DigiLoog

厳密にはエ○ゲでは無いのだが、購入タイミングが月末の日なので。
今月はアクアプラスのうたわれるもの斬2を購入してきた。

前作はフルコンプしたので、一部データを引き継ぎつつゲームスタート。
中盤あたりまでは順調に進められたのだが、
ムネチカの修行が突破出来ないのでレベリングしつつ立ち回りを練習中。
システムは前作から大きく変更されているので、慣れる迄に時間がかかりそうな印象を持った。
あと、今作の目玉となる追加シナリオは短めの物が多いが、
シナリオ本編を補完するには丁度良い量でサクサク進められるのが賛否両論分かれると思う。

諸事情でRTX830を用いた拠点間VPNを構築する必要が出たので、
急遽2台を追加購入しテスト接続と設定投入を実施中。

しかも、最低で200Mbps・可能なら500Mbps近い実測値が必要な為、
場合によっては暗号強度を下げる必要があるかもしれない。
久々のVPN構築ネタなのでマニュアルと睨めっこしながら構築を終わらせねば。
この辺りの内容は8月には書ける筈なので、そのうちネタとしてまとめようと思う。

自宅のキャッシュDNSサーバではDNSSECのレコード署名を検証していたが、
一部ドメインや特殊構成のgTLDで名前解決が失敗する事に気づいた。

DNSSECについてはJPNICが解説しているのでそちらを参照。
権威DNSとレコード応答の正当性を検証する仕組みなので、
クエリや応答を暗号化する物では無い点に注意。
このレコード署名検証が失敗すると、不正な権威DNSからの応答と判断してSERVFAILする。

自宅のDNSサーバは、サーバ自身で名前解決を行うインターネットに接続したキャッシュDNS(親)と、
PCやスマホからのDNSクエリを一次受けして、
上位の親DNSに再転送するキャッシュDNS(子)で多段にしている。
今回は親・子の両キャッシュDNSサーバにBINDを使った上、dnssec-validationを有効化したら、
DNSSEC検証が失敗するドメインが出てきた。

………

確認出来たのはOpenSUSEのリポジトリとシャープのWebサイト。
良くある事なのでEDNS0やTCPフォールバックあたりを怪しんでログ調査していたが、
切り分けたら4KB近いDNSクエリでも正常に受信出来ていたのと、
一部ドメインのみで問題が出ており大多数はDNSSECも名前解決出来ていたので調査が難航した。

1週間程度格闘し、digコマンドにバッファ拡張オプションをつけたり、
cdflagでDNSSEC検証を無効化してわかったのは、次の5個を満たしている時に起こる場合がある点。

1. キャッシュDNSをforwardとroothintの多段構成にしている
2. DNSSECレコード署名検証を2台とも有効化している
3. 名前解決対象のFQDNがCNAMEを返す
4. CNAME先が別ドメイン
5. CNAME先のドメインでサブドメイン委任していない

5番目は実際に権威DNSを運用している人ならわかる内容だが、
本番運用ではサブドメイン委任をせず親ドメインのゾーンにサブドメインのレコードを書く場合がある。
今回はキャッシュDNSが少し特殊な構成なのと権威DNSのサブドメイン委任も特殊だったので、
DNSSECのレコード署名検証で不整合と判断されたのかもしれない。

………

流石に権威DNSに手を出す事は出来ないのと名前解決が出来ないのは少し困るので、
キャッシュDNSでdnssec-validationを無効化する事にした。

本来はNTAsを設定して逃げるのが筋だと思うが、
BINDでNTAsを設定しても最長1週間しか維持できないので常用は難しいと判断。
ちなみに、UnboundならNTAsで常時除外も出来るが、検証はBIND環境の話なのでそもそも出来なかった。

発展途上であるDNSSECは今回の様な問題が出る事がある上、
問題が出た時のデバッグに時間がかかるのが辛い所。
常用しているからこそ分かった事例なので、似たような事が起きたら今後も都度メモしようと思う。