要約

  • George Michaelsonは、家庭内DNSのバックアップが構想だけで未実装だったと記した。「主系」を再起動して初めて、それが唯一のインスタンスだと分かった。
  • DHCPやIPv6ルーター広告は複数のリゾルバーアドレスを配れるが、端末が代替先を保持し、障害時に選び、同じローカルポリシーを受けることまでは証明しない。
  • 小さな切替記録でも、稼働中の端点、障害領域、配布設定、端末上の観測、応答とポリシー、復元を別々に残せる。

George Michaelsonは9月9日、Pi-holeとAdGuardを使った家庭内DNSについてAPNIC Blogに寄稿した。これはAPNICの本番サービスに関する障害告知ではない。ページも、見解は著者個人のものだと明記している。重要なのは、ありふれた言葉を実際の状態に引き戻した点だ。Michaelsonにはバックアップの「計画」があった。しかし実装していなかった。主系だと思っていたDNSを再起動すると家庭内の機器が動かなくなり、主系ではなく唯一の系だったことが判明した。

記事には停止時間、構成図、端末一覧、パケット記録、セキュリティ被害は示されていない。それらを推測する必要はない。得られる事実だけで、計画と稼働状態の違いは十分に見える。図面に第2のリゾルバーがあっても、プロセスが動いているとは限らない。ルーターに2個のDNSアドレスがあっても、全端末が受け取ったとは限らない。端末が2個を保持しても、障害時に2番目を試すとは限らない。代替先が通常の名前を解決できても、主系のブロックやローカル転送を再現しない場合もある。

再起動より前に欠けていたもの

停止が表面化したのは再起動時だが、バックアップの欠如はその前から存在した。保守作業は、現在の状態についての理解を前提に決められる。試験済みの代替先があると思えば、1端点の停止は限定的な変更に見える。代替先が頭の中にしかなければ、同じ操作は利用中の家庭を使った依存関係試験になる。

Michaelsonは、DNSの再起動で他の機能も止まり、ルーター設定の変更で無線ネットワーク全体が落ちることがあり、DNS設定の変更がDHCPにも影響したと述べる。そして、関係する機器を把握しているか、ネットワークは代替サービスを採用するか、失敗したら元に戻せるか、と問う。

この問いは台数では解けない。同一ホスト上の2プロセスはホスト障害を共有する。同じ電源につながる2台は停電を共有する。同じルーターが配る2アドレスはルーター停止と設定ミスを共有する。同じ誤設定を複製した2台は運用上の原因を共有する。「独立」と言うなら、何が壊れたときに片方が残るのかを示す必要がある。

配布されたリストと端末の動作は別の証拠

RFCはその境界を明確にする。RFC 2132のDHCPv4オプション6は、優先順を持つDNSサーバー一覧を配布できる。RFC 3646はDHCPv6で1個以上のIPv6再帰DNSサーバーアドレスを渡す。RFC 8106はIPv6ルーター広告にRDNSSアドレスを含め、有効期間を付ける。期間がゼロなら、そのアドレスは使用を終了しなければならない。

ここで証明されるのは配布側の意思である。DHCPやルーター広告を記録すれば、その時点で何を渡そうとしたかは分かる。しかしテレビ、電話、パソコン、センサーが何を保存し、どれを選んだかは分からない。RFC 6419は、複数インターフェースを持つデスクトップOSのDNS一覧処理に共通性が少ないと報告した。インターフェース別かシステム全体か、最初と最後のどちらの一覧を採るか、応答がない場合の後退方法などが異なる。これはMichaelson宅の現行機器調査ではないが、ルーター画面だけで全端末を代表できない理由にはなる。

RFC 9520も、スタブリゾルバーが複数の再帰リゾルバーアドレスを持ち、別サーバーや別トランスポートへ再試行し得ることを認める。ただし、特定端末が決まった時間内にそう動く保証ではない。同RFCで解決失敗となるのは、利用可能なサーバーのどれからも対象問い合わせに有用なデータを得られない場合だ。つまり、2アドレスの広告と、障害中に利用者が有用な応答を得ることの間には、実際に観測すべき動作が残る。

名前が引けても、意図したルールとは限らない

この家庭内DNSは単なる中継ではなかった。記事は、既知の名前の一部をルート外のIPアドレスへ向けていたと説明する。従って、代替先の試験ではポリシーの整合性も対象になる。主系が広告ドメインを遮断したりローカル応答を返したりする一方、代替系が公開DNSの答えを返せば、接続は回復しても自己運用の目的は失われる。

資料は実際のポリシー逸脱もセキュリティ事故も示していない。ここで言えるのは、可用性と期待するローカル動作を別々に確認すべきだということだけだ。答えが返るがルールが違う状態は、部分的成功として記録すればよい。

家庭向けの短い受領記録

最も強い反論は規模である。記事自身、多くの家庭は時折の停止を許容でき、企業級冗長性が必須ではないと認める。2台の維持、設定同期、障害領域の分離、機器別試験は、短い停止より負担が大きいこともある。

必要なのは大規模なSLAではない。リゾルバーA/Bの稼働場所と共有依存、DHCPv4・DHCPv6・RDNSSで配るアドレスと有効期間、性質の異なる数台の端末が保持する一覧を記録する。主系を短時間だけ外し、普通の名前とローカルルール対象の名前を問い合わせる。観測できるなら応答端点と復旧時間を残し、最後に元の設定へ戻す。

これは全端末、全問い合わせ、全障害を保証しない。限定した事例を閉じ、未試験部分を明示する。代替サービスが実行されて計画はバックアップになり、端末が障害時に使えてバックアップはレジリエンスになり、元へ戻せて初めて保守可能になる。

出典