要約

  • RIPE-400は、2006年3月の調査で委任中のネームサーバーのおよそ11～13％が検査上不正だったと報告した。ただし、これは設定の割合であり、問い合わせ量で重み付けした利用者影響ではない。
  • 2009年の議論では、タイムアウトと明確な非権威応答を同じ失敗として扱う限界や、通知後の確認手段の不足が指摘された。
  • RIPE NCCの2009年年次報告書は、定期検査を続ける一方、メール警告を停止したと記す。検出、到達、注意、修復、利用者結果を一つの指標にまとめてはならない。

検査と通知を切り離した決定

この経緯を「検査プログラムが終わった」と要約すると、最も重要な事実を失う。RIPE NCCの2009年年次報告書にあるのは、定期的なlame delegation検査を継続し、メール警告の送信を停止したという二つの記述である。測ることをやめたのではなく、測定結果を人に届ける方法を変えた。

出発点はRIPE-400だった。2006年3月の調査では、IANAからRIPE NCCへの委任に含まれるネームサーバーの約11～13％が検査条件を満たさなかった。条件は単なる疎通確認ではない。サーバー名がAまたはAAAAへ解決し、そのアドレスに再帰を無効にしたUDPのSOA問い合わせを送ると、権威フラグ付きの単一SOA応答が返る必要があった。失敗は10日間に5回再試行された。毎月の検査、SOA RNAMEとmaintainer情報による連絡、一台につき一通の通知、統計公開、効果の定期評価までが構想された。

この手順は設定状態を再現可能にした。しかし、各不備の利用量、連絡先の実効性、修復後の利用者結果までは証明しない。

11％の設定と11％の体験は別物

設定調査はレコードを数える。利用者は問い合わせを経験する。同じ一件でも、健全な権威サーバーやキャッシュに隠れてほぼ使われない不備と、大量の問い合わせで毎回待ち時間を生む不備では影響が異なる。

2009年4月の技術的な議論は、RIPE-400の方式がタイムアウトと、権威応答の条件を満たさない別種の返答を区別していないと指摘した。リゾルバーにとって、期限まで待ってから次を試すことと、非権威であることが明確な返答をすぐ受け取ることは同じではない。どちらも委任の不整合を示し得るが、遅延と再試行コストが違う。

したがって11～13％という設定比率から、同じ割合の問い合わせや利用者が影響を受けたとは言えない。トラフィックが健全な経路に偏れば影響は小さくなり、不良経路に偏れば大きくなる。

RIPE 59の「Falling Trees」は、逆引きDNSのマスターで観測した一時間のトラフィックと設定上の不備を照合した。1600万超のパケットから、悪いNSレコードを約0.3％、DNS検索失敗を起こすA/AAAAの状態を約0.8％、影響を受けた観測問い合わせを約1％と推定した。キャッシュをモデル化せず、IPとドメインの組ではなくIP単位で扱った部分があるなど、資料自身が限界を示している。現在値でも普遍値でもない。意義は、設定の頻度と利用の結果を初めて同じ問いに置いた点にある。

通知は途中の操作にすぎない

2009年2月の更新によれば、2008年10月に少数へ送った通知への返信から、プローブと結果解釈の問題が見つかった。RIPE NCCは修正してから2月26日に小規模な送信を再開した。受信者の反応は、修復だけでなく検出器の品質にも戻された。

その先にも切れ目がある。SOA RNAMEやmaintainer欄にアドレスがあっても、委任を制御する担当者へ届くとは限らない。届いた技術情報が他の作業より優先される保証もない。RIPE 59資料は、使われていない不正サーバーは修復されにくく、使われているものは修復されたと観察した。これは影響に応じた優先順位と整合するが、通知メールが原因だったという因果証明ではない。

RIPE 58では、変更後に同じ条件で修復を確認する方法も問われた。関連ツールはあったが、検査には微妙な差があった。警告だけ送り、完全に一致する再検査を示さなければ、運用者は終了条件を確認できない。

さらに最終結果はレコード変更ではなく、実際に使われる経路でタイムアウト、再試行、検索失敗が減ったかである。

こうして議論は比例性へ向かった。RIPE 59議事録は、積極的に無視している相手への継続連絡が嫌がらせに近づく懸念を記録した。2009年10月には、一斉送信を止め、LIRへの年次報告と、最も影響の大きい事例への対象限定連絡へ移る案が出た。委任取り消しまで含む強い「データ浄化」論も提示されたが、確認した資料から採用済み方針とは言えない。

修復の価値を検証する設計

最初に、タイムアウト、明確な非権威応答、アドレス解決失敗、権威の不一致を別々のコホートにする。反復観測で一時的状態と持続的状態を分ける。

次に、法的・技術的に適切な範囲で、限定的かつプライバシーに配慮したトラフィック証拠から露出を推定する。目的は運用者の順位表ではなく、人の注意を要する影響を見分けることだ。

そして、警告生成、配信、確認、担当割当、設定変更、再検査合格を独立したイベントとして記録する。可能なら重大度ごとに連絡時期をずらし、適切な対照群か、異なる文面を受ける類似群を設ける。修復までの時間、再発、問い合わせ加重の失敗率を評価する。比較のない前後差は、別の保守作業やトラフィック変化でも生じる。

低影響は年次報告やセルフサービス画面で扱い、高影響で診断の明確な案件には再現手順と再検査を添えて対象限定で連絡する。結果が変わらなければ、メール数ではなく介入設計を変える。

今回確認したRIPE NCCの現行文書は、逆引きDNS委任を作成・変更するときのネームサーバー検査を説明する。2009年の定期検査やメール方針が現在どうなっているかを示す資料ではない。本稿の結論は歴史的事実に限定される。検査は続き、メールは止まった。

出典