DNS は午後で単独の大問になることは少ない代わりに、ほぼ毎年どこかの設問に顔を出します。クラウド移行では「TTL を短くしてから切り替える」、負荷分散では「DNS ラウンドロビン」、 セキュリティでは「キャッシュポイズニング」「DNS による通信制御」、認証では「SRV レコード」、IPv6 では「AAAA と権威サーバ」という具合です。 「誰が答えを持ち、誰が探しに行き、答えはどれだけの時間覚えられるか」の 3 点が分かれば、どの設問にも対応できます。
通信は IP アドレス宛てにしかできませんが、人は www.example.jp のような名前でアクセスしたい。この対応表を 1 か所で管理すると世界規模では持ちません。 そこで DNS は名前を「.」で区切った階層にし、各階層の管理を別々の組織に委任します。jp は JPRS が、example.jp はその会社が管理し、自分の範囲（ゾーン）の答えだけに責任を持ちます。
| 役割 | 何をするか | 午後での呼び名 |
|---|---|---|
| スタブリゾルバ | PC の OS に組み込まれた問合せ機能。設定された DNS サーバに「全部調べて答えを返せ」と頼むだけ | DNS クライアント |
| キャッシュ DNS サーバ | PC からの再帰問合せを受け、ルートから順に反復問合せして答えを集め、TTL の間キャッシュする | フルサービスリゾルバ、フルリゾルバ、内部 DNS（社内のもの） |
| 権威 DNS サーバ | 自分のゾーンの答えを持つ。他人のために調べには行かない | コンテンツサーバ、外部 DNS（公開用のもの）、プライマリ／セカンダリ |
| ルート DNS | 「.」の権威。各 TLD の権威サーバを教える | ルートサーバ（世界に 13 系統） |
PC は DHCP などで教えられたキャッシュ DNS サーバに UDP 53 番で「www.example.jp の A レコードは？」と聞きます。これが再帰問合せで、「最終的な答えが出るまで代わりに調べてくれ」という意味です。
キャッシュに無ければ、ルート DNS に聞き「jp は jp の権威に聞け」と NS レコードで紹介され、次に jp の権威に聞き「example.jp はこのサーバだ」と紹介され、最後に example.jp の権威から A レコードを受け取ります。 各サーバは「知っている範囲を答えるだけ」で、これが反復問合せです。紹介のとき、権威サーバの名前だけでなく IP アドレスも一緒に返す（グルーレコード）ので、循環せずに済みます。
受け取った答えにはTTL（秒）が付いています。キャッシュ DNS はその時間だけ答えを覚え、次に同じ問合せが来たら権威に聞かずに答えます。 だから権威 DNS のレコードを書き換えても、世界中のキャッシュが古い答えを TTL が切れるまで返し続けます。これが 5 章の移行手順の根拠です。
通信は UDP 53 番が基本で、応答が 512 バイトを超えるときは EDNS0 で UDP のまま大きくするか、TCP 53 番に切り替えます。ゾーン転送（AXFR）は最初から TCP です。 令和6年 午後Ⅱ問2 設問3(1) は「DNS は UDP で 512 バイト」、令和7年 午後Ⅱ問1 設問3(1) は「EDNS が使えなければ TCP」を問いました。
| レコード | 意味 | 午後での使われ方 |
|---|---|---|
| A / AAAA | 名前 → IPv4 / IPv6 アドレス | 同じ名前に複数の A を置くと DNS ラウンドロビン |
| CNAME | 名前 → 別の名前（別名） | CDN・SaaS・WAF サービスへ振るとき「shop IN CNAME xxx.cdn.example.net.」。先方の IP が変わっても自社の DNS を直さなくてよい（令和元年 午後Ⅰ問2 設問1、平成29年 午後Ⅱ問1） |
| NS | ゾーンの権威サーバ名 | 委任・紹介に使う。「権威 DNS サーバ名」の答え |
| MX | そのドメイン宛てメールの受取サーバ。Preference が小さいほど優先 | メールの問題では必ず出る（令和6年 午後Ⅱ問2、平成28年 午後Ⅰ問1） |
| PTR | IP アドレス → 名前（逆引き）。in-addr.arpa / ip6.arpa | メールサーバの正当性確認（逆引きが引けるか） |
| TXT | 任意の文字列 | SPF・DKIM・DMARC の設定はここ |
| SRV | サービス名 → それを提供するサーバ名とポート | _kerberos._tcp.example.lan で KDC を探す。令和4年 午後Ⅰ問3 |
| SOA | ゾーンの管理情報（シリアル、更新間隔、ネガティブキャッシュ TTL） | セカンダリはシリアルの増加でゾーン転送を判断 |
権威サーバはプライマリ（ゾーンの原本を持つ）とセカンダリ（コピーを持つ）の 2 台以上で構成し、ゾーン転送（AXFR、TCP 53）で同期します。プライマリが更新を知らせるのが NOTIFY です。 ゾーン転送はゾーンの全情報が漏れるので、FW や DNS の設定でセカンダリの IP アドレスだけに許可します（平成28年 午後Ⅰ問3、令和元年 午後Ⅱ問2 設問2）。
企業では DNS サーバを 2 系統に分けます。
PC がプロキシ経由で Web を見る構成では、PC は「プロキシのアドレス」だけ知っていればよく、宛先 Web サーバの名前解決はプロキシが行います。 だから PC が使う内部 DNS はインターネットの名前を引けなくてもよい一方、プロキシは外部の名前を引ける DNS を向いている必要があります。 この区別は、プロキシを経由しない通信（ローカルブレイクアウトで SaaS だけ拠点から直接出す等）を追加するときに効いてきます。PC 自身が SaaS の名前を解決する必要が生じ、内部 DNS がインターネットの名前を引ける構成でなければなりません。
内部 DNS から外部への UDP/TCP 53 を許可し、逆向き（インターネットから内部 DNS へ）は拒否します。外部 DNS へはインターネットから UDP/TCP 53 を許可します。平成26年 午後Ⅱ問1 設問4(3) のように「DNS の通信を許可するルール」を表で書かせる設問では、 送信元・宛先・プロトコル UDP・宛先ポート 53 の形で答えます。
手順（Web サーバを旧 IP から新 IP に切り替える場合）
1. 切替の数日前に、権威 DNS でその名前の TTL を 86400（1 日）→ 60 などに短くする
（世界中のキャッシュが古い TTL で覚えているので、旧 TTL が切れるまで待つ）
2. 切替当日、A レコードの IP を新サーバに書き換える
→ 各キャッシュ DNS は最長 60 秒で新 IP を引くようになる
3. 旧サーバへのアクセスが無くなったことを確認して旧サーバを停止
4. TTL を元に戻す
「なぜ TTL を短くしておくのか」はキャッシュ DNS サーバがキャッシュを保持する時間を短くし、切替後すぐに新しいアドレスが使われるようにするためです （令和5年 午後Ⅱ問1 設問1(4)、令和4年 午後Ⅱ問1 設問5(3)、令和6年 午後Ⅱ問2 設問1(2)）。 移行前に新サーバを試験したいときは、PC の hosts ファイルに新サーバの名前と IP を書いて DNS より先に解決させます（令和4年 午後Ⅱ問1 設問5(1)）。
同じ名前に複数の A レコードを置くと、キャッシュ DNS は順番を変えて返すので、クライアントが分散します。これが DNS ラウンドロビンで、機器を増やさずにできる負荷分散です。 欠点はサーバの生死を見ないこと（停止したサーバの IP も返す）と、キャッシュのせいで偏ることです。令和5年 午後Ⅱ問1 設問1(1)(2) は、プロキシサーバをラウンドロビンで分散する構成と「アプリケーションプロセスの停止は検知できない」という欠点を問いました。
ヘルスチェックと連動して生きているサイトの IP だけを返す仕組みが GSLB（広域負荷分散）で、TTL を短く設定して切替を速くします。 CDN は自社の名前を CDN 事業者の名前に CNAME で向け、CDN 側の DNS が利用者に近いエッジの IP を返します。
権威 DNS はプライマリ＋セカンダリを別ネットワークに置き、キャッシュ DNS は PC に 2 台を設定します。PC は 1 台目が応答しないときだけ 2 台目を使うので、1 台目の停止はタイムアウト分だけ遅くなります。
キャッシュ DNS が権威に問い合わせている隙に、攻撃者が権威になりすました偽の応答を先に届けると、キャッシュ DNS は偽の IP を TTL の間覚え、社内全員が偽サイトに誘導されます（平成26年 午後Ⅰ問3 設問3(1)「DNS キャッシュが改ざんされる」）。 キャッシュ DNS が応答を受け入れる条件は「問合せと宛先ポート番号と ID が一致すること」なので、ID 16 ビットだけでは総当たりされます。対策は次の 3 つです。
DNS リフレクション（amp）攻撃は、送信元を標的に偽装した問合せをオープンリゾルバに大量に送り、何倍にも大きい応答を標的に浴びせる DDoS です。対策は「外部 DNS で再帰を受け付けない」「送信元偽装パケットを ISP やルータで捨てる（uRPF）」です（平成26年 午後Ⅰ問3、令和元年 午後Ⅱ問2 設問3(1)）。
マルウェアは C&C サーバに接続する前に名前解決をします。内部 DNS で既知の悪性ドメインに偽の答え（自社の監視サーバの IP など）を返すと、マルウェアは C&C に到達できず、しかも誰が引いたかがログに残ります（DNS シンクホール）。 令和元年 午後Ⅱ問2 設問6(5)「C&C サーバの IP アドレスが取得できないので宛先が設定できない」がこの効果です。逆に、DNS over HTTPS（DoH）でブラウザが社内 DNS を迂回すると、この制御が効かなくなります。
| 用語 | 意味 | 午後でのポイント |
|---|---|---|
| 権威 DNS サーバ | ゾーンの答えを持つサーバ | NS レコードのサーバ名で答える。コンテンツサーバとも |
| キャッシュ DNS サーバ | 再帰問合せを受けて反復問合せし、結果をキャッシュ | フルサービスリゾルバ。TTL の間古い答えを返す |
| 再帰問合せ / 反復問合せ | 答えが出るまで調べてくれ / 知っている範囲を教えて | PC → キャッシュが再帰、キャッシュ → 権威が反復 |
| TTL | キャッシュの保持時間（秒） | 切替前に短くする。ラウンドロビンや GSLB は短め |
| ゾーン / ゾーン転送 | 委任された管理範囲 / プライマリ→セカンダリのコピー（TCP 53） | 転送はセカンダリの IP だけに許可 |
| CNAME | 別名 | CDN・SaaS に向ける。先方の IP 変更に追従不要 |
| MX / Preference | メール受取サーバ / 優先度（小さいほど優先） | メール問題の定番 |
| SRV | サービスの所在（サーバ名とポート） | ケルベロスの KDC 探索 |
| グルーレコード | 紹介のとき一緒に返す権威サーバの IP | ADDITIONAL SECTION。FQDN を聞かれたときに IP を書かない |
| DNS ラウンドロビン | 複数 A レコードの順番を変えて返す | 生死を見ない。プロセス停止を検知できない |
| GSLB | ヘルスチェック連動で生きているサイトの IP を返す | 短い TTL とセット |
| オープンリゾルバ | 誰からでも再帰を受けるキャッシュ DNS | リフレクション攻撃の踏み台。外部 DNS は再帰を止める |
| キャッシュポイズニング | 偽応答でキャッシュを汚染 | ポートランダム化・外部からの問合せ遮断・DNSSEC |
| DNSSEC | 応答に署名を付けて検証 | 改ざん検知であって暗号化ではない |
| DNS シンクホール | 悪性ドメインに偽の答えを返して遮断・検知 | C&C の IP が得られず接続できない |
| EDNS0 / TCP フォールバック | 512 バイト超の応答を UDP で / TCP に切替 | IPv6（AAAA）や DNSSEC で応答が大きくなる |
| 設問の型 | 答え方 | 出た年度 |
|---|---|---|
| 空欄「□ DNS サーバ」（権威／キャッシュ） | 自分のゾーンを持つのが権威、PC の代わりに調べるのがキャッシュ | R5 午後Ⅰ問1 |
| dig の出力から IPv6 アドレスと権威 DNS サーバの FQDN | CNAME を追って AAAA を全部、AUTHORITY SECTION の NS 名を全部 | R7 午後Ⅱ問1 |
| DNS 応答が大きいときのプロトコル | TCP（EDNS 非対応で 512 バイト超） | R7 午後Ⅱ問1、R6 午後Ⅱ問2 |
| 切替前に TTL を短くする理由 | キャッシュ DNS サーバがキャッシュを保持する時間を短くするため | R5 午後Ⅱ問1、R4 午後Ⅱ問1、R6 午後Ⅱ問2 |
| サービス事業者の IP 変更に追従しなくてよい理由 | 自社の DNS には CNAME で事業者の名前を登録しているから（A ではなく） | R1 午後Ⅰ問2、H29 午後Ⅱ問1 |
| DNS ラウンドロビンの欠点 | サーバやアプリケーションプロセスの停止を検知できず、停止先にも振り分ける | R5 午後Ⅱ問1 |
| 移行前に新サーバを試験する方法 | PC の hosts ファイルに新サーバの FQDN と IP を記載する | R4 午後Ⅱ問1 |
| ゾーン転送の通信名・許可先 | ゾーン転送。セカンダリ DNS の IP アドレスからだけ許可 | R1 午後Ⅱ問2、H28 午後Ⅰ問3 |
| キャッシュポイズニングの条件と対策 | 宛先ポート番号と ID の一致。ポートランダム化、外部からの問合せを FW で遮断 | R1 午後Ⅱ問2、H26 午後Ⅰ問3 |
| C&C 通信を DNS で止める効果 | C&C サーバの IP アドレスが取得できず宛先を設定できない | R1 午後Ⅱ問2 |
| 社内 DNS と外部 DNS の使い分け（空欄） | 社内の名前は社内 DNS、SaaS や外部サービスは外部の DNS（ケルベロス SRV は社内） | R4 午後Ⅰ問3 |
| DNS を許可する FW ルール | 送信元 社内セグメント、宛先 DNS サーバ、UDP、宛先ポート 53 | H26 午後Ⅱ問1 |
クリックで答えが開きます。
Windows の nslookup nslookup www.example.jp 既定のキャッシュ DNS に聞く（Non-authoritative answer ＝キャッシュからの答え） nslookup -type=NS example.jp 権威サーバ名 nslookup -type=MX example.jp メール受取サーバと Preference nslookup www.example.jp ns1.example.jp 権威に直接聞くと Non-authoritative が消える ipconfig /displaydns PC 側のキャッシュと残り TTL ipconfig /flushdns PC のキャッシュを消す Linux の dig（令和7年 午後Ⅱ問1 の図はこの出力） dig www.example.jp AAAA ANSWER（CNAME → AAAA）、AUTHORITY（NS）、ADDITIONAL（グルー）の 3 セクションを読む dig +trace www.example.jp ルートから順に反復問合せする様子が見える
このページの用語集（16 語）から作った確認問題です。「意味 → 用語」は意味の説明（用語そのものは＿＿で伏せてある）を読んで用語を入力し、Enter で答え合わせします。 表記ゆれで × になったときは「合っていた」で直せます。「用語 → 意味」は口で説明してから答えを開いて自己採点します。結果はこのブラウザに保存され、「×だけ」で間違えた語だけを解き直せます。
作成 2026-10-28。ネットワークスペシャリスト 科目B（午後）対策。出典の年度・設問番号は IPA 公開の解答例で確認したもの（平成26年秋 午後Ⅰ問3・午後Ⅱ問1、平成28年秋 午後Ⅰ問1・問3、平成29年秋 午後Ⅱ問1、令和元年秋 午後Ⅰ問2・午後Ⅱ問2、令和4年春 午後Ⅰ問3・午後Ⅱ問1、令和5年春 午後Ⅰ問1・午後Ⅱ問1、令和6年春 午後Ⅱ問2、令和7年春 午後Ⅱ問1）。 関連: メールと送信ドメイン認証とは、IPv6 とは、ロードバランサーとは。