DNSリゾルバーとは何ですか？

DNSリゾルバーとは、ドメイン名をIPアドレスに変換するというクライアントの要求に対して、どのドメインネームシステム（DNS）サーバーが応答するかを決定する仕組みのことです。Versa SASE の導入環境において、DNSリゾルバーは、ドメインとネームサーバーを関連付ける設定オブジェクトであり、登録時にSASE クライアントと共有されます。

主なポイント

• DNSリゾルバーは、ドメイン名を、通信に必要なIPアドレスに変換します。
• Versa （SASE ）では、リゾルバオブジェクトが1つのドメインと1つのネームサーバーを対応付けます。
• スプリットDNSでは、設定されたドメインのルックアップのみをSASE トンネル経由で送信します。
• リゾルバーは、ユーザーごとに設定されるのではなく、ゲートウェイまたは共有ゲートウェイプロファイルに紐付けられます。
• 登録を行うと、リゾルバーの設定が1つのXML設定ファイルとしてクライアントに送信されます。

このページの内容： その重要性 ・ 仕組み ・ 種類 · DNSリゾルバーとVersa · よくある質問

DNSリゾルバーはなぜ重要なのでしょうか？

ブラウザのタブであれVPNクライアントであれ、あらゆる接続は、まず名前をアドレスに変換することから始まります。そのため、デバイスが使用するリゾルバーによって、アクセス可能な対象や応答速度が決まります。リゾルバーの動作が遅かったり、接続できなかったり、あるいは侵害されていたりすると、実際のトラフィックが流れる前に、その背後にあるアプリケーションが機能しなくなってしまいます。DNSの問題は、「ネットワークがダウンしている」というチケットのうち、実際には名前解決の問題であることが判明するケースの最も一般的な原因の一つです。

リモートアクセスアーキテクチャにおいて、リゾルバの選択はセキュリティ面でも重要な要素となります。すべてのDNSクエリを暗号化されたトンネル経由でルーティングすることで、プライベートドメインの検索を保護できますが、すべてのパブリックトラフィックにもこれを適用すると遅延が生じます。明示的なリゾルバオブジェクトをスプリットDNSと組み合わせることで、管理者はドメインごとに、どのクエリを保護された経路で処理するかを決定できるようになります。

DNSリゾルバーとは何ですか？

クライアント側では、軽量なスタブリゾルバーが、各検索を構成済みのDNSサーバーに委ねます。そのサーバーは、キャッシュから応答するか、あるいは完全再帰型リゾルバーの場合は、回答が見つかるまでDNS階層（ルート、トップレベルドメイン、権威サーバーの順）を辿っていきます。クライアントがどのサーバーを、どのドメインに対して使用するかは、「DNSリゾルバー」の設定によって決定されます。

Versa のセキュアアクセスサービスにおいて、DNSリゾルバーは稼働中のサーバーではなく、設定オブジェクトです。これには、名前、ネームサーバー（使用するアドレス）、およびドメイン（サーバーが解決する対象）が設定されています。管理者は、セキュアアクセスポータルでこれらのオブジェクトを作成し、ゲートウェイまたはゲートウェイプロファイルからそれらを参照します。

DNSリゾルバーの種類

DNSの導入では、いくつかのよく知られたリゾルバーの役割が用いられます。再帰型リゾルバー（ISPや主要なパブリックプロバイダーによって運用される）は、クエリを受け付け、クライアントに代わって階層構造全体を辿ります。フォワーディングリゾルバーは、その探索を省略してクエリを別のリゾルバーに引き渡します。これは、DNSの内部ボトルネックを1か所に集約したい企業ネットワーク内で一般的なパターンです。スタブリゾルバーは、OSやアプリケーション内の最小限のクライアント側コンポーネントであり、自身では何も解決せず、設定されたリゾルバーにのみ転送します。スプリットリゾルバーまたは条件付きリゾルバーは、ポリシーに基づいて異なるドメインを異なるリゾルバーにルーティングします。これは、VersaのDNSリゾルバーオブジェクトや、SASE クライアント向けに実装されたスプリットDNSが採用しているパターンです。

DNSリゾルバー &Versa

Versa のセキュアアクセスサービスでは、管理者は「サービス」>「セキュアアクセス」>「ポータル」>「DNSリゾルバー」の下でDNSリゾルバーオブジェクトを設定し、それをゲートウェイまたは共有ゲートウェイプロファイルに関連付けます。これにより、同じDNS要件を持つゲートウェイごとに個別のオブジェクトを用意する必要がなくなります。

リリース 22.1.3 以降でデフォルトで有効になっているスプリット DNS は、これらと連携して機能します。設定されたリゾルバーの対象となるドメインへのリクエストはSASE トンネルを経由し、それ以外のクライアントの DNS トラフィックはローカルで解決されます。ユーザーがVersa SASE クライアントを登録すると、ポータルは割り当てられたルート、ゲートウェイ、およびリゾルバーオブジェクトを 1 つの XML 設定ファイルにまとめ、それをデバイスにプッシュします。これは、同サービスの Secure SD-WANおよびNGFWの各バリエーションで共通して採用されているフローです。

よくある質問

DNSリゾルバーとDNSサーバーの違いは何ですか？

DNSサーバー（またはネームサーバー）は、ドメインのDNSレコードを管理し、それに対する応答を返します。DNSリゾルバーは、クライアント側でクエリを発行する役割を担うもので、クエリを転送するスタブリゾルバー、あるいはDNS階層を辿って最終的な回答を生成する再帰型リゾルバーのいずれかです。

スプリットDNSとは何ですか？

スプリットDNSは、クエリの対象となるドメインに応じて、ルートの検索方法を変更します。Versa （SASE ）では、設定されたリゾルバーの対象となるドメインに対するクエリは、SASE トンネルを経由して割り当てられたリゾルバーに送信されますが、それ以外のクエリはすべて、ユーザーのローカルインターネット接続を介して解決されます。

組織は、なぜパブリックなDNSリゾルバーではなく、独自のDNSリゾルバーを運用するのでしょうか？

プライベートリゾルバーは、パブリックリゾルバーには決して表示されない内部専用ドメインに対するクエリに応答し、組織固有のフィルタリングポリシーを適用し、機密性の高いルックアップを暗号化された経路上で処理することができます。これらは、オープンなインターネット向けに運用されている一般的なパブリック再帰型リゾルバーでは提供されていない機能です。

Versa SASE のクライアントは、どのDNSリゾルバーを使用すべきかをどのように判断するのでしょうか？

登録時、セキュアアクセスポータルからクライアントに、ルート、ゲートウェイの詳細、および割り当てられたゲートウェイやゲートウェイプロファイルに関連付けられたDNSリゾルバーオブジェクトを含むXML設定ファイルが送信されるため、デバイス側で手動設定を行うことなく、設定が自動的に適用されます。

1つのゲートウェイで複数のDNSリゾルバーを使用することは可能ですか？

はい。管理者は、複数のDNSリゾルバオブジェクトを設定できます。各オブジェクトは1つのドメインと1つのネームサーバを関連付け、それらすべてを単一のゲートウェイまたは共有ゲートウェイプロファイルに関連付けることで、複数のゲートウェイが同じリゾルバのセットを再利用できるようにします。

DNSリゾルバーの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DNSリゾルバーについて調べているなら、次はこれらもぜひチェックしてみてください。