要約

  • RFC 10001は、一つのゾーンをIPv4で到達可能な権威DNSサーバー二つ以上、IPv6で到達可能なサーバー二つ以上で提供するよう求める。デュアルスタックの一台は各ファミリーで一回ずつ数えられる。
  • NS、A、AAAA、glueは意図した委任を記録する。運用上の証明には、反対側のアドレスファミリーに頼らない完全な委任経路、実際のDNS応答、TCPフォールバック、両ファミリーで同等の権威データが必要だ。
  • 2026年8月のBest Current PracticeはTobias FiebigとMomoka Yamamotoの共同著作であり、IETFの合意文書である。個人の発明、特定組織の導入、ある事業者の適合を示すものではない。

二台の権威サーバーを用意した。どちらにもAとAAAAがある。監視画面には四つのアドレスが並ぶ。ここまでなら「二重化されたデュアルスタック」と説明したくなる。

しかし、二台が同じロードバランサー、同じ上流、同じソフトウェア更新、同じオペレーターに依存していたらどうなるか。正常時には四つの緑が並び、一度の共通障害で四つとも消える。

RFC 10001の数え方は、この問題を隠すためではなく分けるためにある。要件が直接示すのは、サーバーとアドレスファミリーの組み合わせである。物理台数、地理、ルーティングポリシー、変更権限の独立性は別に評価しなければならない。

この文書は2026年8月にBCP 91として公開され、RFC 3901を置き換えた。著者はMomoka YamamotoとTobias Fiebigである。IPv4-only、IPv6-only、デュアルスタックが併存する環境で、名前空間がアドレスファミリーによって分断されないための運用条件を示す。

到達可能という語にも狭い定義がある。IPv4到達可能なネームサーバーは、IPv4でDNS問い合わせを受け取り、応答する。IPv6も同じだ。アドレスが掲載されていることや、返すデータが正しいことまでは含まない。

したがって、四つの証明は四つの結論を一枚にまとめたものではない。どのサーバーが、どのファミリーで、どの問い合わせに、どの時刻と観測点から応答したかを分けて保存する。

名前を掲載しても経路は完成しない

権威DNSへの道は、対象サーバーのアドレスから始まらない。リゾルバーはルートから委任をたどり、親のNSを読み、必要なglueを受け取り、サーバー名を解決する。in-domainのNSでは循環を断つglueが必要になり、out-of-domainのNSではその名前を持つ別ゾーンの経路が加わる。

RFC 9471は委任応答におけるglueの要件を整理している。RFC 10001はさらに、IPv4側の委任がIPv6に依存してはならず、IPv6側もIPv4に依存してはならないとする。親、兄弟名、glueまで含めて一方のファミリーだけで完結する必要がある。

デュアルスタックの試験端末は、この条件を確認するには便利すぎる。IPv6の途中で失敗しても、再帰リゾルバーがIPv4で答えを得れば、アプリケーションは正常に見える。ユーザーを救うフォールバックが、壊れた側の証拠を消してしまう。

2023年の論文 How Ready is DNS for an IPv6-Only World? は、AAAAの有無ではなく完全な委任経路を調べた。Fiebigを含む七人の共同研究である。IPv6用glueの欠落、out-of-domain NSのゾーン、親側の不備など、最終アドレスだけでは分からない故障を扱った。

数値は当時のデータに限定される。研究では2022年8月の観測ゾーンの44.9%がIPv6で解決できず、十のDNSオペレーターが未解決ゾーンの24.8%に関係していた。2017年1月には一事業者のIPv6 glue追加が4560万超のゾーンの結果を変えたと報告する。

これは2026年の世界比率ではない。受動データ、能動計測、対象集合、観測点という方法上の制約を保持しなければならない。それでも、少数の共有依存が多数のゾーンを左右するという構造は、障害分離を考える材料になる。

UDPの小さな成功を過大評価しない

サーバーに届いた後も確認は続く。小さなUDP応答が返っても、DNSSECなどの大きな応答は有効Path MTU、断片化、中間装置の破棄に影響される。正常性が問い合わせの種類に依存する場合、単純なヘルスチェックは最も簡単なケースしか見ない。

RFC 8900はIP断片化の脆弱さを整理する。RFC 9715はDNS over UDPで断片化を避ける指針を示す。RFC 10001はこれらを受け、断片化UDPに依存せずDNS over TCPをフォールバックとして提供するよう求める。RFC 9210がその運用要件を詳述する。

TCPポートが開いているだけでは証明にならない。DNS問い合わせを送り、完全な応答を得て、同じアドレスファミリーと対象経路を使ったことを記録する。UDPでTCが立った後にTCPで完了するケースや、大きな応答が時間内に届くかも分けて見る。

次は内容である。RFC 10001はIPv4とIPv6で同等のDNSデータを提供するよう要求する。段階的なデプロイで片方だけ新しいゾーンを読み込むと、両方とも応答しながらSOA、DNSKEY、委任、重要RRsetが食い違うことがある。

同等性はバイト列の完全一致とは限らない。順序、署名、anycastの到達先、正当な応答ポリシーで差が出る。受入基準は、何を同じとみなすかを事前に定義し、許容差と停止条件を分けるべきだ。

四行に共通依存を追記する

最小の運用表は、サーバーA/IPv4、サーバーB/IPv4、サーバーA/IPv6、サーバーB/IPv6の四行で構成できる。大きな構成では行を増やす。全体を一つの「DNS正常」に縮めない。

各行にはNS名、試験アドレス、A/AAAAとglueの出所、単一ファミリーでの委任結果、観測点、UDP、TCP、権威データ比較、時刻、変更番号、責任者を記録する。さらに、複数行を同時に落とす共有部品を付記する。

たとえば二台が同じanycastプレフィックスを共有すること自体は欠陥ではない。ただし一つの経路操作が双方を消す可能性は、二台という数からは見えない。同様に、別会社名の二サービスが同じ上流や運用基盤を使う場合もある。

観測点にも境界がある。事業者内のプローブ成功は内部経路を証明する。外部プローブは別の経路を示すが、全世界を代表しない。重要な利用者、地域、AS、障害ドメインを意識して複数を選び、各結論の範囲を明示する。

責任の行も必要だ。ゾーン所有者は子側データ、親またはレジストリは委任とglue、権威DNS事業者はリスナーとゾーン投入、ネットワークは経路とフィルター、監視担当は測定条件を持つ。欠けた一行で公開を止める権限は、さらに別の責任者が持つ。

Fiebigの経歴から読める範囲

TU Wienの公式プロフィールによれば、Tobias Fiebigは2026年3月1日付でComputer Networksの教授に就任し、Internet Infrastructures研究グループを率いる。対象にはインターネット計測、セキュリティ、プロトコル、DNS、SMTP、BGP、運用協調が含まれる。

計測と組織境界を同時に扱う背景は、RFC 10001の構成を理解する助けになる。ただし、個人がプロダクションDNSを管理している、単独で考案した、大学やMax Planck Instituteが導入した、という証拠ではない。RFCはMomoka Yamamotoとの共同著作であり、IETFの合意文書である。

Heng LuのRunning-Code Primacyと重なるのは、設定の存在を実行結果に格上げしない姿勢だ。NSやAAAAは調整に必要だが、実際の問い合わせと応答を置き換えない。

Minimum Initial Specificationは、共通ルールを狭く保つ理由を示す。RFCはファミリー別到達性、委任の独立、データ同等性、TCPを定める。ベンダー、トポロジー、anycast、監視製品までは固定せず、地域の実装判断を残す。

変更と障害で同じ証明を使う

新しい権威サービスを公開する前に四行を埋める。親と子の変更が予定のキャッシュ期間を経たことを確認し、IPv4-onlyとIPv6-onlyの環境で委任を最後までたどる。UDP、TCP、大きな応答、権威データの同等性を検証する。

旧サービスの撤去は、新しい証明が一定時間継続した後に行う。途中状態を持つリゾルバーがいる間に旧経路を消すと、ロールバックが難しくなる。新旧を比較できる期間は、単なる待ち時間ではなく回復手段である。

障害時には最初の破断点を探す。NS、A/AAAA、glue、out-of-domain依存、親、経路、UDP、TCP、ゾーン版、タイムアウトのどこで止まったか。原因ごとに担当と修復方法が違う。

再帰リゾルバーについて、RFC 10001は原則デュアルスタックを推奨する。単一ファミリーでも変換やデュアルスタックへの転送を使えるが、IPv4-onlyとIPv6-onlyの二台が解けない問い合わせを互いに送り返してはいけない。両側で解けない名前が無限ループになるからだ。

フォールバックも一つの運用系であり、方向、容量、監視、所有者が要る。成功を作ると同時に、最初の失敗を記録しなければならない。

四つの証明は永続的でも普遍的でもない。時間と観測点に縛られ、共通障害を持つ。それでも、単なる「デュアルスタック」より正直だ。何が動いたか、誰が確認したか、何がまだ未知かを一枚に残せるからである。

出典