コンテンツにスキップ

Unbound

リンクを追加
出典: フリー教科書『ウィキブックス（Wikibooks）』

はじめに[編集]

Unboundの概要と歴史[編集]

Unboundは、軽量で高速、かつ高度な機能を備えたオープンソースのDNSキャッシュリゾルバーです。2008年にNLnet Labsによって開発され、BINDに代わるDNSサーバーとして注目を集めています。

Unboundの主な特徴は以下の通りです。

  • 高速なパフォーマンス: Unboundは、C言語で記述されており、効率的なキャッシュ管理と非同期処理により、高速なパフォーマンスを実現しています。
  • 軽量なフットプリント: Unboundは、BINDよりも軽量で、メモリ使用量が少ないため、リソース制約のある環境でも利用できます。
  • 高度な機能: Unboundは、DNSSEC、ACL、リクエスト転送など、高度な機能をサポートしています。
  • セキュリティ: Unboundは、DNSSECによるDNSセキュリティを強化し、DNSキャッシュポイズニングなどの攻撃に対する保護機能を提供しています。

Unboundの主要な機能[編集]

Unboundの主要な機能は以下の通りです。

  • DNSキャッシュ: DNSクエリをキャッシュすることで、ネットワークパフォーマンスを向上させます。
  • DNSSEC: DNSSECによるDNSセキュリティを強化します。
  • ACL: アクセス制御リスト(ACL)を使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。
  • リクエスト転送: 処理できないクエリを他のDNSサーバーに転送することができます。
  • 統計情報: Unboundは、パフォーマンスとセキュリティに関する統計情報を提供します。

FreeBSDにおけるUnboundの重要性[編集]

FreeBSDは、UnboundをデフォルトのDNSキャッシュリゾルバーとして採用しており、高い安定性とセキュリティを提供しています。また、FreeBSD Ports Collectionには、Unboundの最新バージョンが常にパッケージ化されており、簡単にインストールすることができます。

Unboundのインストールと設定[編集]

FreeBSDでのUnboundのインストール方法[編集]

Unboundは、FreeBSD Ports Collectionから簡単にインストールすることができます。以下のコマンドを実行して、Unboundをインストールします。 

pkg install dns/unbound

インストールが完了したら、Unboundのサービスを起動する前に有効化する必要があります。 

sysrc 'unbound_enable="YES"'

次に、以下のコマンドを実行して、Unboundのサービスを起動します。 

service unbound start

Unboundの設定ファイルの構成[編集]

Unboundの設定ファイルは、/usr/local/etc/unbound/unbound.confにあります。このファイルには、Unboundの動作に関する様々な設定項目が記述されています。

Unboundの設定ファイルは、以下のセクションで構成されています。

  • server: Unboundサーバーの基本的な設定
  • verbosity: ログ出力レベルの設定
  • access-control: アクセス制御の設定
  • privacy: プライバシー保護の設定
  • module: モジュールの設定
  • unbound-control: unbound-controlコマンドの設定

基本的な設定項目とオプション[編集]

Unboundの設定ファイルには、以下の基本的な設定項目とオプションが含まれています。

  • listen: Unboundが待ち受けるポート番号
  • local-address: Unboundが使用するローカルアドレス
  • root-hints: ルートヒントファイルの場所
  • forwarders: フォワーダとなるDNSサーバーのリスト
  • domain-min-negatives: ネガティブキャッシュの有効期限
  • cache-size: キャッシュサイズ
  • num-threads: スレッド数

ログ設定とトラブルシューティング[編集]

Unboundのログは、/var/log/unbound.logに出力されます。ログレベルは、verbosity設定項目で設定することができます。

Unboundで問題が発生した場合は、ログファイルを参考に、問題の原因を特定することができます。

セキュリティ設定とアクセス制御[編集]

Unboundは、DNSSECによるDNSセキュリティを強化し、DNSキャッシュポイズニングなどの攻撃に対する保護機能を提供しています。

Unboundには、ACLを使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。

Unboundの動作原理[編集]

DNSキャッシュの仕組みと利点[編集]

DNSキャッシュは、DNSクエリを一時的に保存することで、ネットワークパフォーマンスを向上させる仕組みです。DNSサーバーは、最初にドメイン名のIPアドレスを解決すると、その情報をキャッシュに保存します。その後、同じドメイン名のIPアドレスが要求された場合、DNSサーバーはキャッシュから情報を取り出すため、ネットワーク上の他のDNSサーバーに問い合わせる必要がなくなります。

DNSキャッシュを使用することで、以下の利点が得られます。

  • ネットワークパフォーマンスの向上: DNSサーバーへの問い合わせ回数が減るため、ネットワークパフォーマンスが向上します。
  • レイテンシーの低減: DNSサーバーへの問い合わせ回数が減るため、レイテンシーが低減されます。
  • 帯域幅の節約: DNSサーバーへの問い合わせ回数が減るため、帯域幅が節約されます。

Unboundのキャッシュ管理アルゴリズム[編集]

Unboundは、以下のキャッシュ管理アルゴリズムを使用しています。

  • LRU (Least Recently Used): 最近使用されていないキャッシュエントリを最初に削除するアルゴリズムです。
  • LFU (Least Frequently Used): 使用頻度の低いキャッシュエントリを最初に削除するアルゴリズムです。
  • TTL (Time to Live): キャッシュエントリの有効期限に基づいて削除するアルゴリズムです。

Unboundは、これらのアルゴリズムを組み合わせて使用することで、効率的なキャッシュ管理を実現しています。

各種DNSレコードの種類と役割[編集]

DNSレコードには、以下の種類があります。

  • Aレコード: ドメイン名のホスト名とIPアドレスを結びつけるレコードです。
  • AAAAレコード: IPv6アドレスを指定するレコードです。
  • CNAMEレコード: 別のドメイン名へのエイリアスを設定するレコードです。
  • MXレコード: メールサーバーを指定するレコードです。
  • NSレコード: ドメイン名のネームサーバーを指定するレコードです。
  • SOAレコード: ドメイン名の権威情報を指定するレコードです。
  • SRVレコード: サービスの場所を指定するレコードです。
  • TXTレコード: 追加情報を含めるレコードです。

DNSレコードは、ドメイン名の名前解決やメール配信などの様々な用途に使用されます。

ゾーンファイルの構成と書き方[編集]

ゾーンファイルは、ドメイン名に関するDNSレコードを定義するファイルです。ゾーンファイルは、以下のフォーマットで記述されます。 

$ORIGIN <ドメイン名>
 
<レコード名> <タイプ> <クラス> <TTL> <データ>
  • $ORIGIN: ドメイン名
  • <レコード名>: レコード名
  • <タイプ>: レコードの種類
  • <クラス>: レコードのクラス
  • <TTL>: キャッシュエントリの有効期限
  • <データ>: レコードのデータ

ゾーンファイルは、ドメイン名の管理者によって作成および更新されます。

Unboundの拡張機能[編集]

ACLによるアクセス制御と許可・拒否設定[編集]

Unboundは、ACLを使用して、特定のホストやネットワークからのクエリを許可または拒否することができます。

ACLは、以下のフォーマットで記述されます。 

acl <ACL名> { allow | deny } from <IPアドレス/ネットワーク> [geoip <国名>] [owner <ユーザー名>] [query <ドメイン名>] [tcp | udp]
  • acl <ACL名>: ACL名
  • { allow | deny }: アクセス許可または拒否
  • from <IPアドレス/ネットワーク>: アクセス元のIPアドレスまたはネットワーク
  • [geoip <国名>]: 指定された国のIPアドレスからのアクセスを許可または拒否
  • [owner <ユーザー名>]: 指定されたユーザーからのアクセスを許可または拒否
  • [query <ドメイン名>]: 指定されたドメイン名へのクエリを許可または拒否
  • [tcp | udp]: TCPまたはUDPプロトコルでのアクセスを許可または拒否

DNSSECによるDNSセキュリティと認証[編集]

DNSSECは、DNSレコードをデジタル署名することで、DNSセキュリティを強化する技術です。DNSSECを使用することで、以下のことができます。

  • DNSレコードの改ざんを検出する
  • DNSサーバーのなりすましを防ぐ

Unboundは、DNSSECをサポートしており、DNSSEC対応のDNSサーバーと連携することができます。

リクエストの転送と外部DNSサーバーとの連携[編集]

Unboundは、処理できないクエリを他のDNSサーバーに転送することができます。

転送設定は、以下のフォーマットで記述されます。 

forwarders {
   <IPアドレス> [port <ポート番号>] [tcp | udp] [tls] [nocopy] [timeout <秒数>] [bogus] [noprime]
 }
  • <IPアドレス>: 転送先のDNSサーバーのIPアドレス
  • [port <ポート番号>]: 転送先のDNSサーバーのポート番号
  • [tcp | udp]: TCPまたはUDPプロトコルでの転送
  • [tls]: TLS暗号化を使用して転送
  • [nocopy]: 転送元のキャッシュエントリを転送先にコピーしない
  • [timeout <秒数>]: 転送タイムアウト時間
  • [bogus] : 転送先のDNSサーバーが応答しない場合でも、キャッシュエントリを有効にする
  • [noprime] : 転送先のDNSサーバーにプライマリネームサーバーであることを通知しない

DNSクライアントとしての利用とUnboundの汎用性[編集]

Unboundは、DNSキャッシュリゾルバーとしてだけでなく、DNSクライアントとしても利用することができます。

DNSクライアントとしてUnboundを使用するには、以下の設定項目を設定する必要があります。 

 unbound {
   private-address <IPアドレス>
   privateKey <ファイルパス>
   privateKey-format <フォーマット>
 }
  • private-address: Unboundが使用するプライベートアドレス
  • privateKey: Unboundが使用する秘密鍵ファイル
  • privateKey-format: 秘密鍵ファイルのフォーマット

Unboundの運用とトラブルシューティング[編集]

Unboundの起動と停止方法[編集]

Unboundの起動と停止は、以下のコマンドで実行することができます。 

service unbound start
service unbound stop

Unboundの監視とステータス確認[編集]

Unboundの監視とステータス確認は、以下のコマンドで実行することができます。 

service unbound status
unbound-control check

トラブルシューティングの手順と問題解決方法[編集]

Unboundで問題が発生した場合は、以下の手順で問題解決を試みてください。

  1. ログファイルを参考に、問題の原因を特定する
  2. Unboundの設定ファイルを確認し、誤設定がないかを確認する
  3. Unboundを再起動する
  4. 問題が解決しない場合は、Unboundの公式ドキュメントまたはフォーラムを参照する

ログの分析と問題の発見[編集]

Unboundのログは、/var/log/unbound.logに出力されます。ログファイルには、Unboundの動作に関する情報 and エラーメッセージが含まれています。

ログファイルを分析することで、Unboundで発生している問題を発見することができます。

おわりに[編集]

Unboundは、FreeBSDで利用できる高性能で軽量なDNSキャッシュリゾルバーです。Unboundは、DNSSEC、ACL、リクエスト転送などの高度な機能をサポートしており、DNSセキュリティとパフォーマンスを向上させることができます。

外部リンク[編集]

Wikipedia
Wikipedia
 ウィキペディアにUnboundの記事があります。
"https://ja.wikibooks.org/w/index.php?title=Unbound&oldid=252040" より作成