DNS 上級① 権威と再帰
Pro会員限定上級約38分6レッスン
dig の答えは「誰が」返したものなのでしょうか。flags の rd・ra・aa を読み分け、+trace でルートから委任をたどり、権威サーバーに直接聞いて設定値そのものを確かめます。2台の権威サーバーの SOA シリアルを比べ、ゾーン転送が止まって答えが食い違っている事実を突き止めて記録します。
対象者: 自社ドメインの DNS を運用する方 / 「人によって違う IP が返る」障害を説明できるようになりたい方
前提知識: ネットワーク中級「dig読解道場」「DNS障害シナリオ演習」修了程度
この教材を終えると、できるようになること
- dig の flags（qr・rd・ra・aa）の意味を説明し、答えが再帰サーバーのキャッシュから来たものか、権威サーバーから来たものかを判断できるようになる。
- dig +trace の出力を段ごとに読み、ルートから権威サーバーまでの委任の流れと、各段で答えたサーバーを説明できるようになる。
- dig @サーバー +norecurse で権威サーバーに直接問い合わせ、aa フラグと設定値どおりの TTL から、キャッシュではない答えであることを確かめられるようになる。
- SOA レコードの各値（シリアル・refresh・retry・expire・minimum）の意味を説明し、権威サーバーどうしのシリアルを比べてゾーン転送の停止を見抜けるようになる。
- 権威サーバーごとに同じ名前を引き比べて答えの食い違いを特定し、利用者への影響と原因を障害記録として残せるようになる。
修了後の姿: プロトコルの中身とネットワーク設計を理解し、複雑な障害の根本原因の特定から再発防止の設計まで任せられるエンジニアへ。
Chapter 1答えの出どころをたどる
再帰サーバーの答えと権威サーバーの答えを区別し、権威どうしの食い違いを見つけます。
- dig の flags を読むqr rd ra はあっても aa が無い。それは「誰かのキャッシュからの答え」約6分（有料会員限定）
- 委任をたどる（+trace）ルート → jp. → example.jp。各段で「誰に聞いて、誰を紹介されたか」約7分（有料会員限定）
- 権威サーバーに直接聞く（@ns1 +norecurse）キャッシュを通さず、ゾーンの持ち主に「今の設定」を聞く約6分（有料会員限定）
- SOA シリアルを比べるns1 は 7/14 版、ns2 は 7/10 版。ゾーン転送が止まっている約7分（有料会員限定）
- 権威どうしの食い違いを記録するns1 は新しい IP、ns2 は古い IP。どちらに当たるかで利用者ごとに答えが変わる約7分（有料会員限定）
Chapter 2確認クイズ
再帰と権威、委任、SOA とゾーン転送の理解度をチェックします。