ドメインのネームサーバーとは？

ネームサーバーはDNSゾーンをホストし、そのゾーンについて権威のある回答を返します。委任は、あるドメインへのクエリをどこに向けるべきかをDNSの階層に伝える仕組みです。レジストラで設定するネームサーバーと、ゾーン内のNSレコードは関連していますが、同じ管理ポイントではありません。

委任の仕組み

example.orgの場合、親ゾーンであるorgが、example.orgを担当するサーバーを指し示しています。フルリゾルバーはこの参照情報をたどり、権威DNSサーバーに目的のA、AAAA、MXなどのレコードを問い合わせます。権威のある回答はゾーンから返され、フルリゾルバーがそれをキャッシュすることもあります。この階層的な設計はRFC 1034に記載されています。

DNSプロバイダーの管理画面には、子ゾーン内のNSレコードも表示されることがあります。ただし、そのレコードを編集しただけでは、親ゾーン側の委任が変わるとは限りません。移行するときは、レジストラで設定されているネームサーバーと、親ゾーンが公開しているネームサーバーの両方を確認しましょう。両者が食い違っていると、わかりにくい結果になることがあります。

ネームサーバーを変更するタイミング

別のDNSプロバイダーへ移行する場合や、権威DNSサーバーを自前で運用する場合は、一般にNSの変更が必要です。切り替える前に、引き続き必要なレコードをコピーしておきます。Webサイトのアドレス、MXとメールホストのアドレス、ドメイン認証に使うTXT、各サービス固有のレコードなどです。新しい権威DNSサーバーのそれぞれに直接問い合わせ、ゾーンがすべてそろっていることを確認してください。

変更中は、古い委任情報がキャッシュに残っていることがあります。可能であれば、移行期間中は旧プロバイダーと新プロバイダーで重要な回答をそろえておきましょう。DNSSECを有効にしている場合は、親ゾーンのDSレコードを別途確認します。子ゾーンでもう使っていない鍵を指す古いDSが残っていると、検証エラーの原因になります。

現在の状態を確認する

ドメイン設定チェックでNSと主要なレコードを確認し、サーバーごとの回答を比較します。時刻、サーバー名、クエリのタイプを記録しておきましょう。ある権威DNSサーバーだけが異なるバージョンのゾーンを返している場合は、ほかの設定をいじる前に、その不整合を解消してください。回答が返ってくるだけでは不十分で、その内容が正しくなければなりません。

NSを移行したあとにサイトが表示されない場合は、3つの可能性を切り分けます。リゾルバーがまだ以前の委任をたどっている、新しいゾーンにAまたはAAAAがない、Webサーバー自体が停止している、のいずれかです。それぞれ対処法が異なります。なお、ドメインの取得可否を調べても、委任のテストにはなりません。

信頼性とアクセス管理

1台の障害で名前解決がすべて止まらないよう、ゾーンには通常、複数の権威DNSサーバーを用意します。各サーバーのデータは一貫させ、設定も適切に保守する必要があります。レジストラとDNSプロバイダーのアカウントは多要素認証で保護しましょう。委任やレコードを編集できる人なら誰でも、メールとWebの両方のトラフィックを別の場所へ向けられてしまいます。