DTIのキャッシュDNSサーバで遊んでみた

DNS

Published: 2014-06-16

きっかけ

DTIのDNSサーバ202.216.229.30、なんでcloudfrontの正引きを高確率で127.0.0.1返すの。

— エアコンが新しくなったmatsuu (@matsuu)

2014, 6月 15

まじか！と思い、conohaからdigって見るものの、REFUSEDになってしまいました。「ちぇー、ちゃんアクセス制限してんのかー」と思っていたところ、@tss_ontapさんから「繰り返し聞いてみましょう」とのアドバイスをいただきました。

言われた通り何度もdigった結果、、、

@tss_ontap うお、返ってきた！え！？

— こんごー@頑張らないために頑張る (@kongou_ae)

2014, 6月 15

アクセス制限しているにも関わらず、何回かに1回、応答を返すという謎動作。「このDNS、ロードバランサか？」ということで、どんな構成なのか調べてみました。

DTIが提供する以下のキャッシュDNSサーバ（202.216.224.30、202.216.229.30）にServersMans VPSから再帰問い合わせ行う。（このためだけにVPSを借りた。）
問い合わせで利用するFQDNは、絶対にキャッシュされていないドメイン（自ドメインのNXDOMAINになるもの）を使う
自ドメインの権威DNSはIPv4アドレスのみでListenする。
自ドメインの権威DNSのクエリログを確認し、問い合わせで使ったFQDNを問い合わせに来たDNSサーバをチェックする。
問い合わせに来たDNSサーバに、ConohaVPSから再帰問い合わせを行い、オープンリゾルバかどうかチェックする。
面白そうなので、問い合わせに来たDNSサーバに、ServersManからversion.bindを問い合わせる。

202.216.224.30は13台中2台がオープンリゾルバでした。version.bindを信じるのであれば、ソースからコンパイルしたbindはちゃんとしていて、RHELのパッケージを使っているbindはオープンリゾルバのようです。

<th>
  Real server
</th>

<th>
  Open Resolver
</th>

<th>
  Version bind
</th>

<td>
  202.216.224.10
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.224.11
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.12
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.13
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.14
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.15
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.16
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.17
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.18
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.19
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.34
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.224.60
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.224.61
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

202.216.229.30は8台中5台がオープンリゾルバでした。version.bindを信じるのであれば、202.216.224.30と同様、ソースからコンパイルしたbindはちゃんとしていて、RHELのパッケージを使っているbindはオープンリゾルバのようです。

<th>
  Real server
</th>

<th>
  Open Resolver
</th>

<th>
  Version bind
</th>

<td>
  202.216.229.6
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.229.10
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.229.11
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.229.13
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.229.14
</td>

<td>
</td>

<td>
  9.10.0-P1
</td>

<td>
  202.216.229.41
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.229.135
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>

<td>
  202.216.229.146
</td>

<td>
  Yes
</td>

<td>
  9.8.2rc1-RedHat-9.8.2-0.23.rc1.el6_5.1
</td>