10/23 にDNS-OARC39 に参加してIPv6 only recursive resolvers という題で発表してきた。

DNS not 技術

10/23 にDNS-OARC39 に参加してIPv6 only recursive resolvers という題で発表してきた。

Image


参加した人たちの所属としては、APNIC, Internet Systems Consortium (ISC), Cloudflare, NLnet Labs, ICANN などなどでした。
ccTLDやルートサーバを運営している人たちと話すことができたのはとても貴重な体験でした。
DNS-OARCの直後の数日にRIPEが同じ会場(近くのホテル)で開催されるらしく、そちらにも参加する人が多いと聞いた。

 


発表内容は IPv6 only recursive resolvers という題で IPv6-only だとiterative resolution (root server から順番に権威サーバにクエリを投げて名前解決をする) で一部の権威サーバがIPv4-onlyのために失敗することがあると言う話をしました。
発表資料はこちらです。

 

受けた反応

質疑応答で以前draftをv6opsに投げたときにBINDの人から受けたのと同じ質問を本人から受け取りました。
「なぜDNS64は壊れているのにそれを使おうという提案をするのか」
これにたいして自分は
「自分はDNSの人間ではないので正直DNSSECに今まで関心がなかった。そのような背景の人間として意見を言わせてもらう。
確かにDNS64はクエリの返答をある意味改ざんするため(AAAAレコードが存在しないのが正しいのに 変換プレフィックス+IPv4アドレスを) DNSSECでクライアントが返答の正しさを確認することができなくなる。
しかしDNS64にはクライアントに IPv4-only server が実はIPv6アドレスを持っていると勘違いさせIPv6パケットを送らせるので、IPv6推進にとって他のIPv4aaSサービスより優れていると思います」
と返答しました。（と返答したつもりだが、咄嗟に回答したので後半をきちんと言えたのか不安です。

他にも
「RFC3901 BCP91 はとても昔に書かれたRFCなのでupdateするべきなのではないか」
というコメントもいただきました。しかしBest Current Practice としてiterative resolver 側にIPv4疎通性が必要なことは今も変わらないので、権威サーバの方の
      - every DNS zone SHOULD be served by at least one IPv4-reachable
        authoritative name server.
と書かれているのをIPv4 IPv6 どちらも必要と書かれるようにするように提案しても良いかなと思いました。


他にいただいたコメントとして以下のようなものがありました。

「DNSはすでに複雑だからそれにIPv4->IPv6アドレス変換の機能を付け加えるのを嫌う人間がいるかもしれない」

「今はどうか知らないけど、DNSリゾルバを設定したときに、サーバ自身にはIPv6疎通性があるのにDNSサービスのデフォルトではIPv4しか使わずIPv6を使うように明示的に示さないと

「Metaではこんなことしたよー https://engineering.fb.com/2017/01/17/production-engineering/legacy-support-on-ipv6-only-infra/ 」

「他の技術の一例としてRFC5549があってBGPで頑張ってIPv6環境からIPv4へパケットを送れるよ」

などたくさんの情報をいただけました。

 

参加者からの反応がよく、温かい雰囲気の中で発表することができ、初参加の学生としてとても楽しく発表することができました。
それぞれの発表に対してチャットで匿名でのアンケートがあり、光栄なことに自分の発表は回答者全員からグッド！をもらうことができました。
(初参加のDNS全然わからない学生だけど楽しく発表しているのをきっと会場の人が暖かく受け取って印象が良かったのかと思います。)

 

 

そもそもなぜ発表の応募しようかと思ったのか。
DNS OARCの存在をIETFのsystersメーリスで知りました。
自分は今修士一年だが学部の卒論で行った研究をどこにも出さなかったため国内学会でさえ発表経験がなかった。
DNS OARCはDNS屋さんの集まりのワークショップで研究発表ではないが、対外発表を行ってみたいと思い、abstractとスライドの提出だけで応募できることもありスライドと要約を提出したら通った。
DNSエキスパートたちの前でDNS何も知りませんな自分が発表していいのか不安だったが、PCが発表していいと思ったのなら大丈夫だと言うことで、ベオグラードまでの飛行機に乗った。
結果世界中のDNSサーバやIPアドレスを管理している人たちに会えたので思い切って申し込んで良かった。

 

DNS64について、
DNS64を使うとDNSSECでクライアントがチェックをすることができないと言う問題について、DNS64の問題で自分のdraftの内容とは直接関係ないと深く考えてこなかった。
今回のワークショプから、DNSを行う人にとって、またセキュリティを機にする人にとってDNSSECは大事な技術であると今回認識させられた。
しかし、やはりIPv4aaSとしてDNS64/NAT64はデプロイがとても楽で且つ、クライアント自身はIPv6パケットを送るという利点は大きいだろうなと思います。

（他の人がプロフェッショナルな顔写真を載せる中懇親会でその場で撮った写真を使ってもらった。）