OCI DNSでの非表示のプライマリの使用 (2024/03/29)

https://blogs.oracle.com/cloud-infrastructure/post/using-a-hidden-primary-with-oci-dns

投稿者：Jarrod Meschino

Oracle Cloud Infrastructure(OCI)でセカンダリ・ドメイン・ネーム・サーバー(DNS)を非表示のプライマリ構成とともに使用すると、DNS内のゾーンの管理とセキュリティに有益な利点があります。通常、非表示のプライマリ構成は、(プライマリとして構成される)ゾーンの管理がオンプレミス環境で実行される構成で、企業は一般的にDNS、DHCPおよびIPアドレス管理(IPAM)またはDDI、アプライアンスを介して外部DNSを管理します。OCI DNS上のゾーンはセカンダリとして構成され、DNS NOTIFYおよびゾーン転送を介してオンプレミス・プライマリから更新を受信します。隠れた部分はネームサーバの代表団チェーンと遊びます。

セカンダリ構成としてのOCI DNS

非表示のプライマリでは、セカンダリとして構成されたゾーンのネームサーバー(この例ではOCI)のみが委任に含まれます。そうすることで、インターネットの観点からは、OCIネームサーバーのみが表示されます。ゾーンを管理するオンプレミス・プライマリのDNSサーバーの概念は存在しません。DNSをこのように構成する主な利点は、オンプレミスおよびDDIでどのように使用しているかについて、DNSを管理する能力と快適性を維持できることです。

ただし、ゾーンに対するすべてのDNS問合せは、解決されるOCIのDNSエッジに送信され、オンプレミスDNSサーバーには送信されません。OCIのDNSエッジは、ほぼ40ポイントのプレゼンスで構成されるグローバル・エニーキャストであり、パフォーマンスと可用性を維持し、大量のトラフィックをエレガントに処理できます。OCIは、DDOS攻撃など、DNSを対象とした悪意のある攻撃に対応しています。OCIのエッジは、攻撃トラフィックがオンプレミス環境(通常はユニキャストの場所)にぶつかり、攻撃の影響が非常に深刻になるという点で、これらの攻撃への対応、特定、軽減を十分に備えています。

複数のDNSプロバイダがある非表示のプライマリ

認可DNSで冗長性を維持しようとしているユーザーの場合、非表示のプライマリ構成は、非表示のプライマリDNSからセカンダリとして構成された2つのDNSプロバイダを完全に実行可能です。委任に1組のネームサーバーを追加するかわりに、プライマリ・オンプレミスDNSを非表示にしながら、セカンダリとして構成される両方のDNSプロバイダを追加します。一般に、セカンダリDNSは、DNS NOTIFY、IXFR/AXFRゾーン転送、SOA値などのDNSメカニズムによってプライマリと同期され、いつセカンダリDNSが更新をチェックするかをガイドします。

OCIを使用して非表示のプライマリを作成するためのキー・ポイント

OCIで非表示のプライマリを作成する場合は、次の要因に注意してください:

• プライマリDNSネームサーバーは、レジストラで委任されてはいけません。OCIネームサーバーのみが定義されていることを確認してください。
• プライマリDNSにゾーンを作成します。ゾーンを作成するか、既存のゾーンを使用するかにかかわらず、プライマリ・ネームサーバーが非表示になるように、OCIネームサーバーがゾーンのapexに定義されている唯一のネームサーバーであることを確認してください。
• OCI DNSはTSIGキーをサポートしているため、プライマリDNSとセカンダリDNS間の通信を保護できます。

まとめ

全体的に、非表示のプライマリ構成の実行は、OCIのグローバル・エニーキャストDNSエッジでセカンダリDNSを利用する優れた方法です。そうすることで、低レイテンシのレスポンス、高可用性、OCIによるDDOS攻撃の処理など、それに伴うすべてのメリットを享受しながら、オンプレミスまたはDDI環境を通じてゾーンの制御と管理を維持できます。

OCIのセカンダリDNSの詳細は、セカンダリDNSのドキュメントを参照してください。OCIおよびDNSオファリングについてさらに学習するには、ドメイン・ネーム・システム(DNS)を参照してください。Oracle Cloud InfrastructureでのDNSの実装を開始するには、パブリックDNSのドキュメントを参照してください。