スプリットホライズン DNS

コンピュータ ネットワークにおいて、スプリット ホライズン DNS (スプリット ビュー DNS、スプリット ブレイン DNS、またはスプリット DNSとも呼ばれる) は、通常 DNS 要求の送信元アドレスによって選択される、異なる DNS 情報セットを提供するためのドメイン ネーム システム(DNS) 実装の機能です。

この機能は、ネットワーク内部アクセス（管理ドメイン、たとえば会社内）と安全でないパブリックネットワーク（たとえばインターネット）からのアクセスについて DNS 情報を論理的または物理的に分離することにより、セキュリティとプライバシー管理のメカニズムを提供できます。

スプリット ホライズン DNS の実装は、ハードウェア ベースの分離またはソフトウェアによって実現できます。ハードウェア ベースの実装では、関係するネットワーク内で必要なアクセス粒度に合わせて、個別の DNS サーバー デバイスを実行します。ソフトウェア ソリューションでは、同じハードウェア上で複数の DNS サーバー プロセスを使用するか、DNS ゾーンレコードへのアクセスを識別する機能が組み込まれた特別なサーバー ソフトウェアを使用します。後者は、DNS プロトコルの多くのサーバー ソフトウェア実装の共通機能であり ( DNS サーバー ソフトウェアの比較を参照)、スプリット ホライズン DNSという用語の暗黙の意味である場合もあります。これは、他のすべての形式の実装は任意の DNS サーバー ソフトウェアで実現できるためです。

スプリットホライズン DNS は、ネットワーク内部アクセス (管理ドメイン、たとえば会社内) と安全でないパブリックネットワーク (インターネットなど) からのアクセスの DNS 情報を論理的または物理的に分離することにより、セキュリティとプライバシー管理のメカニズムを提供できます。

スプリット ホライズン DNS の一般的な使用例の 1 つは、サーバーがローカル エリア ネットワーク上のプライベート IP アドレス (インターネットのほとんどからはアクセスできない) とパブリック アドレス (つまり、インターネット全体でアクセス可能なアドレス) の両方を持っている場合です。スプリット ホライズン DNS を使用すると、クエリを送信するクライアントに応じて、同じ名前がプライベート IP アドレスまたはパブリック IP アドレスのいずれかにつながる可能性があります。これにより、重要なローカル クライアント マシンは、ルーターを通過することなく、ローカル ネットワークを介して直接サーバーにアクセスできるようになります。通過するネットワーク デバイスが少ないほど、ネットワークの待ち時間が改善されます。

たとえば、DNS サーバーは、企業ネットワークの内部と外部の要求先に対して、ホストhost1.example.netの 2 つの異なるレコード セットを返すように構成できます。内部応答は次のようになります。

@ IN SOA ns.example.net admin.example.net. ( 
                                 2010010101 ; シリアル                                         1D ; 更新                                         1H ; 再試行                                         1W ; 有効期限                                         3H ) ; 最小@ IN NS ns ns IN A 203.0.113.2 host1 IN A 10.0.0.10      
      
      
      
    

外部からの反応は次のようになります。

@ IN SOA ns.example.net admin.example.net. ( 
                                 2010010101 ; シリアル                                         1D ; 更新                                         1H ; 再試行                                         1W ; 有効期限                                         3H ) ; 最小@ IN NS ns ns IN A 203.0.113.2 host1 IN A 203.0.113.10      
      
      
      
    

スプリットホライズン DNS は、同一のクエリに対して異なる権威ある回答を提供するように設計されており、DNSSEC はドメインネームシステムから返されるデータの信頼性を確保するために使用されます。これらの一見矛盾する目標は、適切に構築されていないネットワークで混乱や誤ったセキュリティ警告を引き起こす可能性があります。研究では、これら 2 つの DNS 機能を適切に組み合わせるための推奨事項が作成されています。^[1]

スプリット ホライズン DNS の実装は、ハードウェア ベースの分離またはソフトウェア ソリューションによって実現できます。ハードウェア ベースの実装では、関係するネットワーク内で必要なアクセス粒度に合わせて、個別の DNS サーバー デバイスを実行します。ソフトウェア ソリューションでは、同じハードウェア上で複数の DNS サーバー プロセスを使用するか、DNS ゾーンレコードへのアクセスを識別する機能が組み込まれた特別なサーバー ソフトウェアを使用します。後者は、DNS プロトコルの多くのサーバー ソフトウェア実装の共通機能であり ( DNS サーバー ソフトウェアの比較を参照)、スプリット ホライズン DNSという用語の暗黙の意味である場合もあります。これは、他のすべての形式の実装は任意の DNS サーバー ソフトウェアで実現できるためです。

• DNSサーバーソフトウェアの比較
• スプリットホライズンルート広告

• 「スプリット ホライズン」DNS サービスを提供しています - サイトは動作していません。
• BIND 9 外部および内部 DNS 情報を分割するためのビューの構成
• OS X Server システムで「スプリット ホライズン」DNS サービスを提供する (OS X Server バージョン 10.6.2 以降)
• Bind 9 の DNS ビューの詳細な手順