機能

Expressゾーンアクセラレーション

hidden masterから取得した権威DNSをメモリから配信 — マスターを公衆に晒さずに高速応答。

公開向けの権威DNSサーバーは常に標的となります: クエリフラッド、増幅攻撃、バージョン開示、構成の頻繁な変更。TR7 GTM Expressゾーンアクセラレーションは、マスターDNSサーバーを公衆経路から分離し、AXFR/IXFR経由でマスターをミラーする高速ローカルキャッシュからDNS応答を配信します。 ExpressとマークされたドメインはTR7上で直接編集されません — TR7は1つ以上の上流マスターサーバーのスレーブとして動作し、初回同期で完全ゾーンをAXFRで取得し、増分IXFR更新に従い、マスターが変更を通知するとNOTIFYで更新します。レコードはプロセスメモリに保持され、クエリはディスクやマスターを経由せずに応答されます。 DCごとのExpressプロファイルにより、異なるデータセンターが異なるマスターを指せます。同一のTR7群上で分割マスターアーキテクチャ(地域マスター、ホットスタンバイマスター、署名マスター)をサポートします。識別子パターンはドメインをExpressプロファイルに自動マッピングし — 運用者は手動でドメインごとに照合しません。 結果として、クエリ量を回線速度に近い速度で吸収し、権威マスターを不可視に保ち、標準ベースのゾーン転送でマスターと同期し続ける、堅牢な公開DNSエッジが得られます。

メモリ
ゾーン配信 — ディスクとマスターはクエリ経路上にない
AXFR + IXFR + NOTIFY
標準ゾーン転送パイプライン
マルチマスター
自動フェイルオーバーを伴うプロファイルごとのマスターリスト
DCごと
プロファイル割り当て — 異なるDC、異なるマスター

単一プライマリサーバーから公開される権威DNSは単一の脆弱性ポイントです。

多くの企業はDNSを2つの最適でない形のいずれかで運用しています。マスターDNSサーバーが公開向けの権威サーバーである場合(バージョンバナー、設定ファイル、公衆インターネットに置くべきでない攻撃面を晒す)、あるいはマスターが手作りのセカンダリリストの背後に置かれ、最新状態を維持することも、スケーリングすることも、監査することも困難です。

どちらの形もマスターサーバーのCPUに生のパブリッククエリへの応答を担わせます。ボリューム攻撃下ではマスターが飽和し、急激な成長下ではマスターは水平にスケールできず、変更圧力下では運用者は手動でスレーブ更新を調整しなければなりません。これらの障害モードはチームが最も対応しづらいインシデント中に発生します。

正しいアーキテクチャはhidden master / serving slaveパターンです: マスターはセキュアゾーン内で動作し、認可されたスレーブからのAXFR/IXFR要求を受け付けて変更時にNOTIFYメッセージをブロードキャストし、公開向けの配信ノードがスケジュールに従ってゾーンを取得し、メモリに保持し、マスターに問い合わせずにクエリに応答します。

TR7 GTM Expressゾーンアクセラレーションはこのパターンをネイティブに実装します: ドメインごとのExpressプロファイル、マルチマスターサポート、DCごとのプロファイル選択、NOTIFY駆動の更新、インメモリ配信。

当社のアプローチ

Expressモードはドメインレベルで動作します — 選択されたゾーンは運用者定義のマスターサーバーからAXFRで取得され、TR7プロセスメモリに保持され、NOTIFY駆動の増分更新でキャッシュが最新に保たれます。

hidden master、serving slaveアーキテクチャ

権威マスターDNSサーバーは決して直接公衆トラフィックに晒されません。TR7はマスターの前面に立ち、クエリ量を吸収し、マスターを攻撃面、バージョン開示、運用圧力から分離します。

AXFR / IXFR / NOTIFYネイティブパイプライン

初回同期AXFRが完全ゾーンを取得し、後続の更新は増分IXFRを使用します。マスター側のNOTIFYメッセージが即時更新をトリガー — 運用者はレコード変更が反映されるのに次のポーリング間隔を待ちません。

プロファイルごとのマルチマスターサポート

Expressプロファイルは複数のマスターアドレス(IP+ポート)をリストします。TR7はマスターを自動的にサイクルまたはフェールバックします。運用者はホットスタンバイマスターや個別の地域マスターを運用し、TR7にフェイルオーバーを任せます。

識別子パターンがドメインをExpressプロファイルにマッチング

Expressプロファイルの識別子パターン(正規表現またはワイルドカード)がドメインを正しいマスターセットに自動的に関連付けます。運用者は手動でドメインごとにバインドせず、パターンにマッチする新しいドメインはプロファイル下に入ります。

機能

Expressゾーンアクセラレーションは、hidden master serving slaveアーキテクチャをTR7 GTMデータプレーンに持ち込み、ネイティブAXFR/IXFR/NOTIFYサポートとDCごとのプロファイル柔軟性を提供します。

ドメインごとのExpressオプトイン

TR7 GTMの各DNSドメインは、Expressモードで動作するか直接編集モードで動作するかを独立して選択できます。同じ群上で混合モード動作が完全にサポートされます — 一部のゾーンはAXFRでマスターから供給され、他のゾーンはTR7のレコード管理UIを通じて直接編集されます。

プロファイルごとのマルチマスターアドレスリスト

Expressプロファイルはマスターアドレスの配列を保持します — エントリごとにIPとポート。TR7はAXFR/IXFRを順番に各マスターに試行し、マスターが到達不能な場合は自動フェイルオーバーを提供します。運用者は1つのプロファイルの背後でホットスタンバイマスターペアや地理的に分散したマスター群を運用します。

DCごとのExpressプロファイル割り当て

異なるTR7データセンターは、同じドメインに対して異なるExpressプロファイルをサブスクライブできます。地域マスターアーキテクチャ、署名マスター分離、読み取り専用エッジマスターはすべてドメイン設定をフォークすることなく表現可能です。

識別子パターンによる自動バインディング

各Expressプロファイルは識別子パターンを定義します。パターンにマッチするドメインは自動的にプロファイルを継承し、手動のドメインごとのバインド操作を不要にします。パターンにマッチするマスターに追加された新しいドメインは運用者のアクションなしに取り込まれます。

クエリ経路のインメモリゾーン配信

同期後、ゾーンレコードはプロセスメモリに保持され、ディスク経由、データベースルックアップ、上流マスタークエリなしに応答されます。クエリ経路は負荷下でのテールレイテンシ一貫性に最適化されています。

NOTIFY駆動の増分更新

上流マスターがゾーン変更を示すNOTIFYメッセージを送信すると、TR7は即座にデルタを取得するIXFRを開始します。運用者はSOAリフレッシュタイマーの期限切れを待ちません — 伝搬は数秒オーダーのイベント駆動です。

運用者制御タイミングを伴うTCP上のAXFR/IXFR

ゾーン転送は標準DNSプロトコル上で発生します。リフレッシュ/リトライ/エクスパイア/最小TTL動作はSOAレコード値に従い、Expressプロファイルごとに運用者がオーバーライドできます。帯域認識スケジューリングにより大規模群における転送嵐を回避します。

レコードレベル変換用のAXFRストリームフィルター

高度なLuaフィルターは、受信AXFRストリームに対して実行され、レコードがローカルゾーンコピーにコミットされる前に変換します。ユースケース: 公開配信前に内部レコードをサニタイズ、地域別置換ルールの適用、実験的レコードタイプの除去。

Express認識フェイルオーバーを伴うDRモード

災害復旧モードでは、ExpressモードゾーンはフェイルオーバーでI正しく動作します: DCのマスターが到達不能になると、TR7はバックアップマスターにフェールバックし、最も最近同期されたレコードを配信し続けます — マスターがオフラインなため空の応答を返すことはありません。

同期状態の可視性

運用者はゾーンごとの同期状態を確認できます: 最後の成功したAXFR/IXFR時刻、現在のSOAシリアル、NOTIFY到着タイムスタンプ、同期エラー。TR7のローカルコピーとマスター間のドリフトは本番インシデントを引き起こす前に表面化されます。

運用の深さ

Expressモードはマスター選択、SOA駆動のリフレッシュタイマー、NOTIFYリスナー構成、AXFRストリームフィルター、DRフォールバック動作と共に運用されます。

01

マスター選択とフェイルオーバー

TR7は構成された順序でマスターアドレスを試行します。AXFR失敗時には次のマスターが自動的に試されます。マスターエンドポイントのヘルスはTR7 GTMヘルスチェックインフラとペアリングでき、健全でないマスターはリトライペナルティなしにスキップされます。

02

リフレッシュ、リトライ、エクスパイア、最小TTL

ゾーンのSOAレコードはデフォルトのリフレッシュ、リトライ、エクスパイア、最小TTLセマンティクスを提供します。マスター側SOA値が配信インフラに不適切な場合、運用者はExpressプロファイルごとにこれらをオーバーライドします(例: マスターSOAリフレッシュが4時間だが配信インフラには5分のリフレッシュが必要)。

03

NOTIFYリスナーとソースIP

TR7はマスターからのNOTIFYメッセージをリッスンします。ソースIPフィルターにより、登録されたマスターアドレスのみが計画外更新をトリガーできることを保証します。認可されていないNOTIFY試行はセキュリティレビュー用に記録されます。

04

AXFRストリームフィルター実行

Luaベースのストリームフィルターは入力AXFRレコードに対してインプロセスで実行されます。フィルタースクリプトはコミット前にレコードを書き換え、ドロップ、注釈付けできます。状態は同期間で永続化されます(例: 変更検出のための前のレコード内容)。

05

DCごとのプロファイル割り当て動作

異なるDCが同じドメインに対して異なるExpressプロファイルを持つ場合、各DCは独立して割り当てられたマスターから取得します。DC間のドリフトは想定され追跡されます。運用者はドリフトをアラートするか設計意図として扱うかを選択します。

06

災害復旧の調整

DRモードでは、ExpressゾーンはフェイルオーバーI判断に寄与します。DRシナリオはマスター到達性を条件として使用できます。ローカルDCのマスターが到達不能な場合、DRシナリオはマスターがまだ配信しているバックアップDCにトラフィックを向けることがあります。

使用場面

hidden master、公開エッジ配信

マスターDNSサーバーはプライベートセキュリティゾーン内で動作し、決して直接晒されません。TR7 GTMノードは公開向けのスレーブとして機能し、すべてのクエリトラフィックを吸収し、マスターをインターネット攻撃面から分離します。

地域Expressプロファイルを伴うマルチ地域マスター

各地域(EU、米国、APAC)は独自のマスターDNSサーバーを運用します。各地域のTR7 GTMノードはローカルマスターを指す地域Expressプロファイルを使用し、転送レイテンシと地域間帯域を最小化します。

DDoS耐性のある権威DNS

TR7のインメモリゾーン配信は、従来のデータベース基盤マスターを飽和させるクエリフラッドを吸収します。マスターは攻撃トラフィックを決して見ず、TR7のクエリ経路は独立してスケールします。

数秒でのゾーン変更伝搬

マスター運用者がレコードを編集します。マスターがTR7群にNOTIFYを送信します。TR7は即座にIXFRを開始します。新しいレコードは数秒以内にメモリから配信されます — TR7側での運用者アクションなしに。

よくある質問

ExpressモードはF5 DNS Expressとどう違いますか?
機能的には両者は同じアーキテクチャで同じ問題を解決します: AXFR/IXFR/NOTIFY経由でhidden upstreamマスターからゾーンを取得し、メモリから配信します。TR7 ExpressはDCごとのプロファイル割り当て、識別子パターンによるドメイン自動バインディング、LuaベースのAXFRストリームフィルターを追加します — すべてスクリプティングではなく運用者にやさしい設定面です。
Expressと直接編集ゾーンを同じTR7群で運用できますか?
はい。Expressはドメインごとです。一部のドメインはExpressモード(AXFR経由でマスターから供給)、他はTR7レコード管理UIを通じて直接編集できます。群は同じクエリ経路から両モードを配信します。
マスターサーバーが到達不能な場合はどうなりますか?
TR7はゾーンの最も最近同期されたコピーを配信し続けます。クエリ経路はマスター可用性に依存しません。マスターが再び到達可能になると、TR7は増分IXFR取得を再開し、ローカルコピーを最新化します。災害復旧シナリオでは、マスターの到達不能性がバックアップDCへのDRフェイルオーバーをトリガーすることもあります。
ExpressゾーンでDNSSECはサポートされますか?
はい。DNSSECレコード(DNSKEY、DS、NSEC、NSEC3、RRSIG、CDS、CDNSKEY)はAXFR/IXFR経由で転送され、ゾーンの他の部分と共に配信されます。TR7はExpressゾーンを再署名する必要はありません — 署名はマスター上で行われ、署名済みレコードは転送パイプラインを通じて伝搬されます。
AXFRストリームフィルターはどう動作しますか?
高度なLuaフィルターが入力AXFRストリームに対して実行されます。各レコードはローカルゾーンコピーにコミットされる前にフィルターを通過します。フィルタースクリプトはコンテンツを書き換え、レコードをドロップ、メタデータを注釈付けできます。一般的な用途: 公開配信前の内部専用レコードの除去、地域別置換ルールの適用、疑わしい上流変更の検出。
NOTIFY駆動の更新はどれくらい速く伝搬しますか?
マスターがNOTIFYを送信 → TR7はネットワーク伝搬のミリ秒以内に受信 → TR7はIXFRを開始 → マスターがデルタで応答 → レコードがメモリで更新されます。単一レコード変更のエンドツーエンド伝搬は通常数秒で、ラウンドトリップ時間とマスターIXFR生成速度のみに依存します。

マスターを隠す。メモリから配信する。

Expressゾーンアクセラレーションをライブでご覧ください: セキュアゾーン内の権威マスター、公開エッジのTR7ノード、数秒で伝搬するゾーン変更。