Wikibooks

Unbound

はじめに

編集

Unboundの概要と歴史

編集

Unboundは、軽量で高速、かつ高度な機能を備えたオープンソースのDNSキャッシュリゾルバーです。2008年にNLnet Labsによって開発され、BINDに代わるDNSサーバーとして注目を集めています。

Unboundの主な特徴は以下の通りです。

  • 高速なパフォーマンス: Unboundは、C言語で記述されており、効率的なキャッシュ管理と非同期処理により、高速なパフォーマンスを実現しています。
  • 軽量なフットプリント: Unboundは、BINDよりも軽量で、メモリ使用量が少ないため、リソース制約のある環境でも利用できます。
  • 高度な機能: Unboundは、DNSSEC、ACL、リクエスト転送など、高度な機能をサポートしています。
  • セキュリティ: Unboundは、DNSSECによるDNSセキュリティを強化し、DNSキャッシュポイズニングなどの攻撃に対する保護機能を提供しています。

Unboundの主要な機能

編集

Unboundの主要な機能は以下の通りです。

  • DNSキャッシュ: DNSクエリをキャッシュすることで、ネットワークパフォーマンスを向上させます。
  • DNSSEC: DNSSECによるDNSセキュリティを強化します。
  • ACL: アクセス制御リスト(ACL)を使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。
  • リクエスト転送: 処理できないクエリを他のDNSサーバーに転送することができます。
  • 統計情報: Unboundは、パフォーマンスとセキュリティに関する統計情報を提供します。

FreeBSDにおけるUnboundの重要性

編集

FreeBSDは、UnboundをデフォルトのDNSキャッシュリゾルバーとして採用しており、高い安定性とセキュリティを提供しています。また、FreeBSD Ports Collectionには、Unboundの最新バージョンが常にパッケージ化されており、簡単にインストールすることができます。

Unboundのインストールと設定

編集

FreeBSDでのUnboundのインストール方法

編集

Unboundは、FreeBSD Ports Collectionから簡単にインストールすることができます。以下のコマンドを実行して、Unboundをインストールします。 

pkg install dns/unbound

インストールが完了したら、Unboundのサービスを起動する前に有効化する必要があります。 

sysrc 'unbound_enable="YES"'

次に、以下のコマンドを実行して、Unboundのサービスを起動します。 

service unbound start

Unboundの設定ファイルの構成

編集

Unboundの設定ファイルは、/usr/local/etc/unbound/unbound.confにあります。このファイルには、Unboundの動作に関する様々な設定項目が記述されています。

Unboundの設定ファイルは、以下のセクションで構成されています。

  • server: Unboundサーバーの基本的な設定
  • verbosity: ログ出力レベルの設定
  • access-control: アクセス制御の設定
  • privacy: プライバシー保護の設定
  • module: モジュールの設定
  • unbound-control: unbound-controlコマンドの設定

基本的な設定項目とオプション

編集

Unboundの設定ファイルには、以下の基本的な設定項目とオプションが含まれています。

  • listen: Unboundが待ち受けるポート番号
  • local-address: Unboundが使用するローカルアドレス
  • root-hints: ルートヒントファイルの場所
  • forwarders: フォワーダとなるDNSサーバーのリスト
  • domain-min-negatives: ネガティブキャッシュの有効期限
  • cache-size: キャッシュサイズ
  • num-threads: スレッド数

ログ設定とトラブルシューティング

編集

Unboundのログは、/var/log/unbound.logに出力されます。ログレベルは、verbosity設定項目で設定することができます。

Unboundで問題が発生した場合は、ログファイルを参考に、問題の原因を特定することができます。

セキュリティ設定とアクセス制御

編集

Unboundは、DNSSECによるDNSセキュリティを強化し、DNSキャッシュポイズニングなどの攻撃に対する保護機能を提供しています。

Unboundには、ACLを使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。

Unboundの動作原理

編集

DNSキャッシュの仕組みと利点

編集

DNSキャッシュは、DNSクエリを一時的に保存することで、ネットワークパフォーマンスを向上させる仕組みです。DNSサーバーは、最初にドメイン名のIPアドレスを解決すると、その情報をキャッシュに保存します。その後、同じドメイン名のIPアドレスが要求された場合、DNSサーバーはキャッシュから情報を取り出すため、ネットワーク上の他のDNSサーバーに問い合わせる必要がなくなります。

DNSキャッシュを使用することで、以下の利点が得られます。

  • ネットワークパフォーマンスの向上: DNSサーバーへの問い合わせ回数が減るため、ネットワークパフォーマンスが向上します。
  • レイテンシーの低減: DNSサーバーへの問い合わせ回数が減るため、レイテンシーが低減されます。
  • 帯域幅の節約: DNSサーバーへの問い合わせ回数が減るため、帯域幅が節約されます。

Unboundのキャッシュ管理アルゴリズム

編集

Unboundは、以下のキャッシュ管理アルゴリズムを使用しています。

  • LRU (Least Recently Used): 最近使用されていないキャッシュエントリを最初に削除するアルゴリズムです。
  • LFU (Least Frequently Used): 使用頻度の低いキャッシュエントリを最初に削除するアルゴリズムです。
  • TTL (Time to Live): キャッシュエントリの有効期限に基づいて削除するアルゴリズムです。

Unboundは、これらのアルゴリズムを組み合わせて使用することで、効率的なキャッシュ管理を実現しています。

各種DNSレコードの種類と役割

編集

DNSレコードには、以下の種類があります。

  • Aレコード: ドメイン名のホスト名とIPアドレスを結びつけるレコードです。
  • AAAAレコード: IPv6アドレスを指定するレコードです。
  • CNAMEレコード: 別のドメイン名へのエイリアスを設定するレコードです。
  • MXレコード: メールサーバーを指定するレコードです。
  • NSレコード: ドメイン名のネームサーバーを指定するレコードです。
  • SOAレコード: ドメイン名の権威情報を指定するレコードです。
  • SRVレコード: サービスの場所を指定するレコードです。
  • TXTレコード: 追加情報を含めるレコードです。

DNSレコードは、ドメイン名の名前解決やメール配信などの様々な用途に使用されます。

ゾーンファイルの構成と書き方

編集

ゾーンファイルは、ドメイン名に関するDNSレコードを定義するファイルです。ゾーンファイルは、以下のフォーマットで記述されます。 

$ORIGIN <ドメイン名>
 
<レコード名> <タイプ> <クラス> <TTL> <データ>
  • $ORIGIN: ドメイン名
  • <レコード名>: レコード名
  • <タイプ>: レコードの種類
  • <クラス>: レコードのクラス
  • <TTL>: キャッシュエントリの有効期限
  • <データ>: レコードのデータ

ゾーンファイルは、ドメイン名の管理者によって作成および更新されます。

Unboundの拡張機能

編集

ACLによるアクセス制御と許可・拒否設定

編集

Unboundは、ACLを使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。

ACLは、以下のフォーマットで記述されます。 

acl <ACL名> { allow | deny } from <IPアドレス/ネットワーク> [geoip <国名>] [owner <ユーザー名>] [query <ドメイン名>] [tcp | udp]
  • acl <ACL名>: ACL名
  • { allow | deny }: アクセス許可または拒否
  • from <IPアドレス/ネットワーク>: アクセス元のIPアドレスまたはネットワーク
  • [geoip <国名>]: 指定された国のIPアドレスからのアクセスを許可または拒否
  • [owner <ユーザー名>]: 指定されたユーザーからのアクセスを許可または拒否
  • [query <ドメイン名>]: 指定されたドメイン名へのクエリを許可または拒否
  • [tcp | udp]: TCPまたはUDPプロトコルでのアクセスを許可または拒否

DNSSECによるDNSセキュリティと認証

編集

DNSSECは、DNSレコードをデジタル署名することで、DNSセキュリティを強化する技術です。DNSSECを使用することで、以下のことができます。

  • DNSレコードの改ざんを検出する
  • DNSサーバーのなりすましを防ぐ

Unboundは、DNSSECをサポートしており、DNSSEC対応のDNSサーバーと連携することができます。

リクエストの転送と外部DNSサーバーとの連携

編集

Unboundは、処理できないクエリを他のDNSサーバーに転送することができます。

転送設定は、以下のフォーマットで記述されます。 

forwarders {
   <IPアドレス> [port <ポート番号>] [tcp | udp] [tls] [nocopy] [timeout <秒数>] [bogus] [noprime]
 }
  • <IPアドレス>: 転送先のDNSサーバーのIPアドレス
  • [port <ポート番号>]: 転送先のDNSサーバーのポート番号
  • [tcp | udp]: TCPまたはUDPプロトコルでの転送
  • [tls]: TLS暗号化を使用して転送
  • [nocopy]: 転送元のキャッシュエントリを転送先にコピーしない
  • [timeout <秒数>]: 転送タイムアウト時間
  • [bogus] : 転送先のDNSサーバーが応答しない場合でも、キャッシュエントリを有効にする
  • [noprime] : 転送先のDNSサーバーにプライマリネームサーバーであることを通知しない

DNSクライアントとしての利用とUnboundの汎用性

編集

Unboundは、DNSキャッシュリゾルバーとしてだけでなく、DNSクライアントとしても利用することができます。

DNSクライアントとしてUnboundを使用するには、以下の設定項目を設定する必要があります。 

 unbound {
   private-address <IPアドレス>
   privateKey <ファイルパス>
   privateKey-format <フォーマット>
 }
  • private-address: Unboundが使用するプライベートアドレス
  • privateKey: Unboundが使用する秘密鍵ファイル
  • privateKey-format: 秘密鍵ファイルのフォーマット

Unboundの運用とトラブルシューティング

編集

Unboundの起動と停止方法

編集

Unboundの起動と停止は、以下のコマンドで実行することができます。 

service unbound start
service unbound stop

Unboundの監視とステータス確認

編集

Unboundの監視とステータス確認は、以下のコマンドで実行することができます。 

service unbound status
unbound-control check

トラブルシューティングの手順と問題解決方法

編集

Unboundで問題が発生した場合は、以下の手順で問題解決を試みてください。

  1. ログファイルを参考に、問題の原因を特定する
  2. Unboundの設定ファイルを確認し、誤設定がないかを確認する
  3. Unboundを再起動する
  4. 問題が解決しない場合は、Unboundの公式ドキュメントまたはフォーラムを参照する

ログの分析と問題の発見

編集

Unboundのログは、/var/log/unbound.logに出力されます。ログファイルには、Unboundの動作に関する情報 and エラーメッセージが含まれています。

ログファイルを分析することで、Unboundで発生している問題を発見することができます。

おわりに

編集

Unboundは、FreeBSDで利用できる高性能で軽量なDNSキャッシュリゾルバーです。Unboundは、DNSSEC、ACL、リクエスト転送などの高度な機能をサポートしており、DNSセキュリティとパフォーマンスを向上させることができます。

外部リンク

編集
 
Wikipedia
 ウィキペディアにUnboundの記事があります。
"https://ja.wikibooks.org/w/index.php?title=Unbound&oldid=252040" より作成