要約

  • LACNIC によれば、nserver は逆引き DNS 委任に応答すべきサーバー、nsstat は委任状態、nslastaa は正しい設定が最後に観測された日を表す。
  • したがって nslastaa は過去の監視証拠である。現在の DNS 動作は新しい時刻付き照会で、BGP 到達性は別の証拠系で確認する必要がある。

分析

日付が示すのは過去である

定義で最も重要なのは「最後」という部分だ。LACNIC の逆引き DNS FAQ は、この値を有効期限付きの健全性証明とはしていない。監視がサーバーの正しい設定を最後に観測した日としている。つまり保存されるのは、その日の監視条件の下で少なくとも一度は成功した、という出来事である。

それは、その後も途切れず正常だったという主張とは異なる。フィールドが示すのは日付の付いた成功であり、その後のすべての時点ではない。後日の結果が違っても、保存された日付が誤りになるわけではない。だから時点付き観測を連続保証へ読み替えてはならない。

隣接するフィールドは証拠の範囲を整理する。nserver は委任に応答するはずのサーバー、nsstat は委任状態、nslastaa は最後の成功観測時刻を示す。三つを合わせても、得られるのは LACNIC が運用する逆引き DNS の委任・監視面であり、事業者やネットワーク全体への評価ではない。

履歴と現在の試験は別の問いに答える

過去の事案を調べるなら、WHOIS 応答全文、取得時刻、対象ブロック、nserver、nsstat、nslastaa を保存するべきだ。それにより、ある時点で LACNIC のディレクトリと監視面が何を表示していたかを確認できる。最後の正常観測から長期間が経過していたことも分かるかもしれない。

いま動作するかを知りたいなら、新しい観測が要る。LACNIC は委任先サーバーへ該当逆引きゾーンの SOA を照会し、成功の NOERROR と NXDOMAIN、SERVFAIL を区別する方法を示している。大切なのはコマンドそのものより、照会名、サーバー、通信方式、観測地点、時刻、応答コード、権威データを一緒に記録することだ。

一度成功しても結論には限界がある。一つの観測地点が一つの時刻に応答を得たことは示せるが、世界中からの到達、連続稼働、全経路で同じ回答までは示せない。時間と地点を変えた反復測定は運用判断を強くするが、それでも対象は DNS の動作である。

失敗状態は診断の入口であって原因そのものではない

LACNIC は lame delegation の表示について、IP ブロックに登録されたサーバー情報が不正確な場合と、監視システムがサーバーへ到達できない場合を挙げる。前者は登録・設定、後者は監視地点からの到達性に関わり得る。状態値だけで原因を一つに決めることはできない。

失敗を直ちに運用者の過失とみなせば、一時的な損失、フィルタリング、保守、監視経路の障害、古い登録情報を見落とす。逆に最近の成功日だけで問題なしとすれば、必要な調査を止めてしまう。どちらの場合も、仮説を分け、現在の証拠で検証する必要がある。

逆引き DNS、正引き DNS、BGP は代替関係にない

ここで扱うフィールドはアドレスブロックの逆引きに関するものだ。企業のウェブ、メール、API が使う正引きゾーンを保証せず、アドレスブロックが BGP で広告されているか、どの ASN が起点か、どこで受容されているか、通信が特定サービスへ届くかも示さない。

これらには別々の観測が必要だ。新しい DNS 照会は、指定した地点と時刻に特定サーバーから得た応答を記録できる。経路について述べるには、別の時刻を合わせた BGP 観測が要る。今回の資料にはその観測がないため、nslastaa から補って推論することはできない。

実務上の読み方

nslastaa は保証ではなく、鮮度の下限として読むべきだ。LACNIC がそのフィールドに表現された監視条件で、掲載サーバーの正しい設定を最後に見た時期を示す。日付が古いほど再試験の必要性は高い。新しい日付なら不確実性は下がるが、観測から現在までの空白は消えない。

監査ではレジストリ観測と追試を両方保存する。両者が食い違うなら古い証拠を上書きせず、時間、観測地点、委任データ、権威サービスの挙動、ネットワーク到達性のどこで差が生じたかを調べる。この扱いなら、小さなフィールドの価値を保ちつつ、観測していない事実まで証明させずに済む。

出典