Cloudflare DNS Firewall とは

DNS インフラを悪意ある攻撃から保護し、アップタイムを向上させ、高速なパフォーマンスを実現する DNS のための Firewall-as-a-Service (FWaaS) です。
例えば、オンプレにある権威DNSサーバー (BIND) 運用を維持したまま、ランダムサブドメイン攻撃や DDoS 攻撃などからオリジン権威 DNS サーバーを保護したい場合に有効なソリューションです。

Enterprise のお客様を対象とした有償アドオン機能になります。

DNS Firewall · Cloudflare DNS docs

また、主な特徴は以下の通りです。

権威DNSサーバ (BIND) 準備

【BIND入門実践】BINDでDNSサーバーを構築してみよう

DNS Firewall セットアップ

ネームサーバーのIPをCloudflareに向けるだけです。

Set up DNS Firewall · Cloudflare DNS docs

以下のステップで実装します。

DNS Firewall クラスタ設定
レジストラでグルーレコード変更
ゾーンファイルでネームサーバーAレコード変更
オリジンで Cloudflare IP を許可

DNS Firewall クラスタ設定

権威DNSサーバー (BIND) のオリジン IP を入れて作成します。

Cloudflare の IP が払い出されますので、次のステップ以降で使います。

レジストラでグルーレコード変更

お名前.com では、以下の手順で変更できます。
グルーレコードを払い出された Cloudflare IP に設定します。

DNS関連機能の設定：ホスト設定｜お名前.com Navi ガイド｜ドメイン取るならお名前.com

ゾーンファイルでネームサーバーAレコード変更

権威DNSサーバー (BIND) 側でも、ネームサーバーの A レコードを払い出された Cloudflare IP に設定します。

example.com

@       IN      NS      ns1.example.com.
@       IN      NS      ns2.example.com.
ns1     IN      A       172.x.x.x
ns2     IN      A       172.y.y.y

オリジンで Cloudflare IP を許可

Cloudflare の公開 IP レンジを、オリジン側で TCP / UDP port 53 が通るように許可してください。

IP Ranges | Cloudflare

名前解決の確認

dig +trace により、払い出された Cloudflare IP 172.x.x.x が権威 DNS として応答することを確認します。

% dig +trace +nodnssec example.com

; <<>> DiG 9.18.20 <<>> +trace +nodnssec example.com
;; global options: +cmd
.			511072	IN	NS	a.root-servers.net.
.			511072	IN	NS	b.root-servers.net.
.			511072	IN	NS	c.root-servers.net.
.			511072	IN	NS	d.root-servers.net.
.			511072	IN	NS	e.root-servers.net.
.			511072	IN	NS	f.root-servers.net.
.			511072	IN	NS	g.root-servers.net.
.			511072	IN	NS	h.root-servers.net.
.			511072	IN	NS	i.root-servers.net.
.			511072	IN	NS	j.root-servers.net.
.			511072	IN	NS	k.root-servers.net.
.			511072	IN	NS	l.root-servers.net.
.			511072	IN	NS	m.root-servers.net.
;; Received 239 bytes from 2606:4700:4700::1111#53(2606:4700:4700::1111) in 6 ms

site.			172800	IN	NS	b.z.net.
site.			172800	IN	NS	f.z.net.
site.			172800	IN	NS	a.z.net.
site.			172800	IN	NS	e.z.net.
;; Received 289 bytes from 202.12.27.33#53(m.root-servers.net) in 5 ms

example.com.		3600	IN	NS	ns1.example.com.
example.com.		3600	IN	NS	ns2.example.com.
;; Received 109 bytes from 2a04:2b00:13ff::61#53(f.z.net) in 62 ms

example.com.		86400	IN	A	34.z.z.z
example.com.		86400	IN	NS	ns1.example.com.
example.com.		86400	IN	NS	ns2.example.com.
;; Received 125 bytes from 172.x.x.x#53(ns1.example.com) in 17 ms

追加で API 設定できる項目

こちらにある API パラメータ（ダッシュボードにないものが含まれる）を指定できます。

Update DNS Firewall Cluster - Cloudflare API Documentation

getDnsClusterTag

export EMAIL='YOUR_EMAIL'
export APIKEY='YOUR_APIKEY'
export ACCOUNT_ID='YOUR_ACCOUNT_ID'

curl -s "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/dns_firewall" \
 -H "X-Auth-Email: $EMAIL" \
 -H "X-Auth-Key: $APIKEY" | jq

Rate Limit

API パラメータを使って、Rate Limit（データセンターあたり1秒あたりのクエリー数）を指定できます。

データセンターごとの1秒あたりのクエリ数の上限が、クラスタに設定されたオリジン権威 DNS サーバーに送信される DNS クエリに適用されます。

Additional options · Cloudflare DNS docs

export CLUSTER_TAG='YOUR_CLUSTER_TAG'

curl -X PATCH "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/dns_firewall/$CLUSTER_TAG" \
 -H "X-Auth-Email: $EMAIL" \
 -H "X-Auth-Key: $APIKEY" \
 -H "Content-Type: application/json" \
 --data '{
   "ratelimit":600
 }'

ランダムサブドメイン攻撃（ランダムプレフィックス撃）保護

以下のようなランダムサブドメイン攻撃（ランダムプレフィックス撃）に対して、自動保護機構を有効化できます。

ランダムサブドメイン攻撃についてドメイン名登録者が出来ること

以下の API 操作により、有効化できます。

攻撃を検知すると、サブドメインやサブサブドメインなど、オリジン権威 DNS サーバーへの問い合わせを一時的に停止します。その後、Cloudflare はキャッシュされたレスポンスで応答します（TTLがまだ失効していない場合）。

FAQs — DNS Firewall · Cloudflare DNS docs
DNSファイアウォールはどのくらい古いオブジェクトをキャッシュしますか?
DNS Firewallは、割り当てられたメモリに応じてキャッシュの寿命を設定します。
十分な割り当てメモリがある限り、Cloudflareは、TTLが失効しても、キャッシュからアイテムを強制的にクリアしません。この機能により、ネームサーバーがオフラインの場合、Cloudflareはキャッシュから古いオブジェクトを提供することができます。

また、log_only モードや only_when_upstream_unhealthy のオプションも設定できます。

Protect against random prefix attacks · Cloudflare DNS docs

export CLUSTER_TAG='YOUR_CLUSTER_TAG'

curl -X PATCH "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/dns_firewall/$CLUSTER_TAG" \
 -H "X-Auth-Email: $EMAIL" \
 -H "X-Auth-Key: $APIKEY" \
 -H "Content-Type: application/json" \
 --data '{"attack_mitigation":{
   "enabled":true,
   "log_only":true,
   "only_when_upstream_unhealthy":false
   }
 }'

【参考】ランダムサブドメイン問い合わせ

例えば、自らテストしたい場合には以下のツールを使って ChatGPT に教えてもらったランダムなサブドメインに DNS クエリを投げることができます。

askmediagroup/dnsbench: Simple DNS server benchmarking tool

dnsbench run --nameserver=8.8.4.4 --count=3000 --names "domains_to_lookup.txt"

統計データ・ログ

Analytics

以下の API から統計データを取得できます。

Analytics · Cloudflare DNS docs

export CLUSTER_TAG='YOUR_CLUSTER_TAG'

% curl -s "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/dns_firewall/$CLUSTER_TAG/dns_analytics/report" \
 -H "X-Auth-Email: $EMAIL" \
 -H "X-Auth-Key: $APIKEY" | jq
{
  "result": {
    "rows": 1,
    "data": [
      {
        "metrics": [
          112
        ]
      }
    ],
    "data_lag": 0,
    "min": {},
    "max": {},
    "totals": {
      "queryCount": 112
    },
    "query": {
      "dimensions": [],
      "metrics": [
        "queryCount"
      ],
      "since": "2023-12-12T23:36:00Z",
      "until": "2023-12-13T05:36:00Z",
      "limit": 100000
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}

Logpugh

個々の詳細ログを確認するには、Logpush を構成する必要があります。

ログを見ていると、ランダムに大文字を含む問い合わせや存在しないサブドメインへの問い合わせがあることがわかります。

DNS Firewall Logs · Cloudflare Logs docs

dns_firewall_logs.json

{
  "ClientResponseCode": 3, // NXDOMAIN
  "ClusterID": "xxx",
  "ColoCode": "NRT",
  "EDNSSubnet": "",
  "EDNSSubnetLength": 0,
  "QueryDO": true,
  "QueryName": "gaLActic-EXPlOrATIon.ExAMPLe.CoM",
  "QueryRD": false,
  "QuerySize": 62,
  "QueryTCP": false,
  "QueryType": 1,
  "ResponseCached": false,
  "ResponseCachedStale": false,
  "SourceIP": "173.194.168.132",
  "Timestamp": "2023-12-13T15:33:38Z",
  "UpstreamIP": "x.x.x.x",
  "UpstreamResponseCode": 3,
  "UpstreamResponseTimeMs": 9
}

まとめ

Cloudflare DNS Firewall を使って権威 DNS サーバー (BIND) を保護する構成が取れることが確認できました。

統計データやログなどに関わる部分でも十分に透明性が期待できます。

オンプレなどに権威 DNS サーバー (BIND) をお持ちの方は、参考にしてみてください。