要点

  • AFRINIC の domain オブジェクトで mnt-domains は、登録されたドメイン木の直下にオブジェクトを作る権限を持つメンテナーを参照する。
  • その権限だけでは、ネームサーバーの設定、親からの委任、権威応答、正しい PTR レコードの存在は分からない。

データベース層の権限

AFRINIC Database のマニュアルは mnt-domains の範囲を限定している。domain オブジェクトに置かれた場合、登録済みの木の直下で domain オブジェクトを作成することを認可するメンテナーを指す。つまり、どの資格情報が特定のデータベース更新を承認できるかという変更管理の証拠である。

この属性には DNS の応答、ゾーンのシリアル、遅延、応答コード、DNSSEC の検証結果、PTR 値は入らない。サーバーを設定したり起動したりもしない。メンテナー参照からサービス運用を導くと、登録権限と別システムの稼働観測を混同する。

逆引き委任には別の工程がある

AFRINIC の逆引き DNS ガイドでは、資源保有者が先にネームサーバー上で逆引きゾーンを設定し、その後に domain オブジェクトを作成する。AFRINIC は委任の反映前に設定を検証し、lame delegation を調べる手段も示す。申告された権威サーバーは nserver 値として記録される。

domain オブジェクト、mnt-domains、親ゾーンの委任、DNS の直接問い合わせは、それぞれ異なる問いに答える。有効なメンテナー参照があっても、古いサーバー情報、lame delegation、到達不能なサーバー、PTR のないゾーンはあり得る。逆に、正常な DNS から全ての技術的・契約的責任を mnt-domains に帰属させることもできない。

再現可能な検証

対象 domain オブジェクト、取得時刻、検索インターフェースを保存し、キー、nserver、mnt-by、mnt-domains、親を別々に記録する。次に親の委任と各サーバーを直接照会し、名前、型、アドレス、応答コード、権威フラグ、時刻を残す。

逆引きでは代表的な PTR 名を確認するが、一つのアドレスに PTR がないだけでゾーン全体の障害とは断定しない。lame の検査により、委任の公開と実際の権威サービスを区別する。RDAP の domain 応答は構造化された登録情報であり、リアルタイム DNS 測定の代用ではない。

情報源