Cloudflare を Secondary DNS として使う

Secondary DNS が利用可能なプラン

Enterprise Plan で利用できます。

Configuring Secondary DNS – Cloudflare Help Center

Secondary DNS is available for domains on Enterprise plans.

Secondary DNS 用語整理

Secondary DNS - Deep Dive

• Authoritative Zone Transfer (AXFR)
  • AXFRはTCP接続（ポート53）で行われます。これは、転送中にパケットが失われないようにするために、信頼性の高いプロトコルが必要なためです。このプロトコルを使用すると、プライマリDNSサーバーは、シリアル番号に関係なく、1回の接続で、すべてのゾーンコンテンツをセカンダリDNSサーバーに転送します。AXFRは、レコードが1つも伝搬しない最初のゾーン転送に使用することが推奨され、 それ以降はIXFRが推奨されます。
• Incremental Zone Transfer (IXFR)
  • AXFRプロトコルとは異なり、IXFRの間、プライマリサーバーは、(シリアル番号に 基づいて)そのゾーンの現在のバージョンから変更されたレコードのみをセカンダリサー バーに送信する。つまり、セカンダリDNSサーバーがIXFRを開始しようとする場合、セカンダリDNS サーバーは現在のシリアル番号をプライマリDNSサーバーに送信する。その後、プライマリDNSサーバは、ゾーンに加えられた変更の 過去のバージョンに基づいて応答をフォーマットする。IXFRはUDPまたはTCP（ポート53）で行うことができますが、やはりパケットロスを避けるために一般的にはTCPが推奨されます。

Cloudflare を Secondary DNS とする構成パターン

以下の「Primary-Secondary（Multi-Vendor）」「Hidden Primary」の構成を取れます。

Announcing Foundation DNS — Cloudflare’s new premium DNS offering

NS1 を Primary DNS として設定する

https://ns1.com/signup からフリーアカウントを作成できます。

クレジットカードの入力が必要ですが、DNS クエリが 100万回 / 月を越えない限り無料です。

NS1 will only bill you in the event that your account sees DNS query overages. Overages are billed at $8/million queries on a monthly basis.

以下のガイドに従って、今回は Freenom で取得したドメインを登録します。

Create a DNS zone – NS1 Help Center

その後、以下の NS レコードが確認できます。

Freenom でカスタムネームサーバーとして、NS1のネームサーバーを登録します。

続いて、以下のガイドに従って NS1 からの Zone Transfer を設定します。

Configuring NS1 as the primary DNS provider – NS1 Help Center

転送先としての ACL に Cloudflare の IPv4 を追加します。

Access Control List (ACL) configuration

Cloudflare を Secondary DNS として設定する（「Primary-Secondary（Multi-Vendor）」構成）

以下のガイドに従って設定します。

Configure a Secondary Zone through the Cloudflare Dashboard

https://dash.cloudflare.com/?to=/:account/add-site から「Secondary DNS」を選択します。

続けて NS1 の Primary ネームサーバーの IP アドレス 192.135.223.10 と

Configuring NS1 as the primary DNS provider – NS1 Help Center

After configuring the zone transfers in the NS1 platform, you must configure the secondary servers to use xfr01.nsone.net (192.135.223.10) as the zone's primary server.

TSIG を設定します。（以下のコマンド結果を入力する。）

% tsig-keygen -a hmac-sha512 tsig-key 
key "tsig-key" {
        algorithm hmac-sha512;
        secret "XXXXX";
};

auto_refresh_seconds の値を確認し、「Linked」となるようにチェックします。

転送されたレコードを確認し、「Continue」します。
（必要に応じて Primary DNS レコードをアップデートの上、再度「Initiate zone transfer」を行い、確認しますが、後からも行えます。）

最後に Cloudflare から Secondary ネームサーバーが割り当てられます。

「Primary-Secondary（Multi-Vendor）」構成とするために、NS1 と Freenom で以下のように設定します。（Freenom で設定できるネームサーバーが最大5個のため、NS1 Primary ネームサーバー3つ、Cloudflare Secondary ネームサーバー2つとします。）

設定完了後は、https://dash.cloudflare.com/?to=/:account/:zone/dns から以下のような画面になります。

% dig xxx.cf NS @1.1.1.1 +short
nsXXXX.secondary.cloudflare.com.
nsXXXX.secondary.cloudflare.com.
dns1.p01.nsone.net.
dns2.p01.nsone.net.
dns3.p01.nsone.net.

Secondary DNS に関する通知設定

以下の通知を設定することができます。

↓「Secondary DNS Successfully Updated」の通知例です。

「Hidden Primary」設定

NS1 と Freenom で、NS1 の Primary ネームサーバーを削除し、Cloudflare の Secondary ネームサーバーのみの設定とすることで、「Hidden Primary」の構成にできます。

% dig xxx.cf NS @1.1.1.1 +short
nsXXXX.secondary.cloudflare.com.
nsXXXX.secondary.cloudflare.com.

Secondary DNS Override

Override を使えば、Secondary DNS でも A/AAAA/CNAME レコードをプロキシし Cloudflare の IP を応答させることができます。（アカウントチームに有効化の依頼を上げる必要があります。）

Orange Clouding with Secondary DNS

Secondary DNS Override builds on the Secondary DNS with a hidden primary model by allowing our customers to not only serve records as they tell us to, but also enable them to proxy any A/AAAA/CNAME records through Cloudflare's network. This is similar to how Cloudflare as a primary DNS provider currently works.

その際には、一貫した応答結果とするために「Hidden Primary」の構成で利用することが推奨です。

Understanding Secondary DNS Override – Cloudflare Help Center

Prerequisites

1. Add a Secondary DNS zone to Cloudflare and verify that DNS records are transferred.
2. Request your Account Team to enable Secondary Override.
3. (Highly recommended) Only list Cloudflare’s nameservers at your domain’s registrar to ensure that DNS queries to different nameservers don't yield varying responses.

Secondary DNS Override を有効にすると、DNS 設定画面で「Proxy」状態をクリックで変更できます。

「Proxied」のレコードについては、Cloudflare の IP が応答されます。

% dig orange.xxx.cf @1.1.1.1 +short 
104.18.16.38
104.18.17.38

CNAME at the Apex

Secondary DNS Override では唯一 Zone Apex に CNAME レコードを作成できます。

「CNAME at the Apex」設定時は、既存の「A/AAAA at the Apex」レコードが無効になります。