フルサービスリゾルバからコンテンツサーバへの問合せに使用されるUDP Source Port

質問

どなたかご回答頂ければ幸いです。

Clientからフルサービスリゾルバに再帰問合せを行い、そのフルサービスリゾルバが、目的のゾーンを管理しているコンテンツサーバへの問合せを行う際に使用されるUDP Source Portは、リユーズされるのでしょうか。

具体的には、
[Client]--->[リゾルバ]--->[DNS Server]
・リゾルバ・・・ac.jpドメインを管理。
・DNS Server・・・test.ac.jpのサブドメインを管理。
という単純な構成で、

【初回問合せ】
１、Clientからwww.test.ac.jpの問合せをリゾルバへ行う。
２、リゾルバの内部にNSレコードでtest.ac.jpドメインはDNS Serverへ振っているので、リゾルバがUDP Portを1025を使用してDNS Serverへ問合せを行いました。

【二回目の問合せ】
１、Clientから、今度はftp.test.ac.jpの問合せをリゾルバへ行う。
２、繰り返しますがリゾルバの内部にNSレコードでtest.ac.jpドメインはDNS Serverへ振っているので、リゾルバがDNS Serverへ問合せを行いますが、このときUDP Portを、先程の初回と同じ1025を使用してDNS Serverへ問合せを行いました。

実際にパケットをキャプチャして、何度も確認しましたが、同一の結果です。これはBINDの仕様なのでしょうか。（BIND9.2.2を使用しています。）

是非、ご回答のほど宜しくお願いいたします。

回答No.1

suzui · ベストアンサー

googleで、bind source udp portで検索したところ、
それらしい結果に、
http://www.oreillynet.com/pub/a/network/excerpt/dnsbindcook_ch07/
http://www.bind9.net/BIND-FAQ
が引っかかりました。

一つ目のほうには、以下の記述があります。
Normally, BIND name servers choose a source port to use for outbound queries when they start, which means you must allow DNS messages from any unprivileged port.

起動時にクエリー用のソースポートが決まるという動作がデフォルトだということですね。
いちいちクエリーごとに別のポートを使ったりはしないようです。

ポートを特定のものに設定することもできるようです。

options {
directory "/var/named";
query-source address * port 1053;
};

この例の場合、ポート1053に固定していますね。

参考URL：

http://www.oreillynet.com/pub/a/network/excerpt/dnsbindcook_ch07/

回答No.2

suzui

先の回答で、クエリー用のポートを固定できるという内容のコメントをしましたが、推奨しているわけではないので念のため補足します。

そもそも、セキュリティの観点からはクエリーに特定のポートを使い続けるような実装は薦められません。

できれば、BIND以外のキャッシュサーバ（dnscacheなど）をお使いになったほうがいいです。

それから、最悪、BINDを使い続けるとしても、キャッシュとネームサーバは分離したほうがいいです。

すでにご存知でしたらすみません。蛇足でした。

参考URL：

http://djbdns.qmail.jp/djbdns/forgery.html,http://djbdns.qmail.jp/djbdns/separation.html

お礼

suzui様

Ｎｏ．１、Ｎｏ．２のご回答誠にありがとうございます。
正直、回答が付かないかも。。。と思っていましたが、
まさに『ビビビビビッ！！！』というくらいビンゴなご回答を頂きました。

本当に助かりました。
ありがとうございます。