はじめに
オンライン資格確認システムでは、同一のサーバーに対してIP-VPN用とIPsecVPN用としてIPv6、IPv4の両方のアドレスが振られていますが、フレッツIP-VPN環境ではDNSのIPv4応答（Aレコード）が邪魔になり、IPsecのVPNでは逆にIPv6（AAAAレコード）応答が邪魔になって接続に時間がかかることがあります。
% dig @2001:a7ff:f014:d00::53:1 pweb.base.oqs-pdl.org ANY
(略)
;; ANSWER SECTION:
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.11
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.4
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.10
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.15
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.2
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.1
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.7
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.5
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.6
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.9
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.14
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.3
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.8
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.12
pweb.base.oqs-pdl.org. 190 IN A 10.255.181.13
pweb.base.oqs-pdl.org. 265 IN AAAA 2001:a250:7c00:1f00::12
pweb.base.oqs-pdl.org. 265 IN AAAA 2001:a250:7c00:1f00::11
pweb.base.oqs-pdl.org. 265 IN AAAA 2001:a250:7c00:1f00::9
(略)
当方の環境は、オンライン資格確認のみIPv6で、インターネットはIPv4/PPPoE接続なので、オンライン資格確認関連のドメインはAレコードをカットしてAAAAレコードのみを返し、それ以外のインターネットゾーンのドメインに対してはAAAAをカットしてAレコードのみを返すようなキャッシュをおけば良さそうです。（オンライン資格確認PCや電子カルテのみのネットワークであれば、インターネット接続はない方がいいので、上位ルーターでIPv4を遮断するなり、IPv4のDNS設定を空欄にしてください）
こちら「pdns-recursorでAAAAフィルタをかける」を参考にPowerDNS recursorをDNSキャッシュとし、luaスクリプトを作成してみました。
DNSキャッシュの効果で応答が早くなるのと、接続の安定性が増すと思います。オンライン資格確認以外にもIPv4/v6のデュアルスタック環境では利用価値があるかと思います。
環境
- Linux server：Raspberry PI 3B/ Raspberry Pi OS を使いました。
- オンライン資格確認PCのあるネットワークに配置します。
- 上位ルーターではTCP/UDP53が通信可能なように設定しておきます。
PowerDNS recursorのインストールと設定
インストール
# apt install pdns-recursor
recursor.confの編集
recursor.conf
forward-zones-file=/etc/powerdns/forwardzone.txt
forward-zones-recurse=.=(インターネットプロバイダのDNSサーバー);8.8.8.8
local-port=53
lua-dns-script=/etc/powerdns/deletev4-v6fix.lua
forwardzone.txt（NTT西の場合です）
NTT東の場合は、DNSサーバー2404:1a8:7f01:a::3, 2404:1a8:7f01:b::3 に変更が必要です。
/etc/powerdns/forwardzone.txt
flets-west.jp=2001:a7ff:5f01::a,2001:a7ff:5f01:1::a
+onshikaku.org=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+lineauth.mnw=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+managedpki.ne.jp=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+cybertrust.ne.jp=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+secomtrust.net=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+oqs-pdl.org=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+rece=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
+healthinsurance.mhlw.go.jp=2001:a7ff:f014:d00::53:1,2001:a7ff:f014:d00::53:2
deletev4-v6fix.lua
/etc/powerdns/deletev4-v6fix.lua
v6_domains = {
newDN('flets-west.jp'),
newDN('onshikaku.org'),
newDN('lineauth.mnw'),
newDN('managedpki.ne.jp'),
newDN('cybertrust.ne.jp'),
newDN('secomtrust.net'),
newDN('oqs-pdl.org'),
newDN('rece'),
newDN('healthinsurance.mhlw.go.jp')
}
function postresolve(dq)
local records = dq:getRecords()
local records_new = {}
local v6only = 0
local v6ready = 0
for i, v6_domain in ipairs(v6_domains) do
if dq.qname:isPartOf(v6_domain) then
v6only = 1
end
end
if v6only == 0 then
for i, record in ipairs(records) do
if record.type ~= pdns.AAAA then
records_new[#records_new + 1] = record
end
end
else
for i, record in ipairs(records) do
if record.type ~= pdns.A then
if record.type == pdns.AAAA then
v6ready = 1
end
records_new[#records_new + 1] = record
end
end
if v6ready == 0 then
print("Error: Received IPv6 question for "..dq.qname:toString().." from "..dq.remoteaddr:toString())
print("but no AAAA record in the result. " )
end
end
dq:setRecords(records_new)
return true
end
サービス再起動
# systemctl restart pdns-recursor
動作確認
オンライン資格確認関連はAレコードが消えています。
% dig pweb.base.oqs-pdl.org ANY
; <<>> DiG 9.10.3-P4-Raspbian <<>> pweb.base.oqs-pdl.org ANY
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16865
;; flags: qr rd ra; QUERY: 1, ANSWER: 15, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;pweb.base.oqs-pdl.org. IN ANY
;; ANSWER SECTION:
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::13
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::9
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::1
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::4
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::10
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::2
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::7
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::11
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::6
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::14
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::15
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::5
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::8
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::12
pweb.base.oqs-pdl.org. 142 IN AAAA 2001:a250:7c00:1f00::3
;; Query time: 9 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sun Feb 26 11:59:25 JST 2023
;; MSG SIZE rcvd: 470
インターネットゾーンはAAAAが消えています。
% dig www.google.co.jp ANY
; <<>> DiG 9.10.3-P4-Raspbian <<>> www.google.co.jp ANY
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10294
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.google.co.jp. IN ANY
;; ANSWER SECTION:
www.google.co.jp. 84 IN A 142.251.42.163
www.google.co.jp. 18217 IN TYPE65 \# 13 00010000010006026832026833
;; Query time: 20 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sun Feb 26 12:02:49 JST 2023
;; MSG SIZE rcvd: 86
注意点
オンライン資格確認のドメインが増えた場合、forwardzone.txtとdeletev4-v6fix.luaの両方でドメイン名の追加が必要です。luaスクリプトからforwardzone.txtを読みに行けるようにすればいいのでしょうが、能力不足でいい方法が思いつきませんでした。いい方法あれば教えてください。
参考サイト