1. 誤用 zone-apex
| /Wrong /at.jp /bilibili.co.jp /g.jp /irasutoya,com /meitrack.jp /リゾルバー |
Contents
/irasutoya,com に代表される問題。 jp.sharpの問題も一緒に議論する。
1.1. 害の例
https://x.com/me7532724875971/status/1760321910863233384
HTTPS レコードはブラウザー側が対応するまで待つしかない。
1.2. DNS provider
value-domain で非常に多い。(ほとんど?)
dns.ne.jp 少し、HTTPS X
xserver.jp 16件
https://twitter.com/jschauma/status/1672067074519097352?s=20
- I found about 9.2 million domains (3.8% of all) with a CNAME record at the apex.
1.3. リゾルバ-の対応
｢リゾルバーが名前解決をしてしまう｣というのが現状での問題だと言える。
権威サーバー側では設定エラーにするものも多いのに、一部の業者が許容するために、
- リゾルバー側はほぼ問題点から目をそらしているようだ。
watchNS/cname に収集してある。
1.4. 制限規定
Why can't a CNAME record be used at the apex (aka root) of a domain?
http://support.simpledns.com/kb/a94/why-cant-i-create-a-cname-record-for-the-zone-name-itself.aspx
ゾーン名は別名として定義してはいけないのだが、使割れている。
- いろいろおかしなことが起きる。（設定者の期待とは異なるだろう）リゾルバーの処理もさまざまだ。
だが、使えると便利でもある。どう対応するのがいいだろう。
取下げられた案： https://tools.ietf.org/id/draft-sury-dnsext-cname-at-apex-00.html
https type レコードになるらしい。-- ToshinoriMaeno 2022-01-25 00:46:21
1.5. ISC BIND
CNAME at the apex of a zone
- It is often asked, “Why can’t I have a CNAME at the zone apex?”
https://www.isc.org/blogs/cname-at-the-apex-of-a-zone/
ISC BIND 9 will therefore not allow you to add a CNAME at the zone apex because this will create a broken zone and cause DNS resolution failures.
1.5.1. 設定できない業者
さくらなどは禁止しているらしい。aliasレコードが使えるサービスもあるとか。awsdns, cf
1.6. ゾーンサーバからの返事
CNAMEを問い合わせるとCNAMEが返る。
- 設定の間違いを確認する以外には使わない。
Aを問い合わせるとCNAMEが返るので、受け入れるならば、不都合は発生しないのだろう。-- ToshinoriMaeno 2022-10-30 08:00:18
NSを問い合わせるとCNAMEが返ることも: VDなど
- NS queryが送られることはあまりないので、気にしないのか。(qname minimisation)
1.6.1. NSレコード query
NSレコードを問い合わせたときの権威サーバの返答には、以下のような返事がある。
- NSだけを返す (NSD?)
- NS+CNAMEを返す (tinhydnsなど value-domain, my-domain）
- CNAMEだけを返す (NSはない）最近のvalue-domain, xserver
- soa があるものと、ないものと Served by POWERDNS 3.0.1
1.6.2. Aレコード query
Aレコードを問い合わせたら、どうだったかは調べ直す。
- CNAMEを返す (Aはない）
- CNAME+Aを返す (dejima.ne.jpなど）
Aだけ返すところは（当然ながら）ない。
- ほとんどがAuthority SectionにNSをつけてくるから、笑ってしまう。
-- ToshinoriMaeno 2015-12-05 01:18:12
これまではNSを問い合わせる機会は多くはなかったが、qname minimisationが決まると増えるだろう。
Why it's a bad idea to put a CNAME record on your root domain (joshstrange.com) https://news.ycombinator.com/item?id=7293512 /ycombinator
1.7. リゾルバー動作
/リゾルバー が重視しているのは委譲のNSであって、ゾーンサーバー側(権威サーバー側)のNSではないことがわかった。
- AUTHORITY SECTIONにNSレコードがあれば、取り込まれることもある。
zoneにNSがなくても気にかけないようだ。-- ToshinoriMaeno 2022-10-30 14:17:42
- CNAMEの影響で見えない可能性もある。