DNSレコードの詳細なTTL設定ガイド

DNSは基本的な技術製品です。 DNSを検索する際に特定の通信を確立することにより（some.domain.orgなどの名前をIPに変換するため）、ほぼすべてのトップレベルネットワークおよびインターネット検索の処理、インターネットトラフィックと電子メールの転送、および他の多くの操作が可能です。他のドメインのアドレスまたは名前）。



ほとんどのシステム管理者は毎日DNS構成を操作する必要がなく、このパラメーターに関する情報の大部分は、世代から世代へシステム管理者によって送信される半分忘れられた話であるため、データのTime To Live（TTL）について記述することにしました。



Twitterで適切な質問をすることで、一部のシステム管理者はTTLの省略形を解読することさえできないことがわかりました（幸いなことに、そのようなものは少数です）。



謎を推測します！ TTLという略語は、DNSに関してはどういう意味ですか？



18:43 10月26日 2016年

4％ターミナル転送制限

85％の寿命

8％テレメトリートランスポートライン

3％信頼できる技術のリスト

26票•最終結果

リツイート1いいね1



明確にするために、次のトピックを検討します。



1. DNSシステムとTTLパラメーターに関する一般情報

2. DNSレコードのTTLのトラブルシューティング

3. DNSレコードの変更を管理するためのガイドライン

4. DNSツール

5.さらなるアクション



1. DNSに関する一般情報



DNSレコードとは何ですか？



ドメインネームサーバー（DNS）レコードには、2つの重要なパラメーターが含まれています。

特定の記録に対する要求の対処（コンプライアンスの確立）;

キャッシング時に記録するのにかかる時間-これは正確に「ライフタイム」（TTL）という不吉な名前を付けた値です。



DNSレコードがキャッシュされるのはなぜですか？



多くの組織はDNSレコードを一度設定すると、その後何年もそれらを変更しません。 DNSレコードは頻繁に要求されますが、めったに更新されないため、DNSレコードをキャッシュすると、ネットワークのパフォーマンスが大幅に向上し、DNS問題の評価と解決の複雑さが増します。



TTLとは



Time to Live（TTL）は、DNSマッピングチェーンの各リンクごとのレコードキャッシュの長さです。 この値は秒単位で測定されます（この重要性については以下で説明します）。



残念ながら、一般に受け入れられている「寿命」という用語は、網羅的とは言えません。 おそらく、より論理的な名前は、「検索時間」または「キャッシュ内のDNSレコードの保存期間」という名前でしょう。



DNSレコードのデフォルトTTLは何ですか？



TTL値は常に秒単位で表されます。 ほとんどのDNS構成サービスは、レコードの値の定義済みリストを提供します。

300秒= 5分=「非常に短い」

3600秒= 1時間=「短い」

86,400秒= 24時間=長い

604,800秒= 7日=「絶対最大値」



DNSルックアップはどのように実行されますか？



ブラウザにURLを入力すると、一連の検索全体が作成されます。

このプロセスの各段階（多くの場合、リストされているよりも多くの段階があります）では、次の質問がされます。



1.目的のエントリがキャッシュされていますか？

2.はいの場合、TTL値は本当にですか？



これらの質問のいずれかに対する答えが「いいえ」の場合、リクエストはチェーン内の次のリンクに移動します。



DNSがデバイスではなくネットワーク接続に基づいているのはなぜですか？



DNSの問題を解決するのは簡単な作業ではありません。TTLとキャッシングシステムの使用に伴う多くの困難だけでなく、多くの最新のデバイスがさまざまなネットワークとDNSサーバーのチェーンを介して接続されているためです。



従来のラップトップの例の状況を考えてみましょう。 私は通常、自宅でラップトップで作業します。 私は数週間どこにも持っていなかったという事実にもかかわらず、この間に次の接続がデバイスで確立されました：



•メインのホームWi-Fi /ケーブルネットワークへ。

•ケーブルネットワークが利用できない場合の携帯電話。

•上記の両方のオプション、ただしVPN経由の接続。



ネットワークが変更されるたびに、新しいDNSチェーンがアクティブになります。 これが変更時に発生した場合、DNSチェーン内のサーバーとキャッシュノードが誤ったデータを提供する可能性があります。



これは、Active Directoryドメイン名が会社のウェブサイトのアドレスと一致する企業ネットワークでよく発生します。 外部DNSサーバー（ISPレベル）は、アドレスwww.example.comをWebサーバーの正しいIPアドレス/ CNAMEに導くDNSレコードを保存しますが、Active Directoryが使用する内部DNSサーバーにはレコードは複製されません。



パニックはすぐに始まります：「Webサーバーが動作していません！」、「これで世界の終わりです！」、「ズボンはどこにありますか？」 しかし、問題の修正を開始すると、その原因がVPNを介したオープン接続であることがわかります。



2. DNSレコードのTTLを使用したトラブルシューティング



DNSレコードを更新するのにどれくらい時間がかかりますか？



すべてのクライアントのリンクのDNSレコード値を更新するために必要な最大（最悪の場合）時間間隔を計算するには、チェーンリンク（権限のあるサーバーを除く）の数にTTL値を掛けます。



たとえば、TTL値が3600秒（1時間）で、DNSチェーンが5つのリンクで構成されている場合、変更の完全な配布には18,000秒（5時間）しかかかりません。

しかし、すべてがとても簡単だった場合。



DNSを見つけるコストはいくらですか？



DNSルックアップの「コスト」に関しては、通常は時間ではなく時間を意味します。 グローバルネットワーク内のインターネットグレムリンの数に応じて、DNSクエリを完了するには通常100〜200ミリ秒かかります。



これは非常に短い時間ですが、Webページを想像してください。 DNSシステムの名前とIPアドレスの対応は、ページ上のリンクからアクセスできるすべての画像、CSSファイル、およびJavaScriptアセットファイルに対して構成する必要があります。 キャッシュなしでは、ロード時間が著しく増加します。



簡略化されたDNSルックアップコスト体系



ウェブサイト上のすべてのアセットが異なるドメインにある可能性は低いため、このスキームを単純化したと呼びます。 さらに、ブラウザーには、図に示されているよりも高速にコンテンツをロードできるさまざまなキャッシュツールが統合されています。



キャッシングあり



（30個の画像ファイルx各ファイルのダウンロードに50ミリ秒）+（1回のDNSルックアップに続いてキャッシュを実行するのに100ミリ秒）= 1600ミリ秒



キャッシングなし



（30個の画像ファイルx各ファイルのダウンロードあたり50ミリ秒）+（各DNSルックアップで30 x 100ミリ秒）= 3000ミリ秒



DNSレコードが更新されないのはなぜですか？



変更の伝播時間を増やす他の要因があります。 それらのいくつかを以下に示します。



•Webブラウザは、TTLに関係なくDNSレコードを個別にキャッシュし、しばらく保存します。これにより、おそらく速度が向上します。 たとえば、最新バージョンのInternet Explorerは、デフォルトでDNSレコードを30分間キャッシュし（IE 4より前は、この時間は24時間でした）、それより低いTTL値を無視します。

•モバイルインターネットプロバイダーは、TTL時間を長くすることで送信されるトラフィックの総量を減らし、要求の頻度を減らすことを試みる場合があります。

•予想よりも多くのDNSサーバーを備えた高度な内部ネットワークは、明らかな理由により更新に時間がかかります。



そのため、多くのサービスでは、「DNSレコードの変更の完全な配布には数日かかる可能性があるため、それに応じてアクションを計画してください」という文に出くわすことがあります。



クライアントがDNSレコードをリモートで強制的に更新する方法はありますか？



この質問は通常、次のコンテキストで尋ねられます。「DNSレコードを更新した後、クライアントは一部のサイトにアクセスできません。 強制的に更新する方法は？ "

残念ながら、この質問に対する唯一の答えは「ノーウェイ」です。 DNSシステムには、低レベルクライアントのデータの早期更新を強制するコマンドはありません。



コマンドを使用してローカルキャッシュからDNSレコードを削除できますが、通常、アップストリーム（インターネットプロバイダー側​​でDNSレコードをキャッシュする）チャネルとダウンストリーム（ブラウザーでDNSレコードをキャッシュする）チャネルが存在するため、希望どおりに機能しません。



エントリのTTL値を事前に変更することをお勧めします。



3. DNSレコードの変更を管理するための推奨事項



どちらのTTL値が良いか：小さいか大きいか？



開発者は長い間、コードをインデントする方法に関して、タブまたはスペースを使用するという聖戦を繰り広げてきました。 ネットワーク管理者は、TTLの長さに関してはほぼ同じ感情を持っていることがわかりました。

通常、このビューは、以前のネットワーク攻撃を撃退し、ネットワーク構成の問題を解決した経験によって強化されています。



ルートDNSサーバーまたは同様のISPサーバーを12時間シャットダウンできるDDOS攻撃は、TTLが非常に高いサイトにはあまり影響しません。 このような場合、DNSサーバーをシャットダウンまたは過負荷にする場合でも、クライアントは機能します。

ただし、インターネットまたはメールサイトを切り替えるときに誤って間違えた場合は、修正する機会がない12時間が最後に必要です。 そのため、一部の管理者は、ライフタイムが1分を超えてはならないと考えています。



個人的には、DNSレコードに低いTTL値（1時間/ 3600秒未満）を指定しようとしています。



クライアントが更新されたDNSレコードを要求する時期を知るにはどうすればよいですか？



すべてのクライアントがいつデータを更新するかを判断することは非常に困難です。

有効期限は有効期限ではなく*です。 DNSレコードのTTL値を、古くなったパンなどに示された推奨使用日と比較しないでください。これは、レコードが無効になり、交換が必要になる特定の時間ではありません。



DNSレコードは、人員配置テーブルである可能性が高く、変更はネットワーク全体にゆっくりと伝播します。 「以下」のスケジュールにあるクライアントがキャッシュを期限切れにすると、より高いレベルのDNSサーバーにレコードを要求します。

DNSレコードを変更する最良の方法は何ですか？



ドメイン内の単一レコードの変更を含む比較的単純なタスクを実行するための「計画」または「戦略」の作成は、やりすぎのように思えるかもしれませんが、データの可用性に対するDNS障害の大きな影響を考えると、注意が必要です。 古いことわざにあるように、「予防は治療よりも簡単です。」

エラーを最小限に抑える簡単な方法があります。DNSレコードとこのレコードのTTL値を同時に更新しないでください。 理想的には、次のプロセスを実装する必要があります。



1.切り替えの数日前に、DNSレコードのTTLを300秒などの低い値に設定します。

2.記録の切り替え日を設定します。

3.切り替えの数日後、より高いTTL値を設定します。

新しいDNSレコードを追加する最良の方法は何ですか？

既存のエントリを変更するよりも、新しいエントリを追加する方が簡単です。

1. TTL値が低いレコードを追加します。

2.すべてが機能していることを確認し、TTL値を増やします。



最も一般的なTTL値は何ですか？



*正しい* TTL値に関する意見は非常に多様であるため、統計に基づいて決定しようとしました。 Mozによると、最も重要な500のWebサイトのリストは、私たちにとってはインターネットのすばらしい部分のように思えました。 さらに、サイトのリストが最終リストに含まれている既製のCSVファイルがこのリソースで利用できました。



リストを反復処理し、各ドメインのマスターレコードの現在のTTL値を見つける小さなスクリプトを作成しました。 他のデータ分析プロジェクトと同様に、このデータは提起された質問によって大きく異なります。 この例は包括的なものではなく、現在の（キャッシュされた）結果などを示しています。これらすべての予約にもかかわらず、得られた結果にはまだ価値があります。



500の最も重要なMozインターネットドメインのTTL値の分析



このスクリプトを表示または変更するか、ダウンロードして自分で分析を行うことができます： gist.github.com/mbuckbee/79b2e76bd9271bea38487defd8a9138b

リストを表示し、 moz.com / top500でCSV形式でダウンロードします



最小TTL：1

最大TTL：129,540

コンプライアンスドメイン：485

TTLの算術平均：6468

TTL中央値：300



最小値は、負荷を分散するためにDNSレコードを頻繁に変更するドメインから取得されました。 最大値は、長期間更新されていないドメインに対応していました（はい、python.org、それはあなたのことです）。



低い（1時間、3600秒以内）TTL値を設定する決定を正当化する必要がある場合は、中央値300秒（5分）を指定し、選択の正確さの経験的証拠があると自信を持って述べることができます。



4. DNSプラットフォームツール



WindowsでDNSレコードのTTL値を確認する方法は？



WindowsでDNSレコードを確認する最も簡単な方法は、nslookupユーティリティ（ technet.microsoft.com/en-us/library/bb490950.aspx）を使用することです。

例：C：\> nslookup -type = cname -debug www.varonis.com





TTL値は、出力の下部に表示されます。 Non-authoritative answerというフレーズは、クライアントから受信したTTL値を示します（ローカルクライアントがDNSチェーンの次のレベルをチェックする2分11秒前）。



Unix / Linux / MacでDNSレコードのTTL値を確認する方法は？



Unixシステム（およびその派生物）では、digコマンドを使用してDNSの問題をトラブルシューティングします。

例： www.varonis.comを掘る





TTL値は赤で囲まれています。



インターネット経由でDNSレコードを確認する方法は？



コンピューターが手元になくてもDNSレコードを確認する必要がある場合があります。 digコマンドの便利な（無料の）バージョンは、Googleツールのアドレスtoolbox.googleapps.com/apps/digから入手できます。





TTL値は赤で囲まれています。



DNSレコードのTTLの分布を確認する方法は？



特定のDNSサーバーでDNSレコード設定が更新されているかどうかを確認する必要がある場合は、ローカルのデフォルト設定ではなく、DNSツール（dig、nslookupなど）で、クエリが実行されるDNSサーバーを選択できます。



変更の全体像を把握するには、リソースwhatsmydns.netをお勧めします。これにより、多くの最上位DNSサーバー（インターネットプロバイダーのレベル）をチェックし、起こりうる問題を特定できます。







DNSレコードのTTLを設定するためのさらなるアクション



DNSレコードのTTLの構成は困難な作業になる可能性がありますが、小さな値（1時間未満）を選択した場合、ネットワークを動作可能な状態に保ち、変更に対する準備を改善できます。



この記事を楽しんだ場合は、Webセキュリティの基本コースもご覧になることをお勧めします。 これにより、DNSレコードを構成したサイトまたはアプリケーションをより適切に保護できます。 このコースは無料で非常に有益です。