厳格な閉域網でベンダードメインだけを解決する DNS 条件付きフォワーダー設計

閉域網では承認済みベンダー名前空間のみ条件付きフォワーダーで解決し、外向き DNS、変更記録、冗長性を制御します。

1. 結論と対象範囲

条件付きフォワーダーは閉域網を一般インターネットへ接続する機能ではなく、指定名前空間の問い合わせだけを承認済み経路へ送る仕組みです。名前空間、上位 DNS、TCP／UDP 53、二台 DNS の一致、キャッシュ、CDN 変更を合わせて設計します。

DNS、ネットワーク、VPN、ファイアウォール、限定アクセスに関係します。問い合わせ経路、ポート、戻り、ログを段階確認します。

2. 優先して確認するリスク兆候

• 更新、ライセンス、API の名前解決だけが必要で、通常の外部アクセスは引き続き禁止する。
• グローバルフォワーダーでは未知の全問い合わせが外部へ送られ、分離方針に合わない。

3. 変更前の確認項目

1. 現在の IP だけでなく、必要な親ドメイン、子ドメイン、CNAME 連鎖、CDN 利用をベンダーへ確認します。
2. 上位 DNS、アクセス制御、ログ保持、TCP／UDP 53 の双方向許可を確認します。
3. 二台の内部 DNS で条件付きフォワーダー、タイムアウト、再帰、キャッシュ設定を比較します。
4. 内部ゾーン、スタブゾーン、hosts が必要名前空間を横取りしないか確認します。

Get-DnsServerConditionalForwarderZone
Resolve-DnsName vendor.example -Server 192.0.2.53
Get-DnsServerCache
Clear-DnsServerCache -Force

4. 推奨実施手順

1. 必要最小限の名前空間を設定し、管理可能な親ドメイン境界を選びます。
2. 承認済み DNS サーバーだけが上位リゾルバーへ接続できるようにし、端末の直接外向き DNS を禁止します。
3. 二台へ同じ設定を反映し、キャッシュ消去後に A、AAAA、CNAME、否定応答を試験します。
4. CDN IP の固定一覧ではなく、ベンダードメインの変更台帳と定期確認を運用します。

5. 検証、切戻し、よくある誤り

• 承認名は安定して解決し、無関係な外部名は方針どおり失敗します。
• 主 DNS 停止時も副 DNS で解決できます。
• DNS とファイアウォールログに正しい経路が残り、端末の迂回がありません。

よくある誤り

• 転送先を空にする、または到達不能 DNS を指定する。
• UDP 53 だけを許可し、大きな応答やフォールバック用 TCP 53 を忘れる。
• 現在の CDN IP を恒久許可一覧にする。

よくある質問

条件付きフォワーダーでインターネット利用が可能になりますか。

いいえ。DNS 経路だけを決め、実通信はルーティングとファイアウォールが制御します。

CDN IP を常に追跡しますか。

通常は不要です。DNS の動的応答を利用し、適切な層で業務通信を制御します。