概要

NAT64/DNS64の検証をしたい。そのために好きに使えるDNSサーバを立てたい。DNSといえばBIND。でも、設計が古く複雑とのことで、脆弱性がよく報告されている。「オープンソースソフトウェアで」「比較的メンテナンスされており」「GUIもあるもの」としてPower DNS を選んだ。

Power DNS は、Version 4.0系から

権威サーバ（Authoritative Server）
名前解決サーバ（Recursive Server）
の二つに分離された。
この記事では名前解決サーバを構築する。一つ目の記事は以下で用意。

検証環境

Power DNS のrecursiveサーバ。

種別	ソフトウェア	バージョン	備考
OS	Ubuntu Server	20.04.2
フルリゾルバ	Power DNS Recursor	4.2.1-1build2	APTでいれる

PowerDNSの構築

PowerDNS Recursorのインストール

sudo apt install pdns-recursor

Ubuntuの場合、systemd-resolvedがUDP/53を使用しているため、PowerDNSを入れた段階では起動に失敗する。サービスを止めておけば動きそうだが、今度は名前解決できず、aptでパッケージを入れられない。ここは気にしない方向で進む。

初期設定の変更（recursor.conf）

設定項目	デフォルト値	変更後	備考
local-address	Loopbackアドレス	適切なアドレス（検証では192.168.1.53,127.0.0.1）	外部から問い合わせを受ける際のアドレス
allow-from	コメントアウト	適切なアドレス（検証では192.168.0.0/16）	名前解決要求を受け入れるアドレス群
forward-zones-recurse	コメントアウト	.=8.8.8.8	再帰問い合わせ先。ここでは Google DNSを指定
forward-zone	コメントアウト	example.com=127.0.0.1:5353	こちらの記事で同じサーバに権威サーバを立てた場合

$ sudo vi /etc/powerdns/recursor.conf
# Autogenerated configuration file template
#################################
# allow-from    If set, only allow these comma separated netmasks to recurse
#
allow-from=192.168.0.0/16
(snip)
#################################
# forward-zones Zones for which we forward queries, comma separated domain=ip pairs
#
forward-zones= example.com=127.0.0.1:5353
(snip)
#################################
# forward-zones-recurse Zones for which we forward queries with recursion bit, comma separated domain=ip pairs
#
forward-zones-recurse=.=8.8.8.8
(snip)
#################################
# local-address IP addresses to listen on, separated by spaces or commas. Also accepts ports.
#
local-address=192.168.1.53,127.0.0.1

権威サーバの設定変更

こちらの記事で同じサーバに権威サーバを立てた場合、権威サーバとフルリゾルバでどちらもUDP/53を使用するため重複する。どちらかを調停する必要がある。今回は権威サーバ側のPort番号を修正した。スタブリゾルバが直接権威DNSへ聞きに来ることは考えにくいし。

$ sudo vi /etc/powerdns/pdns.conf
#################################
# local-port    The port on which we listen
#
# local-port=53
local-port=5353

DNSSEC

Power DNSはDNSSEC のデフォルト動作が4.5.0から変更されている。

設定項目	デフォルト値
4.5.0まで	process-no-validate
4.5.0以降	process

このため、DNSSEC設定のされていない権威サーバが管理するドメイン名の名前解決できるかは DNS Client 側の設定に依存する。ラボ環境などで回避するためには、recursor.confのdnssecをprocess-no-validateとする（4.5.0よりも前のバージョンに合わせる）か、recursor.luaに例外として登録する。設定後は要・再起動。

Ubuntu 22.04では PowerDNS Recursorのバージョンが 4.6.0となり、この問題にヒットした。

$ sudo vi /etc/powerdns/recursor.lua
#################################
addNTA("example.com","This Domain NAME is used in LAB ONLY")

サービス再起動

$ sudo systemctl stop pdns.service
$ sudo systemctl stop pdns-recursor.service
$ sudo systemctl start pdns.service
$ sudo systemctl start pdns-recursor.service

正常性確認

digコマンドで試す。

$ dig www.google.com @192.168.1.53 +short
172.217.175.100  # Internet側のホスト名が返ってくる。
$ dig www.example.com @192.168.1.53 +short
192.0.2.1 # ローカル側で建てた権威サーバがホスト名を返してくる。

この後

Power DNSフルリゾルバはDNS64機能も具備している、らしい。この機能はVersion 4.4からサポート。今回構築した Ubuntu 20.04 ではVersion 4.2.1であってちょっと古くサポート外。幸い、Ubuntu 21.04では4.4系をサポートしていたため、試すのならそっちのほうになりそう。本格的な採用は来年4月の22.04待ち。