で長年実績を誇る Apache HTTP Server（httpd） を対象に、httpd.conf の基本構造、バーチャルホスト設定、アクセス制御、そしてTLS/SSL証明書の導入によるセキュアなHTTPS通信の構築手順を解説します。

リンク