JP5180146B2 - DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program - Google Patents

DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program Download PDF

Info

Publication number
JP5180146B2
JP5180146B2 JP2009126850A JP2009126850A JP5180146B2 JP 5180146 B2 JP5180146 B2 JP 5180146B2 JP 2009126850 A JP2009126850 A JP 2009126850A JP 2009126850 A JP2009126850 A JP 2009126850A JP 5180146 B2 JP5180146 B2 JP 5180146B2
Authority
JP
Japan
Prior art keywords
dns
forwarder
query response
dns query
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2009126850A
Other languages
Japanese (ja)
Other versions
JP2010278559A (en
Inventor
祐一 島村
泰輔 若杉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2009126850A priority Critical patent/JP5180146B2/en
Publication of JP2010278559A publication Critical patent/JP2010278559A/en
Application granted granted Critical
Publication of JP5180146B2 publication Critical patent/JP5180146B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Description

本発明は、ＤＮＳメッセージ回送装置、ＤＮＳメッセージ回送システム、ＤＮＳメッセージ回送方法およびＤＮＳメッセージ回送プログラムに関する。   The present invention relates to a DNS message forwarding apparatus, a DNS message forwarding system, a DNS message forwarding method, and a DNS message forwarding program.

近年、人間が理解しやすい文字列（ドメイン名）と実際の通信に使用する数字列（ＩＰアドレス）とを対応付けるＤＮＳ（Domain Name System、非特許文献１〜３参照）が広く利用されている。このＤＮＳによって、一般ユーザは、ドメイン名を指定することにより所望の通信相手との通信が可能となっている。   In recent years, DNS (Domain Name System, see Non-Patent Documents 1 to 3) that associates a character string (domain name) that is easy for humans to understand with a numeric string (IP address) used for actual communication has been widely used. With this DNS, a general user can communicate with a desired communication partner by specifying a domain name.

上記のＤＮＳは、ドメイン名の最後尾に配置されるトップレベルドメインを管理する各ＤＮＳ権威サーバ装置のＩＰアドレスを管理しているルートＤＮＳ権威サーバ装置を頂点として、下位レベルドメインを管理する複数のＤＮＳ権威サーバ装置をネットワーク上に階層的に配置した構成を有する。このようにして、ＤＮＳは、ドメイン名とＩＰアドレスの対応関係を各ＤＮＳ権威サーバで分散管理する。   The above DNS has a plurality of lower level domains managed with the root DNS authoritative server device managing the IP address of each DNS authoritative server device managing the top level domain arranged at the end of the domain name as a vertex. It has a configuration in which DNS authoritative server devices are arranged hierarchically on a network. In this way, the DNS manages the correspondence between domain names and IP addresses in a distributed manner by each DNS authority server.

そして、一般ユーザ等のＤＮＳクライアント装置からドメイン名に対応するＩＰアドレスの問合せ（名前解決要求：ＤＮＳクエリ要求）が送信されると、ＤＮＳ権威サーバ装置は、ドメイン名に対応するＩＰアドレスを検索して、検索結果をＤＮＳクエリ応答としてＤＮＳクライアント装置に応答する。   When a DNS client device such as a general user sends an IP address query (name resolution request: DNS query request) corresponding to the domain name, the DNS authoritative server device searches for the IP address corresponding to the domain name. The search result is returned to the DNS client device as a DNS query response.

ところで、上記のＤＮＳでは、分散配備されているＤＮＳ権威サーバ装置との連携、それから、名前解決要求（ＤＮＳクエリ要求）への応答に要するＤＮＳ権威サーバ装置やネットワークの負荷を低減させることを目的として、ＤＮＳクライアント装置とＤＮＳ権威サーバ装置との間に、一度検索したドメイン名とＩＰアドレスとの対応付けを一定期間記憶するＤＮＳキャッシュサーバ装置を設ける技術がある。   By the way, in the above-mentioned DNS, for the purpose of reducing the load on the DNS authoritative server device and the network required for cooperation with the DNS authoritative server devices distributed and then responding to the name resolution request (DNS query request). There is a technique in which a DNS cache server device is provided between a DNS client device and a DNS authoritative server device for storing a correspondence between a domain name and an IP address once retrieved for a certain period.

ＤＮＳキャッシュサーバ装置は、ＤＮＳクライアント装置からＤＮＳクエリ要求を受信すると、受信したＤＮＳクエリ要求に含まれるドメイン名に対応したＩＰアドレスがキャッシュされているか否かを判定し、キャッシュされていない場合には、ＤＮＳ権威サーバ装置との間でＤＮＳメッセージをやり取りすることで再帰的に名前解決を行う。   When receiving the DNS query request from the DNS client device, the DNS cache server device determines whether or not the IP address corresponding to the domain name included in the received DNS query request is cached. Name resolution is recursively performed by exchanging DNS messages with the DNS authoritative server device.

そして、ＤＮＳキャッシュサーバ装置は、ＤＮＳ権威サーバ装置から受信した最終的なＤＮＳクエリ応答が有するヘッダ部に、権威のある応答であることを示す「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されている場合には、権威のある応答として、ＤＮＳクエリ応答の内容（ドメイン名とＩＰアドレスとの対応付け）をキャッシュするとともに、最終的な検索結果をＤＮＳクライアント装置に応答する。ここで、「（１）」はＡＡ−ｂｉｔに「１」が設定されている状態を表し、「（０）」はＡＡ−ｂｉｔに「０」が設定されている状態を表す。   In the DNS cache server device, “AA-bit = ON (1)” indicating that the response is an authoritative response is set in the header part of the final DNS query response received from the DNS authoritative server device. If there is, the content of the DNS query response (correspondence between the domain name and the IP address) is cached as an authoritative response, and the final search result is returned to the DNS client device. Here, “(1)” represents a state in which “1” is set in AA-bit, and “(0)” represents a state in which “0” is set in AA-bit.

ここで、図１２を参照しつつ、ＤＮＳキャッシュサーバ装置を有するＤＮＳの動作について具体的に説明する。図１２は、従来技術におけるＤＮＳキャッシュサーバ装置を有するＤＮＳの動作を説明するためのシーケンス図である。図１２に示すように、ＤＮＳクライアント装置は、ＤＮＳキャッシュサーバ装置に対して名前解決要求（ＤＮＳクエリ要求）を送信する（ステップＳ０１）。   Here, the operation of the DNS having the DNS cache server device will be specifically described with reference to FIG. FIG. 12 is a sequence diagram for explaining the operation of the DNS having the DNS cache server device in the prior art. As shown in FIG. 12, the DNS client device transmits a name resolution request (DNS query request) to the DNS cache server device (step S01).

ＤＮＳキャッシュサーバ装置は、ＤＮＳクライアント装置からＤＮＳクエリ要求を受信すると、対応するＤＮＳクエリ応答の内容がキャッシュされているか否かを判定し、キャッシュされていない場合には（ステップＳ０２）、ＤＮＳクエリ要求をＤＮＳ権威サーバ装置に送信する（ステップＳ０３）。ＤＮＳ権威サーバ装置は、「ＡＡ−ｂｉｔ＝ＯＮ（１）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳキャッシュサーバ装置に送信する（ステップＳ０４）。   When receiving the DNS query request from the DNS client device, the DNS cache server device determines whether or not the content of the corresponding DNS query response is cached. If not (step S02), the DNS query request Is transmitted to the DNS authoritative server device (step S03). The DNS authoritative server device transmits a DNS query response in which “AA-bit = ON (1)” is set in the header portion to the DNS cache server device (step S04).

ＤＮＳキャッシュサーバ装置は、ＤＮＳ権威サーバ装置からＤＮＳクエリ応答を受信すると、ＤＮＳクエリ応答のヘッダ部に「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されているか否かを判定し、「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されている場合には、権威のある応答として、ＤＮＳクエリ応答の内容をキャッシュする（ステップＳ０５）。   When receiving the DNS query response from the DNS authoritative server device, the DNS cache server device determines whether “AA-bit = ON (1)” is set in the header part of the DNS query response, and “AA-bit” If "= ON (1)" is set, the contents of the DNS query response are cached as an authoritative response (step S05).

そして、ＤＮＳキャッシュサーバ装置は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳクライアント装置に送信する（ステップＳ０６）。   Then, the DNS cache server device transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header portion to the DNS client device (step S06).

また、ＤＮＳクライアント装置は、ＤＮＳキャッシュサーバ装置に対して、上述したステップＳ０１と同一のＤＮＳクエリ要求を送信する（ステップＳ０７）。ＤＮＳキャッシュサーバ装置は、ＤＮＳクライアント装置から受信したＤＮＳクエリに対応するキャッシュがあるか否かを判定し、キャッシュがある場合（キャッシュヒットした場合）には（ステップＳ０８）、ＤＮＳクエリをＤＮＳ権威サーバ装置に送信するまでもなく、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダに設定したＤＮＳクエリ応答をＤＮＳクライアント装置に送信する（ステップＳ０９）。   Further, the DNS client device transmits the same DNS query request as that in step S01 described above to the DNS cache server device (step S07). The DNS cache server device determines whether or not there is a cache corresponding to the DNS query received from the DNS client device. If there is a cache (cache hit) (step S08), the DNS query is sent to the DNS authoritative server. Needless to say, the DNS query response in which “AA-bit = OFF (0)” is set in the header is transmitted to the DNS client device (step S09).

このように、ＤＮＳキャッシュサーバ装置を適用することで、名前解決要求（ＤＮＳクエリ）への応答に要するＤＮＳ権威サーバ装置やネットワークの負荷を低減することができる。   In this way, by applying the DNS cache server device, it is possible to reduce the load on the DNS authoritative server device and the network required for the response to the name resolution request (DNS query).

さらに、セキュリティ向上の観点から、上述したＤＮＳキャッシュサーバ装置をＤＮＳ回送サーバ装置とＤＮＳフォワーダ装置とに分散し、インターネット等の外部のネットワークに存在するＤＮＳ権威サーバ装置との通信をＤＮＳフォワーダ装置に限定する技術も存在する。   Further, from the viewpoint of improving security, the above-described DNS cache server device is distributed to the DNS forwarding server device and the DNS forwarder device, and communication with the DNS authoritative server device existing in an external network such as the Internet is limited to the DNS forwarder device. There are also techniques to do this.

ここで、図１３を参照しつつ、ＤＮＳフォワーダ装置を有するＤＮＳの動作について具体的に説明する。図１３は、従来技術におけるＤＮＳフォワーダ装置を有するＤＮＳの動作を説明するためのシーケンス図である。図１３に示すように、ＤＮＳクライアント装置は、ＤＮＳ回送サーバ装置に対して、ＤＮＳクエリ要求を送信する（ステップＳ１１）。   Here, the operation of the DNS having the DNS forwarder apparatus will be specifically described with reference to FIG. FIG. 13 is a sequence diagram for explaining the operation of the DNS having the DNS forwarder device in the prior art. As shown in FIG. 13, the DNS client device transmits a DNS query request to the DNS forwarding server device (step S11).

ＤＮＳ回送サーバ装置は、ＤＮＳクライアント装置からＤＮＳクエリ要求を受信すると、対応するキャッシュがあるか否かを判定し、キャッシュが無い場合には（ステップＳ１２）、ＤＮＳクエリ要求をＤＮＳフォワーダ装置に送信する（ステップＳ１３）。   When receiving the DNS query request from the DNS client device, the DNS forwarding server device determines whether or not there is a corresponding cache, and if there is no cache (step S12), transmits the DNS query request to the DNS forwarder device. (Step S13).

ＤＮＳフォワーダ装置は、ＤＮＳ回送サーバ装置から受信したＤＮＳクエリ要求をＤＮＳ権威サーバ装置に送信する（ステップＳ１４）。ＤＮＳ権威サーバ装置は、「ＡＡ−ｂｉｔ＝ＯＮ（１）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳフォワーダ装置に送信する（ステップＳ１５）。   The DNS forwarder device transmits the DNS query request received from the DNS forwarding server device to the DNS authoritative server device (step S14). The DNS authoritative server device transmits a DNS query response in which “AA-bit = ON (1)” is set in the header portion to the DNS forwarder device (step S15).

ＤＮＳフォワーダ装置は、ＤＮＳ権威サーバ装置からＤＮＳクエリ応答を受信すると、ＤＮＳクエリ応答のヘッダ部に「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されているか否かを判定し、「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されている場合には、権威のある応答として、ＤＮＳクエリ応答の内容をキャッシュする（ステップＳ１６）。そして、ＤＮＳフォワーダ装置は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置に送信する（ステップＳ１７）。   When the DNS forwarder apparatus receives the DNS query response from the DNS authoritative server apparatus, the DNS forwarder apparatus determines whether “AA-bit = ON (1)” is set in the header part of the DNS query response, and “AA-bit = If "ON (1)" is set, the DNS query response content is cached as an authoritative response (step S16). Then, the DNS forwarder device transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header portion to the DNS forwarding server device (step S17).

ＤＮＳ回送サーバ装置は、ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信すると、ＤＮＳクエリ応答のヘッダ部のデータ判定を行い、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」が設定されている場合には、権威のない応答として、ＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ１８）、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのままＤＮＳクライアント装置に送信する（ステップＳ１９）。   When the DNS forwarding server apparatus receives the DNS query response from the DNS forwarder apparatus, the DNS forwarding server apparatus performs data determination of the header part of the DNS query response, and when “AA-bit = OFF (0)” is set, As a response, the DNS query response with “AA-bit = OFF (0)” set in the header portion is transmitted as it is to the DNS client device without caching the contents of the DNS query response (step S18) (step S19). ).

また、ＤＮＳクライアント装置は、ＤＮＳ回送サーバ装置に対して、上述したステップＳ１１と同一のＤＮＳクエリ要求を送信する（ステップＳ２０）。ＤＮＳ回送サーバ装置は、ＤＮＳクライアント装置からＤＮＳクエリ要求を受信すると、対応するキャッシュがあるか否かを判定するが、上記のステップＳ１８で説明したようにキャッシュは無いので（ステップＳ２１）、ＤＮＳクエリ要求をＤＮＳフォワーダ装置に送信する（ステップＳ２２）。   In addition, the DNS client device transmits the same DNS query request as that in Step S11 described above to the DNS forwarding server device (Step S20). When the DNS forwarding server apparatus receives the DNS query request from the DNS client apparatus, it determines whether or not there is a corresponding cache, but there is no cache as described in step S18 above (step S21). The request is transmitted to the DNS forwarder device (step S22).

ＤＮＳフォワーダ装置は、ＤＮＳ回送サーバ装置からＤＮＳクエリ要求を受信すると、対応するＤＮＳクエリ応答がキャッシュされているか否かを判定するが、上記のステップＳ１６で説明したようにキャッシュヒットするので（ステップＳ２３）、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置に送信する（ステップＳ２４）。   When the DNS forwarder apparatus receives the DNS query request from the DNS forwarding server apparatus, the DNS forwarder apparatus determines whether or not the corresponding DNS query response is cached, but the cache hit occurs as described in step S16 above (step S23). ), A DNS query response in which “AA-bit = OFF (0)” is set in the header is transmitted to the DNS forwarding server device (step S24).

ＤＮＳ回送サーバ装置は、ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信すると、ＤＮＳクエリ応答のヘッダ部のデータ判定を行うが、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」が設定されていないので、上述したステップＳ１８と同様に、権威のない応答として、ＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ２５）、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのままＤＮＳクライアント装置に送信する（ステップＳ２６）。   When the DNS forwarding server device receives the DNS query response from the DNS forwarder device, it performs data determination of the header part of the DNS query response, but “AA-bit = OFF (0)” is not set, so the above-described steps As in S18, the DNS query response in which “AA-bit = OFF (0)” is set in the header part is directly used as a DNS client without caching the DNS query response content as an unauthorized response (step S25). The data is transmitted to the device (step S26).

“DOMAIN NAMES - CONCEPTS AND FACILITIES (RFC1034)”、［online］、［平成２１年５月１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc1034.txt＞“DOMAIN NAMES-CONCEPTS AND FACILITIES (RFC1034)”, [online], [searched on May 1, 2009], Internet <URL: http://www.ietf.org/rfc/rfc1034.txt> “DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATION (RFC1035)”、［online］、［平成２１年５月１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc1035.txt＞“DOMAIN NAMES-IMPLEMENTATION AND SPECIFICATION (RFC1035)”, [online], [Search May 1, 2009], Internet <URL: http://www.ietf.org/rfc/rfc1035.txt> “Clarifications to the DNS Specification (RFC2181)”、［online］、［平成２１年５月１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc2181.txt＞“Clarifications to the DNS Specification (RFC2181)”, [online], [searched on May 1, 2009], Internet <URL: http://www.ietf.org/rfc/rfc2181.txt>

上述したＤＮＳフォワーダ装置を用いる技術（図１３参照）では、ＤＮＳクライアント装置からのＤＮＳクエリ要求に対して、必ず、ＤＮＳフォワーダ装置まで問い合わせを行うことになる。したがって、ＤＮＳキャッシュサーバ装置を用いる技術（図１２参照）に比べて、ＤＮＳ回送サーバ装置からＤＮＳフォワーダ装置へのＤＮＳクエリ要求、およびＤＮＳフォワーダ装置からＤＮＳ回送サーバ装置へのＤＮＳクエリ応答といった、より多くの処理が発生する。このため、ＤＮＳキャッシュサーバ装置を用いる技術（図１２参照）に比べて、ＣＰＵやメモリ等のリソース量がより多く必要となる。   In the technique using the DNS forwarder apparatus described above (see FIG. 13), an inquiry is always made to the DNS forwarder apparatus in response to the DNS query request from the DNS client apparatus. Therefore, compared to the technique using the DNS cache server device (see FIG. 12), there are more DNS query requests from the DNS forwarding server device to the DNS forwarder device, and DNS query responses from the DNS forwarder device to the DNS forwarding server device. Process occurs. For this reason, compared with the technique (refer FIG. 12) using a DNS cache server apparatus, more resources, such as CPU and a memory, are needed.

また、上述したＤＮＳフォワーダ装置を用いる技術では、ＤＮＳキャッシュサーバ装置を用いる技術に比べて、ＤＮＳ回送サーバ装置とＤＮＳフォワーダ装置との間の回線容量も必要となる。   Further, in the technology using the DNS forwarder device described above, the line capacity between the DNS forwarding server device and the DNS forwarder device is also required as compared with the technology using the DNS cache server device.

このように、上述したＤＮＳフォワーダ装置を用いる技術（図１３参照）は、セキュリティの向上を図る一方で、ＤＮＳキャッシュサーバ装置を用いる技術（図１２参照）に比べて、ＤＮＳクエリ要求を処理する場合のシステムの負荷が大きいという問題がある。   As described above, the technique using the DNS forwarder apparatus described above (see FIG. 13) improves the security, while processing the DNS query request as compared with the technique using the DNS cache server apparatus (see FIG. 12). There is a problem that the load on the system is large.

本発明は、上記に鑑みてなされたものであって、セキュリティの向上を図りつつ、ＤＮＳクエリ要求を処理する場合のシステムの負荷を軽減することが可能なＤＮＳメッセージ回送装置、ＤＮＳメッセージ回送システム、ＤＮＳメッセージ回送方法およびＤＮＳメッセージ回送プログラムを提供することを目的とする。   The present invention has been made in view of the above. A DNS message forwarding apparatus, a DNS message forwarding system, which can reduce the system load when processing a DNS query request while improving security. An object is to provide a DNS message forwarding method and a DNS message forwarding program.

上述した課題を解決し、目的を達成するために、本発明は、外部ネットワークを介してＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置とＤＮＳクライアント装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳ回送サーバ装置であって、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答をキャッシュするキャッシュ制御手段と、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御手段によってキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御手段とを備えたことを特徴とする。   In order to solve the above-described problems and achieve the object, the present invention forwards a DNS message exchanged between a DNS forwarder device and a DNS client device connected to a DNS authoritative server device via an external network. When the DNS forwarding server apparatus receives a DNS query response from the DNS forwarder apparatus, the cache control caches the DNS query response regardless of whether or not the received DNS query response is an authoritative response. And when a DNS query request is received from the DNS client device, a DNS query response corresponding to the received DNS query request is acquired from the DNS query response cached by the cache control unit, and the DNS query request is acquired. DNS client device that is the source of Characterized in that a query control means for transmitting to.

また、本発明は、ＤＮＳクライアント装置と、ＤＮＳ権威サーバ装置と、外部ネットワークを介して前記ＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置と、前記ＤＮＳクライアント装置とＤＮＳフォワーダ装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳメッセージ回送装置とを有するＤＮＳメッセージ回送システムであって、
前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答をキャッシュするキャッシュ制御手段と、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御手段によってキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御手段とを備えたことを特徴とする。 In addition, the present invention is exchanged between a DNS client device, a DNS authoritative server device, a DNS forwarder device connected to the DNS authoritative server device via an external network, and the DNS client device and the DNS forwarder device. A DNS message forwarding system comprising a DNS message forwarding device for forwarding a DNS message.
When the DNS message forwarding device receives a DNS query response from the DNS forwarder device, cache control means for caching the DNS query response regardless of whether the received DNS query response is an authoritative response When a DNS query request is received from the DNS client device, a DNS query response corresponding to the received DNS query request is acquired from the DNS query response cached by the cache control unit, and the DNS query request Query control means for transmitting to a DNS client device as a transmission source.

また、本発明は、外部ネットワークを介してＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置とＤＮＳクライアント装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳメッセージ回送装置に適用されるＤＮＳメッセージ回送方法であって、前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答を記憶部にキャッシュするキャッシュ制御ステップと、前記ＤＮＳメッセージ回送装置が、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御ステップによって前記記憶部にキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御ステップとを含んだことを特徴とする。   The present invention also provides a DNS message forwarding method applied to a DNS message forwarding device that forwards a DNS message exchanged between a DNS forwarder device and a DNS client device connected to a DNS authoritative server device via an external network. When the DNS message forwarding device receives a DNS query response from the DNS forwarder device, it stores the DNS query response regardless of whether the received DNS query response is an authoritative response. A cache control step of caching in a storage unit, and when the DNS message forwarding device receives a DNS query request from the DNS client device, a DNS query response corresponding to the received DNS query request is stored in the storage unit by the cache control step. In cash Has been acquired from the DNS query response is characterized by including a query control step of transmitting to the DNS client device which is the transmission source of the DNS query requests.

また、本発明は、ＤＮＳメッセージ回送プログラムが、上記方法に対応する処理をコンピュータに実行させることを特徴とする。   The present invention is also characterized in that a DNS message forwarding program causes a computer to execute processing corresponding to the above method.

本発明によれば、セキュリティの向上を図りつつ、ＤＮＳクエリ要求を処理する場合のシステムの負荷を軽減することが可能になるという効果を奏する。   According to the present invention, it is possible to reduce the load on the system when processing a DNS query request while improving security.

図１は、本実施例１に係るＤＮＳの概要および構成を説明するための図である。FIG. 1 is a diagram for explaining the outline and configuration of the DNS according to the first embodiment. 図２は、フォワード先リストの一例を示す図である。FIG. 2 is a diagram illustrating an example of the forward destination list. 図３は、本実施例１に係るＤＮＳの動作を説明するためのシーケンス図である。FIG. 3 is a sequence diagram for explaining the operation of the DNS according to the first embodiment. 図４は、本実施例２に係るＤＮＳの概要および構成を説明するための図である。FIG. 4 is a diagram for explaining the outline and configuration of the DNS according to the second embodiment. 図５は、信頼情報付フォワード先リストの一例を示す図である。FIG. 5 is a diagram illustrating an example of the forward destination list with trust information. 図６は、本実施例２に係るＤＮＳの動作を説明するためのシーケンス図（１）である。FIG. 6 is a sequence diagram (1) for explaining the operation of the DNS according to the second embodiment. 図７は、本実施例２に係るＤＮＳの動作を説明するためのシーケンス図（２）である。FIG. 7 is a sequence diagram (2) for explaining the operation of the DNS according to the second embodiment. 図８は、本実施例３に係るＤＮＳの概要および構成を説明するための図である。FIG. 8 is a diagram for explaining the outline and configuration of the DNS according to the third embodiment. 図９は、本実施例３に係るＤＮＳの動作を説明するためのシーケンス図（１）である。FIG. 9 is a sequence diagram (1) for explaining the operation of the DNS according to the third embodiment. 図１０は、本実施例３に係るＤＮＳの動作を説明するためのシーケンス図（２）である。FIG. 10 is a sequence diagram (2) for explaining the operation of the DNS according to the third embodiment. 図１１は、本実施例３に係るＤＮＳの動作を説明するためのシーケンス図（３）である。FIG. 11 is a sequence diagram (3) for explaining the operation of the DNS according to the third embodiment. 図１２は、従来技術におけるＤＮＳキャッシュサーバ装置を有するＤＮＳの動作を説明するためのシーケンス図である。FIG. 12 is a sequence diagram for explaining the operation of the DNS having the DNS cache server device in the prior art. 図１３は、従来技術におけるＤＮＳフォワーダ装置を有するＤＮＳの動作を説明するためのシーケンス図である。FIG. 13 is a sequence diagram for explaining the operation of the DNS having the DNS forwarder device in the prior art.

以下に、本発明に係るＤＮＳメッセージ回送装置、ＤＮＳメッセージ回送システム、ＤＮＳメッセージ回送方法およびＤＮＳメッセージ回送プログラムの実施例を図面に基づいて詳細に説明する。なお、以下に示す実施例では、ＤＮＳクライアント装置と、ＤＮＳ回送サーバ装置と、ＤＮＳフォワーダ装置と、ＤＮＳ権威サーバ装置とを有するＤＮＳに本発明を適用した場合について説明するが、ここで説明する実施例により本発明が限定されるものではない。   Embodiments of a DNS message forwarding apparatus, a DNS message forwarding system, a DNS message forwarding method, and a DNS message forwarding program according to the present invention will be described below in detail with reference to the drawings. In the embodiment described below, a case will be described in which the present invention is applied to a DNS having a DNS client device, a DNS forwarding server device, a DNS forwarder device, and a DNS authoritative server device. The present invention is not limited to the examples.

まず、図１を参照して、実施例１に係るＤＮＳの概要および構成について説明する。図１は、本実施例１に係るＤＮＳの概要および構成を説明するための図である。図１に示すように、本実施例１に係るＤＮＳは、ＤＮＳクライアント装置１０と、ＤＮＳ回送サーバ装置１００と、ＤＮＳフォワーダ装置２０と、ＤＮＳ権威サーバ装置３０とを有する。   First, with reference to FIG. 1, the outline | summary and structure of DNS which concern on Example 1 are demonstrated. FIG. 1 is a diagram for explaining the outline and configuration of the DNS according to the first embodiment. As illustrated in FIG. 1, the DNS according to the first embodiment includes a DNS client device 10, a DNS forwarding server device 100, a DNS forwarder device 20, and a DNS authoritative server device 30.

ＤＮＳ回送サーバ装置１００は、内部ＮＷ（内部ネットワーク）を介してＤＮＳフォワーダ装置２０およびＤＮＳクライアント装置１０に接続されている。ＤＮＳフォワーダ装置２０は、外部ＮＷ（外部ネットワーク）を介してＤＮＳ権威サーバ装置３０に接続されている。ここで、内部ＮＷは、例えば閉域網であり、外部ＮＷは、例えばインターネットである。また、図１では図示を省略しているが、外部ＮＷには複数のＤＮＳ権威サーバ装置３０が接続されており、外部ＮＷおよび内部ＮＷには複数のＤＮＳフォワーダ装置２０が接続されており、内部ＮＷには複数のＤＮＳクライアント装置１０が接続されている。   The DNS forwarding server device 100 is connected to the DNS forwarder device 20 and the DNS client device 10 via an internal NW (internal network). The DNS forwarder device 20 is connected to the DNS authoritative server device 30 via an external network (external network). Here, the internal NW is, for example, a closed network, and the external NW is, for example, the Internet. Although not shown in FIG. 1, a plurality of DNS authoritative server devices 30 are connected to the external NW, and a plurality of DNS forwarder devices 20 are connected to the external NW and the internal NW. A plurality of DNS client devices 10 are connected to the NW.

このように、ＤＮＳにおいて、外部ＮＷに接続されるサーバ装置をＤＮＳフォワーダ装置２０のみに限定することによって、内部ＮＷにおけるセキュリティを向上させることができる。   As described above, in the DNS, by limiting the server device connected to the external NW to the DNS forwarder device 20 alone, the security in the internal NW can be improved.

ＤＮＳクライアント装置１０は、一般ユーザが利用する端末装置である。具体的には、ＤＮＳクライアント装置１０は、一般ユーザによってドメイン名が入力された場合に、入力されたドメイン名に対応するＩＰアドレスを問い合わせるＤＮＳクエリ要求をＤＮＳ回送サーバ装置１００に送信する。また、ＤＮＳクライアント装置１０は、ＤＮＳ回送サーバ装置１００からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答に含まれているＩＰアドレスを用いて目的のサーバ装置と通信を行う。   The DNS client device 10 is a terminal device used by general users. Specifically, when a domain name is input by a general user, the DNS client apparatus 10 transmits a DNS query request for inquiring an IP address corresponding to the input domain name to the DNS forwarding server apparatus 100. When the DNS client apparatus 10 receives a DNS query response from the DNS forwarding server apparatus 100, the DNS client apparatus 10 communicates with the target server apparatus using the IP address included in the received DNS query response.

ＤＮＳ回送サーバ装置１００は、ＤＮＳクライアント装置１０とＤＮＳフォワーダ装置２０との間でＤＮＳメッセージを転送する。具体的には、ＤＮＳ回送サーバ装置１００は、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する。また、ＤＮＳ回送サーバ装置１００は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する。   The DNS forwarding server device 100 transfers a DNS message between the DNS client device 10 and the DNS forwarder device 20. Specifically, when the DNS forwarding server device 100 receives a DNS query request from the DNS client device 10, the DNS forwarding server device 100 transmits the received DNS query request to the DNS forwarder device 20. When the DNS forwarding server apparatus 100 receives a DNS query response from the DNS forwarder apparatus 20, the DNS forwarding server apparatus 100 transmits the received DNS query response to the DNS client apparatus 10.

ＤＮＳフォワーダ装置２０は、内部ＮＷと外部ＮＷとの間でやり取りされるＤＮＳメッセージを中継する。具体的には、ＤＮＳフォワーダ装置２０は、ＤＮＳ回送サーバ装置１００からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求をＤＮＳ権威サーバ装置３０に送信する。また、ＤＮＳフォワーダ装置２０は、ＤＮＳ権威サーバ装置３０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答をＤＮＳ回送サーバ装置１００に送信する。   The DNS forwarder device 20 relays a DNS message exchanged between the internal NW and the external NW. Specifically, when the DNS forwarder apparatus 20 receives a DNS query request from the DNS forwarding server apparatus 100, the DNS forwarder apparatus 20 transmits the received DNS query request to the DNS authority server apparatus 30. When the DNS forwarder device 20 receives a DNS query response from the DNS authoritative server device 30, the DNS forwarder device 20 transmits the received DNS query response to the DNS forwarding server device 100.

ＤＮＳ権威サーバ装置３０は、ドメイン名とＩＰアドレスとの対応関係を管理するとともに、ドメイン名をＩＰアドレスに変換する名前解決を行う。具体的には、ＤＮＳ権威サーバ装置３０は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に含まれるドメイン名に対応するＩＰアドレスを特定する。そして、ＤＮＳ権威サーバ装置３０は、特定したＩＰアドレスを含めたＤＮＳクエリ応答をＤＮＳフォワーダ装置２０に送信する。   The DNS authoritative server device 30 manages the correspondence between domain names and IP addresses, and performs name resolution for converting domain names into IP addresses. Specifically, when the DNS authoritative server device 30 receives a DNS query request from the DNS forwarder device 20, the DNS authoritative server device 30 specifies an IP address corresponding to the domain name included in the received DNS query request. Then, the DNS authority server device 30 transmits a DNS query response including the specified IP address to the DNS forwarder device 20.

すなわち、ＤＮＳクライアント装置１０から送信されたＤＮＳクエリ要求は、ＤＮＳ回送サーバ装置１００によってＤＮＳフォワーダ装置２０に回送され、その後、ＤＮＳフォワーダ装置２０によってＤＮＳ権威サーバ装置３０に転送される。一方、ＤＮＳ権威サーバ装置３０から送信されたＤＮＳクエリ応答は、ＤＮＳフォワーダ装置２０によってＤＮＳ回送サーバ装置１００に転送され、その後、ＤＮＳ回送サーバ装置１００によってＤＮＳクライアント装置１０に転送される。   That is, the DNS query request transmitted from the DNS client device 10 is forwarded to the DNS forwarder device 20 by the DNS forwarding server device 100 and then transferred to the DNS authoritative server device 30 by the DNS forwarder device 20. On the other hand, the DNS query response transmitted from the DNS authoritative server device 30 is transferred to the DNS forwarding server device 100 by the DNS forwarder device 20, and then transferred to the DNS client device 10 by the DNS forwarding server device 100.

このような構成のもと、本実施例１に係るＤＮＳでは、ＤＮＳ回送サーバ装置１００が、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、そのＤＮＳクエリ応答をキャッシュする。そして、ＤＮＳ回送サーバ装置１００は、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答をキャッシュされたＤＮＳクエリ応答の中から取得して、ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置１０に送信する。   Under such a configuration, in the DNS according to the first embodiment, when the DNS forwarding server device 100 receives a DNS query response from the DNS forwarder device 20, the received DNS query response is an authoritative response. Or not, the DNS query response is cached. When the DNS forwarding server device 100 receives a DNS query request from the DNS client device 10, the DNS forwarding server device 100 acquires a DNS query response corresponding to the received DNS query request from the cached DNS query response, and It is transmitted to the DNS client device 10 that is the transmission source of the request.

これにより、本実施例１では、ＤＮＳ権威サーバ装置３０から送信されたＤＮＳクエリ応答の内容がＤＮＳ回送サーバ装置１００にもキャッシュされるようになるので、内部ＮＷ全体でのキャッシュヒット率が向上する。そのため、ＤＮＳ回送サーバ装置１００からＤＮＳフォワーダ装置２０への問い合わせが減ることになるので、セキュリティの向上を図りつつ、ＤＮＳクエリ要求を処理する場合のシステムの負荷を軽減することが可能になる。以下では、かかるＤＮＳ回送サーバ装置１００の機能について具体的に説明する。   Thus, in the first embodiment, the contents of the DNS query response transmitted from the DNS authoritative server device 30 are also cached in the DNS forwarding server device 100, so that the cache hit rate in the entire internal NW is improved. . As a result, inquiries from the DNS forwarding server device 100 to the DNS forwarder device 20 are reduced, and it is possible to reduce the load on the system when processing a DNS query request while improving security. Below, the function of this DNS forwarding server apparatus 100 is demonstrated concretely.

次に、図１を参照して、ＤＮＳ回送サーバ装置１００の構成について説明する。図１に示すように、ＤＮＳ回送サーバ装置１００は、通信制御ＩＦ部１１０と、記憶部１２０と、キャッシュデータ部１３０と、制御部１４０とを有する。   Next, the configuration of the DNS forwarding server apparatus 100 will be described with reference to FIG. As illustrated in FIG. 1, the DNS forwarding server device 100 includes a communication control IF unit 110, a storage unit 120, a cache data unit 130, and a control unit 140.

通信制御ＩＦ部１１０は、内部ＮＷを介してやり取りされるＤＮＳメッセージの送受信を制御する。具体的には、通信制御ＩＦ部１１０は、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信し、ＤＮＳフォワーダ装置２０にＤＮＳクエリ要求を送信する。また、通信制御ＩＦ部１１０は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信し、ＤＮＳクライアント装置１０にＤＮＳクエリ応答を送信する。   The communication control IF unit 110 controls transmission / reception of DNS messages exchanged via the internal NW. Specifically, the communication control IF unit 110 receives the DNS query request from the DNS client device 10 and transmits the DNS query request to the DNS forwarder device 20. Further, the communication control IF unit 110 receives the DNS query response from the DNS forwarder device 20 and transmits the DNS query response to the DNS client device 10.

図１の説明にもどって、記憶部１２０は、制御部１４０によって実行される処理に必要な各種情報を記憶する。この記憶部１２０は、特に、フォワード先リスト１２１を記憶する。図２は、フォワード先リスト１２１の一例を示す図である。図２に示すように、具体的には、記憶部１２０は、ＤＮＳクエリ要求の転送先となるＤＮＳフォワーダ装置２０のＩＰアドレスを列挙したデータをフォワード先リスト１２１として記憶する。   Returning to the description of FIG. 1, the storage unit 120 stores various types of information necessary for processing executed by the control unit 140. In particular, the storage unit 120 stores a forward destination list 121. FIG. 2 is a diagram illustrating an example of the forward destination list 121. As shown in FIG. 2, specifically, the storage unit 120 stores, as the forward destination list 121, data that lists the IP addresses of the DNS forwarder devices 20 that are DNS query request transfer destinations.

キャッシュデータ部１３０は、ＤＮＳフォワーダ装置２０を介してＤＮＳ権威サーバ装置３０から送信されたＤＮＳクエリ応答の内容を記憶する。具体的には、キャッシュデータ部１３０は、キャッシュＤＢ１３１を有しており、ＤＮＳフォワーダ装置２０を介してＤＮＳ権威サーバ装置３０から送信されたＤＮＳクエリ応答の内容をキャッシュＤＢ１３１に記憶させる。なお、ここでいうＤＮＳクエリ応答の内容には、ドメイン名とＩＰアドレスとを対応付けた情報が含まれている。   The cache data unit 130 stores the contents of the DNS query response transmitted from the DNS authoritative server device 30 via the DNS forwarder device 20. Specifically, the cache data unit 130 has a cache DB 131 and stores the contents of the DNS query response transmitted from the DNS authority server device 30 via the DNS forwarder device 20 in the cache DB 131. The contents of the DNS query response here include information in which domain names and IP addresses are associated with each other.

制御部１４０は、ＤＮＳ回送サーバ装置１００全体を制御する。この制御部１４０は、特に、クエリ制御部１４１と、キャッシュ制御部１４２とを有する。   The control unit 140 controls the entire DNS forwarding server device 100. In particular, the control unit 140 includes a query control unit 141 and a cache control unit 142.

クエリ制御部１４１は、ＤＮＳクライアント装置１０およびＤＮＳフォワーダ装置２０との間でやり取りされるＤＮＳメッセージの転送を制御する。   The query control unit 141 controls the transfer of DNS messages exchanged between the DNS client device 10 and the DNS forwarder device 20.

具体的には、クエリ制御部１４１は、通信制御ＩＦ部１１０を介してＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答がキャッシュＤＢ１３１にキャッシュされているか否かを確認する。ここで、対応するＤＮＳクエリ応答がキャッシュされていなかった場合には、クエリ制御部１４１は、フォワード先リスト１２１に設定されているＩＰアドレスに基づいて、受信したＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する。一方、対応するＤＮＳクエリ応答がキャッシュされていた場合には、クエリ制御部１４１は、そのクエリ応答をキャッシュＤＢ１３１から取得し、取得したクエリ応答をＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置１０に送信する。なお、かかるクエリ制御部１４１によって行われる処理については、後にさらに具体的に説明する。   Specifically, when the query control unit 141 receives a DNS query request via the communication control IF unit 110, the query control unit 141 determines whether or not a DNS query response corresponding to the received DNS query request is cached in the cache DB 131. Check. If the corresponding DNS query response is not cached, the query control unit 141 sends the received DNS query request to the DNS forwarder device 20 based on the IP address set in the forward destination list 121. Send. On the other hand, if the corresponding DNS query response has been cached, the query control unit 141 acquires the query response from the cache DB 131 and sends the acquired query response to the DNS client device 10 that is the transmission source of the DNS query request. Send. The processing performed by the query control unit 141 will be described more specifically later.

キャッシュ制御部１４２は、ＤＮＳフォワーダ装置２０を介してＤＮＳ権威サーバ装置３０から送信されるＤＮＳクエリ応答のキャッシュを制御する。   The cache control unit 142 controls caching of a DNS query response transmitted from the DNS authoritative server device 30 via the DNS forwarder device 20.

具体的には、キャッシュ制御部１４２は、通信制御ＩＦ部１１０を介してＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、そのＤＮＳクエリ応答の内容をキャッシュＤＢ１３１にキャッシュする。なお、かかるキャッシュ制御部１４２によって行われる処理については、後にさらに具体的に説明する。   Specifically, when the cache control unit 142 receives a DNS query response via the communication control IF unit 110, the DNS query response is sent regardless of whether the received DNS query response is an authoritative response. The contents of the response are cached in the cache DB 131. The processing performed by the cache control unit 142 will be described more specifically later.

次に、図３を参照して、本実施例１に係るＤＮＳの動作について説明する。図３は、本実施例１に係るＤＮＳの動作を説明するためのシーケンス図である。図３に示すように、本実施例１に係るＤＮＳでは、ＤＮＳクライアント装置１０が、ＤＮＳ回送サーバ装置１００にＤＮＳクエリ要求を送信する（ステップＳ１０１）。   Next, the operation of the DNS according to the first embodiment will be described with reference to FIG. FIG. 3 is a sequence diagram for explaining the operation of the DNS according to the first embodiment. As shown in FIG. 3, in the DNS according to the first embodiment, the DNS client apparatus 10 transmits a DNS query request to the DNS forwarding server apparatus 100 (step S101).

ＤＮＳ回送サーバ装置１００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。そして、キャッシュが無い場合には（ステップＳ１０２）、クエリ制御部１４１は、受信したＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する（ステップＳ１０３）。   In the DNS forwarding server device 100, when the query control unit 141 receives a DNS query request from the DNS client device 10, the cache DB 131 is referenced to determine whether there is a DNS query response cache corresponding to the received DNS query request. Determine. When there is no cache (step S102), the query control unit 141 transmits the received DNS query request to the DNS forwarder device 20 (step S103).

ＤＮＳフォワーダ装置２０は、ＤＮＳ回送サーバ装置１００からＤＮＳクエリ要求を受信すると、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。そして、キャッシュが無い場合には（ステップＳ１０４）、ＤＮＳフォワーダ装置２０は、受信したＤＮＳクエリ要求をＤＮＳ権威サーバ装置３０に送信する（ステップＳ１０５）。   When receiving the DNS query request from the DNS forwarding server device 100, the DNS forwarder device 20 determines whether there is a DNS query response cache corresponding to the received DNS query request. If there is no cache (step S104), the DNS forwarder device 20 transmits the received DNS query request to the DNS authority server device 30 (step S105).

ＤＮＳ権威サーバ装置３０は、「ＡＡ−ｂｉｔ＝ＯＮ（１）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳフォワーダ装置２０に送信する（ステップＳ１０６）。   The DNS authoritative server device 30 transmits a DNS query response in which “AA-bit = ON (1)” is set in the header portion to the DNS forwarder device 20 (step S106).

ＤＮＳフォワーダ装置２０は、ＤＮＳ権威サーバ装置３０からＤＮＳクエリ応答を受信すると、ＤＮＳクエリ応答のヘッダ部に「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されているか否かを判定し、「ＡＡ−ｂｉｔ＝ＯＮ（１）」が設定されている場合には、権威のある応答として、ＤＮＳクエリ応答の内容をキャッシュする（ステップＳ１０７）。そして、ＤＮＳフォワーダ装置２０は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置１００に送信する（ステップＳ１０８）。   When receiving the DNS query response from the DNS authoritative server device 30, the DNS forwarder device 20 determines whether or not “AA-bit = ON (1)” is set in the header portion of the DNS query response, and “AA− If “bit = ON (1)” is set, the DNS query response content is cached as an authoritative response (step S107). Then, the DNS forwarder device 20 transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header portion to the DNS forwarding server device 100 (step S108).

ＤＮＳ回送サーバ装置１００では、キャッシュ制御部１４２が、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信すると、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、すなわち、受信したＤＮＳクエリ応答のヘッダ部に設定されている「ＡＡ−ｂｉｔ」の値にかかわらず、そのＤＮＳクエリ応答の内容をキャッシュＤＢ１３１にキャッシュする（ステップＳ１０９）。そして、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ１１０）。   In the DNS forwarding server device 100, when the cache control unit 142 receives a DNS query response from the DNS forwarder device 20, regardless of whether or not the received DNS query response is an authoritative response, that is, the received DNS query Regardless of the value of “AA-bit” set in the response header, the contents of the DNS query response are cached in the cache DB 131 (step S109). And the query control part 141 transmits the DNS query response which set "AA-bit = OFF (0)" to the header part to the DNS client apparatus 10 (step S110).

その後、ＤＮＳクライアント装置１０が、上述したステップＳ１０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置１００に送信したとする（ステップＳ１１１）。   Thereafter, it is assumed that the DNS client apparatus 10 transmits the same DNS query request as that in step S101 described above to the DNS forwarding server apparatus 100 (step S111).

その場合、ＤＮＳ回送サーバ装置１００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。そして、クエリ制御部１４１は、対応するＤＮＳクエリ応答のキャッシュがある場合（キャッシュヒットした場合）には（ステップＳ１１２）、対応するＤＮＳクエリ応答をキャッシュＤＢ１３１から取得してＤＮＳクライアント装置１０に送信する。このとき、クエリ制御部１４１は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダに設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ１１３）。   In that case, in the DNS forwarding server device 100, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. Then, when there is a corresponding DNS query response cache (when a cache hit occurs) (step S112), the query control unit 141 acquires the corresponding DNS query response from the cache DB 131 and transmits it to the DNS client device 10. . At this time, the query control unit 141 transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header to the DNS client device 10 (step S113).

上述してきたように、本実施例１では、キャッシュ制御部１４２が、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、そのＤＮＳクエリ応答をキャッシュＤＢ１３１にキャッシュする。そして、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答をキャッシュＤＢ１３１にキャッシュされたＤＮＳクエリ応答の中から取得してＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置１０に送信する。   As described above, in the first embodiment, when the cache control unit 142 receives a DNS query response from the DNS forwarder device 20, regardless of whether or not the received DNS query response is an authoritative response. The DNS query response is cached in the cache DB 131. When the query control unit 141 receives a DNS query request from the DNS client device 10, the DNS query response corresponding to the received DNS query request is acquired from the DNS query response cached in the cache DB 131, and the DNS query request is acquired. It transmits to the DNS client device 10 which is the transmission source of the query request.

したがって、本実施例１によれば、ＤＮＳ権威サーバ装置３０から送信されたＤＮＳクエリ応答の内容がＤＮＳ回送サーバ装置１００にもキャッシュされるようになるので、内部ＮＷ全体でのキャッシュヒット率が向上する。そのため、ＤＮＳ回送サーバ装置１００からＤＮＳフォワーダ装置２０への問い合わせが減ることになるので、ＤＮＳ回送サーバ装置１００の設備リソース（例えば、ＣＰＵやメモリなど）、および、ＤＮＳ回送サーバ装置１００とＤＮＳフォワーダ装置２０との間の設備リソース（例えば、回線容量など）を削減することができる。すなわち、本実施例１によれば、セキュリティの向上を図りつつ、ＤＮＳクエリ要求を処理する場合のシステムの負荷を軽減することが可能になる。   Therefore, according to the first embodiment, the contents of the DNS query response transmitted from the DNS authoritative server device 30 are also cached in the DNS forwarding server device 100, so that the cache hit rate in the entire internal NW is improved. To do. Therefore, inquiries from the DNS forwarding server device 100 to the DNS forwarder device 20 are reduced, so that the equipment resources (for example, CPU and memory) of the DNS forwarding server device 100 and the DNS forwarding server device 100 and the DNS forwarder device are reduced. The facility resources (for example, line capacity etc.) between 20 can be reduced. That is, according to the first embodiment, it is possible to reduce the system load when processing a DNS query request while improving security.

ところで、上記実施例１では、ＤＮＳ回送サーバ装置が、権威のある応答であるか否かにかかわらず、ＤＮＳフォワーダ装置から送信されたＤＮＳクエリ応答をキャッシュする場合について説明した。しかしながら、本発明はこれに限られるものではなく、例えば、ＤＮＳ回送サーバ装置が、さらに、信頼できるＤＮＳフォワーダ装置から送信されたＤＮＳクエリ応答のみをキャッシュするようにしてもよい。そこで、以下では、このような場合を実施例２として説明する。   Incidentally, in the first embodiment, the case has been described in which the DNS forwarding server device caches the DNS query response transmitted from the DNS forwarder device regardless of whether or not the response is an authoritative response. However, the present invention is not limited to this. For example, the DNS forwarding server device may further cache only the DNS query response transmitted from the reliable DNS forwarder device. Therefore, in the following, such a case will be described as a second embodiment.

まず、図４を参照して、実施例２に係るＤＮＳの概要および構成について説明する。図４は、本実施例２に係るＤＮＳの概要および構成を説明するための図である。図４に示すように、本実施例２に係るＤＮＳは、ＤＮＳクライアント装置１０と、ＤＮＳフォワーダ装置２０と、ＤＮＳ権威サーバ装置３０と、ＤＮＳ回送サーバ装置２００とを有する。   First, the outline and configuration of the DNS according to the second embodiment will be described with reference to FIG. FIG. 4 is a diagram for explaining the outline and configuration of the DNS according to the second embodiment. As illustrated in FIG. 4, the DNS according to the second embodiment includes a DNS client device 10, a DNS forwarder device 20, a DNS authoritative server device 30, and a DNS forwarding server device 200.

なお、本実施例２に係るＤＮＳの構成は、基本的には図１に示した構成と同様であり、ＤＮＳ回送サーバ装置２００によって行われる処理が異なるのみであるので、ここではＤＮＳ回送サーバ装置２００に関する機能を中心に説明する。   Note that the DNS configuration according to the second embodiment is basically the same as the configuration shown in FIG. 1 and only the processing performed by the DNS forwarding server device 200 is different. A description will be given focusing on the functions relating to 200.

本実施例２に係るＤＮＳでは、ＤＮＳ回送サーバ装置２００が、信頼できるＤＮＳフォワーダ装置である信頼フォワーダを示す情報を記憶する。そして、ＤＮＳ回送サーバ装置２００は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定し、信頼フォワーダであると判定したＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答のみをキャッシュする。   In the DNS according to the second embodiment, the DNS forwarding server device 200 stores information indicating a reliable forwarder that is a reliable DNS forwarder device. When the DNS forwarding server device 200 receives a DNS query response from the DNS forwarder device 20, the DNS forwarding server device 200 determines whether or not the DNS forwarder device 20 that is the transmission source of the received DNS query response is a trusted forwarder. Only the DNS query response transmitted from the DNS forwarder device 20 determined to be a forwarder is cached.

これにより、本実施例２では、信頼できないＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答はＤＮＳ回送サーバ装置２００にキャッシュされないように制御することができるので、ＤＮＳ回送サーバ装置２００がＤＮＳキャッシュポイズニング攻撃の被害にあうことを防ぐことが可能になる。なお、ここでいう「ＤＮＳキャッシュポイズニング攻撃」とは、偽のＤＮＳ情報をキャッシュに記憶させることで、例えば、非正規のＩＰアドレスに誘導し、ドメイン名を乗っ取っとる攻撃である。以下では、かかるＤＮＳ回送サーバ装置２００の機能について具体的に説明する。   Accordingly, in the second embodiment, it is possible to control so that the DNS query response transmitted from the unreliable DNS forwarder device 20 is not cached in the DNS forwarding server device 200. Therefore, the DNS forwarding server device 200 performs the DNS cache poisoning attack. It becomes possible to prevent being damaged. The “DNS cache poisoning attack” referred to here is an attack in which fake DNS information is stored in a cache, for example, to induce an unauthorized IP address and take over a domain name. Below, the function of this DNS forwarding server apparatus 200 is demonstrated concretely.

次に、図４を参照して、ＤＮＳ回送サーバ装置２００の構成について説明する。なお、ここでは説明の便宜上、図１に示した各部と同様の機能を有する機能部については、同じ符号を付すこととして詳細な説明を省略する。図４に示すように、ＤＮＳ回送サーバ装置２００は、通信制御ＩＦ部１１０と、記憶部２２０と、キャッシュデータ部１３０と、制御部２４０とを有する。   Next, the configuration of the DNS forwarding server device 200 will be described with reference to FIG. Here, for convenience of explanation, functional units having the same functions as those shown in FIG. 1 are given the same reference numerals, and detailed description thereof is omitted. As illustrated in FIG. 4, the DNS forwarding server device 200 includes a communication control IF unit 110, a storage unit 220, a cache data unit 130, and a control unit 240.

記憶部２２０は、制御部２４０によって実行される処理に必要な各種情報を記憶する。この記憶部２２０は、特に、信頼情報付フォワード先リスト２２１を記憶する。図５は、信頼情報付フォワード先リスト２２１の一例を示す図である。図５に示すように、具体的には、記憶部２２０は、図２に示したフォワード先リスト１２１と同様に、ＤＮＳクエリ要求の転送先となるＤＮＳフォワーダ装置２０のＩＰアドレスを列挙したデータを信頼情報付フォワード先リスト２２１として記憶する。   The storage unit 220 stores various information necessary for processing executed by the control unit 240. The storage unit 220 particularly stores a forward destination list 221 with trust information. FIG. 5 is a diagram illustrating an example of the forward destination list 221 with trust information. As shown in FIG. 5, specifically, the storage unit 220 stores data listing the IP addresses of the DNS forwarder devices 20 that are forwarding destinations of the DNS query request, as in the forward destination list 121 shown in FIG. 2. It is stored as a forward destination list 221 with trust information.

ここで、記憶部２２０は、信頼できるＤＮＳフォワーダ装置である信頼フォワーダと、信頼できないＤＮＳフォワーダ装置である非信頼フォワーダとをそれぞれ区別して記憶する。なお、ここでいう「信頼フォワーダ」とは、例えば、ＤＮＳＳＥＣ（DNS Security Extension）対応済みで、ＤＮＳキャッシュポイズニング攻撃への耐性が強いと判断されるフォワーダ装置である。   Here, the storage unit 220 separately stores a reliable forwarder that is a reliable DNS forwarder device and an untrusted forwarder that is an untrusted DNS forwarder device. Note that the “trust forwarder” here is a forwarder device that is already compatible with DNSSEC (DNS Security Extension) and is determined to be highly resistant to DNS cache poisoning attacks.

例えば、図５に示すように、記憶部２２０は、信頼フォワーダを「ｔｒｕｓｔｅｄ−ｆｏｒｗａｒｄｅｒｓ」とし、非信頼フォワーダを「ｆｏｒｗａｒｄｅｒｓ」として記憶する。なお、記憶部２２０は、信頼フォワーダのみを記憶してもよいし、非信頼フォワーダのみを記憶してもよい。   For example, as illustrated in FIG. 5, the storage unit 220 stores the trusted forwarder as “trusted-forwarders” and the untrusted forwarder as “forwarders”. Note that the storage unit 220 may store only a trusted forwarder or may store only an untrusted forwarder.

制御部２４０は、ＤＮＳ回送サーバ装置２００全体を制御する。この制御部２４０は、特に、クエリ制御部１４１と、キャッシュ制御部２４２と、信頼フォワーダ判定部２４３とを有する。   The control unit 240 controls the entire DNS forwarding server device 200. In particular, the control unit 240 includes a query control unit 141, a cache control unit 242, and a reliable forwarder determination unit 243.

信頼フォワーダ判定部２４３は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、信頼情報付フォワード先リスト２２１の情報に基づいて、受信したＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   When the trust forwarder determination unit 243 receives a DNS query response from the DNS forwarder device 20, the trust forwarder determination unit 243 determines that the DNS forwarder device 20 that is the transmission source of the received DNS query response is based on the information in the forward destination list 221 with trust information. It is determined whether it is a forwarder.

具体的には、信頼フォワーダ判定部２４３は、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、信頼情報付フォワード先リスト２２１を参照し、受信したＤＮＳクエリ応答に含まれている送信元のＩＰアドレスが信頼フォワーダとして設定されているか、非信頼フォワーダとして設定されているかを判定する。   Specifically, when the trust forwarder determination unit 243 receives a DNS query response from the DNS forwarder device 20, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and determines the source included in the received DNS query response. It is determined whether the IP address is set as a trusted forwarder or an untrusted forwarder.

そして、信頼フォワーダ判定部２４３は、信頼情報付フォワード先リスト２２１において送信元のＩＰアドレスが信頼フォワーダとして設定されていた場合には、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定する。一方、信頼情報付フォワード先リスト２２１において送信元のＩＰアドレスが非信頼フォワーダとして設定されていた場合には、信頼フォワーダ判定部２４３は、送信元のＤＮＳフォワーダ装置２０が非信頼フォワーダであると判定する。   Then, when the source IP address is set as the trust forwarder in the forward destination list with trust information 221, the trust forwarder determination unit 243 determines that the source DNS forwarder device 20 is the trust forwarder. On the other hand, when the IP address of the transmission source is set as an unreliable forwarder in the forward destination list with trust information 221, the reliable forwarder determination unit 243 determines that the DNS forwarder device 20 of the transmission source is an unreliable forwarder. To do.

なお、信頼情報付フォワード先リスト２２１に信頼フォワーダのみが記憶されている場合には、信頼フォワーダ判定部２４３は、記憶されている信頼フォワーダでなければ非信頼フォワーダであると判定してもよい。また、信頼情報付フォワード先リスト２２１に非信頼フォワーダのみが記憶されている場合には、信頼フォワーダ判定部２４３は、記憶されている非信頼フォワーダでなければ信頼フォワードであると判定してもよい。   When only the trust forwarder is stored in the forward destination list 221 with trust information, the trust forwarder determination unit 243 may determine that the trust forwarder is not a trust forwarder if it is not a stored trust forwarder. When only the unreliable forwarder is stored in the forward destination list 221 with the trust information, the reliable forwarder determination unit 243 may determine that the forward is reliable if it is not the stored unreliable forwarder. .

キャッシュ制御部２４２は、ＤＮＳフォワーダ装置２０を介してＤＮＳ権威サーバ装置３０から送信されるＤＮＳクエリ応答のキャッシュを制御する。   The cache control unit 242 controls caching of a DNS query response transmitted from the DNS authoritative server device 30 via the DNS forwarder device 20.

具体的には、キャッシュ制御部２４２は、通信制御ＩＦ部１１０を介してＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、そのＤＮＳクエリ応答の内容をキャッシュＤＢ１３１にキャッシュする。ここで、ＤＮＳクエリ応答の内容をキャッシュする際に、キャッシュ制御部２４２は、信頼フォワーダ判定部２４３によって信頼フォワーダであると判定されたＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答のみをキャッシュする。なお、かかるキャッシュ制御部２４２によって行われる処理については、後にさらに具体的に説明する。   Specifically, when the cache control unit 242 receives a DNS query response via the communication control IF unit 110, the cache query unit 242 determines whether or not the received DNS query response is an authoritative response. The contents of the response are cached in the cache DB 131. Here, when caching the contents of the DNS query response, the cache control unit 242 caches only the DNS query response transmitted from the DNS forwarder device 20 determined by the trust forwarder determination unit 243 as the trust forwarder. The processing performed by the cache control unit 242 will be described in more detail later.

次に、図６および７を参照して、本実施例２に係るＤＮＳの動作について説明する。図６および７は、本実施例２に係るＤＮＳの動作を説明するためのシーケンス図である。ここでは、ＤＮＳクエリ要求の転送先となるＤＮＳフォワーダ装置２０が信頼フォワーダである場合と非信頼フォワーダである場合とをそれぞれ説明する。   Next, the operation of the DNS according to the second embodiment will be described with reference to FIGS. 6 and 7 are sequence diagrams for explaining the operation of the DNS according to the second embodiment. Here, a case where the DNS forwarder device 20 which is a transfer destination of the DNS query request is a trusted forwarder and a case where it is an untrusted forwarder will be described.

最初に、図６を参照して、ＤＮＳフォワーダ装置２０が信頼フォワーダである場合について説明する。なお、図６に示すステップＳ２０１〜Ｓ２０８の手順については、図３に示したステップＳ１０１〜Ｓ１０８の手順と同様であるので、ここでは説明を省略する。   First, the case where the DNS forwarder device 20 is a trusted forwarder will be described with reference to FIG. Note that the steps S201 to S208 shown in FIG. 6 are the same as the steps S101 to S108 shown in FIG.

ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置２００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   When the DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 200, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether the device 20 is a trusted forwarder.

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定された場合には、キャッシュ制御部２４２が、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、すなわち、受信したＤＮＳクエリ応答のヘッダ部に設定されている「ＡＡ−ｂｉｔ」の値にかかわらず、そのＤＮＳフォワーダ装置２０から受信したＤＮＳクエリ応答をキャッシュＤＢ１３１にキャッシュする（ステップＳ２０９）。さらに、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ２１０）。   When the trust forwarder determination unit 243 determines that the source DNS forwarder device 20 is a trust forwarder, the cache control unit 242 determines whether the received DNS query response is an authoritative response. Regardless of, that is, regardless of the value of “AA-bit” set in the header part of the received DNS query response, the DNS query response received from the DNS forwarder device 20 is cached in the cache DB 131 (step S209). ). Further, the query control unit 141 transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header part to the DNS client device 10 (step S210).

その後、ＤＮＳクライアント装置１０が、ステップＳ２０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置２００に送信したとする（ステップＳ２１１）。   Thereafter, it is assumed that the DNS client device 10 transmits the same DNS query request as that in step S201 to the DNS forwarding server device 200 (step S211).

その場合、ＤＮＳ回送サーバ装置２００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。そして、クエリ制御部１４１は、対応するＤＮＳクエリ応答のキャッシュがある場合（キャッシュヒットした場合）には（ステップＳ２１２）、対応するＤＮＳクエリ応答をキャッシュＤＢ１３１から取得してＤＮＳクライアント装置１０に送信する。このとき、クエリ制御部１４１は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダに設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ２１３）。   In that case, in the DNS forwarding server device 200, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. When there is a corresponding DNS query response cache (when a cache hit occurs) (step S212), the query control unit 141 acquires the corresponding DNS query response from the cache DB 131 and transmits it to the DNS client device 10. . At this time, the query control unit 141 transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header to the DNS client device 10 (step S213).

次に、図７を参照して、ＤＮＳフォワーダ装置２０が非信頼フォワーダである場合について説明する。なお、図７に示すステップＳ３０１〜Ｓ３０８の手順については、図３に示したステップＳ１０１〜Ｓ１０８の手順と同様であるので、ここでは説明を省略する。   Next, a case where the DNS forwarder device 20 is an unreliable forwarder will be described with reference to FIG. Note that the steps S301 to S308 shown in FIG. 7 are the same as the steps S101 to S108 shown in FIG.

ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置２００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   When the DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 200, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether the device 20 is a trusted forwarder.

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が非信頼フォワーダであると判定された場合には、キャッシュ制御部２４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ３０９）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのままＤＮＳクライアント装置１０に送信する（ステップＳ３１０）。   When the trusted forwarder determination unit 243 determines that the source DNS forwarder device 20 is an untrusted forwarder, the cache control unit 242 does not cache the contents of the received DNS query response (step In step S309, the query control unit 141 transmits the DNS query response in which “AA-bit = OFF (0)” is set in the header part to the DNS client device 10 as it is (step S310).

その後、ＤＮＳクライアント装置１０が、ステップＳ３０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置２００に送信したとする（ステップＳ３１１）。   Thereafter, it is assumed that the DNS client device 10 transmits the same DNS query request as that in step S301 to the DNS forwarding server device 200 (step S311).

その場合、ＤＮＳ回送サーバ装置２００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。ここで、前述したステップＳ３０９においてＤＮＳクエリ応答の内容がキャッシュされていないので、クエリ制御部１４１は、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがないと判定し（ステップＳ３１２）、そのＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する（ステップＳ３１３）。   In that case, in the DNS forwarding server device 200, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. Here, since the content of the DNS query response is not cached in step S309 described above, the query control unit 141 determines that there is no DNS query response cache corresponding to the received DNS query request (step S312). A DNS query request is transmitted to the DNS forwarder device 20 (step S313).

ＤＮＳフォワーダ装置２０は、ＤＮＳ回送サーバ装置２００からＤＮＳクエリ要求を受信すると、対応するＤＮＳクエリ応答がキャッシュされているか否かを判定する。ここで、ステップＳ３０７においてＤＮＳクエリ応答の内容がキャッシュされているので（ステップＳ３１４）、ＤＮＳフォワーダ装置２０は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置２００に送信する（ステップＳ３１５）。   When receiving the DNS query request from the DNS forwarding server device 200, the DNS forwarder device 20 determines whether or not the corresponding DNS query response is cached. Here, since the contents of the DNS query response are cached in step S307 (step S314), the DNS forwarder apparatus 20 forwards the DNS query response in which “AA-bit = OFF (0)” is set in the header part. It transmits to the server apparatus 200 (step S315).

ＤＮＳ回送サーバ装置２００では、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置２００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   In the DNS forwarding server device 200, when a DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 200, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 to refer to the DNS query response. It is determined whether or not the DNS forwarder device 20 that is the transmission source is a trusted forwarder.

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が非信頼フォワーダであると判定された場合には、キャッシュ制御部２４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ３１６）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのまま、もしくはエラー応答を、ＤＮＳクライアント装置１０に送信する（ステップＳ３１７）。   When the trusted forwarder determination unit 243 determines that the source DNS forwarder device 20 is an untrusted forwarder, the cache control unit 242 does not cache the contents of the received DNS query response (step In step S316, the query control unit 141 transmits the DNS query response in which “AA-bit = OFF (0)” is set in the header as it is or an error response to the DNS client device 10 (step S317).

上述してきたように、本実施例２では、記憶部２２０が、信頼できるＤＮＳフォワーダ装置である信頼フォワーダおよび／または信頼できないＤＮＳフォワーダ装置である非信頼フォワーダを示す情報を含んだ信頼情報付フォワード先リスト２２１を記憶する。また、信頼フォワーダ判定部２４３が、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、信頼情報付フォワード先リスト２２１に含まれている情報に基づいて、受信したＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。そして、キャッシュ制御部２４２が、信頼フォワーダ判定部２４３によって信頼フォワーダであると判定されたＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答のみをキャッシュする。   As described above, in the second embodiment, the storage unit 220 has a trust information forward destination including information indicating a reliable forwarder that is a reliable DNS forwarder device and / or an untrusted forwarder that is an untrusted DNS forwarder device. The list 221 is stored. Further, when the trust forwarder determination unit 243 receives a DNS query response from the DNS forwarder device 20, the trust forwarder determination unit 243 is a transmission source of the received DNS query response based on information included in the forward destination list with trust information 221. It is determined whether or not the DNS forwarder device 20 is a trusted forwarder. Then, the cache control unit 242 caches only the DNS query response transmitted from the DNS forwarder device 20 that is determined to be a trust forwarder by the trust forwarder determination unit 243.

したがって、本実施例２によれば、信頼性できないＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答はＤＮＳ回送サーバ装置２００にキャッシュされないように制御することができるので、ＤＮＳ回送サーバ装置２００がＤＮＳキャッシュポイズニング攻撃の被害にあうことを防ぐことが可能になる。   Therefore, according to the second embodiment, the DNS query response transmitted from the unreliable DNS forwarder device 20 can be controlled not to be cached in the DNS forwarding server device 200, so that the DNS forwarding server device 200 can be controlled by the DNS cache. This makes it possible to prevent damage from poisoning attacks.

ところで、上記実施例２では、ＤＮＳ回送サーバ装置が、信頼できるＤＮＳフォワーダ装置から送信されたＤＮＳクエリ応答のみをキャッシュする場合について説明した。しかしながら、本発明はこれに限られるものではなく、例えば、ＤＮＳ回送サーバ装置が、さらに、所定の認証方法によって認証されたＤＮＳクエリ応答のみをキャッシュするようにしてもよい。そこで、以下では、このような場合を実施例３として説明する。   By the way, in the second embodiment, the case where the DNS forwarding server apparatus caches only the DNS query response transmitted from the reliable DNS forwarder apparatus has been described. However, the present invention is not limited to this, and for example, the DNS forwarding server device may further cache only the DNS query response authenticated by a predetermined authentication method. Therefore, in the following, such a case will be described as a third embodiment.

まず、図８を参照して、実施例３に係るＤＮＳの概要および構成について説明する。図８は、本実施例３に係るＤＮＳの概要および構成を説明するための図である。図８に示すように、本実施例３に係るＤＮＳは、ＤＮＳクライアント装置１０と、ＤＮＳフォワーダ装置２０と、ＤＮＳ権威サーバ装置３０と、ＤＮＳ回送サーバ装置３００とを有する。   First, with reference to FIG. 8, the outline | summary and structure of DNS which concern on Example 3 are demonstrated. FIG. 8 is a diagram for explaining the outline and configuration of the DNS according to the third embodiment. As illustrated in FIG. 8, the DNS according to the third embodiment includes a DNS client device 10, a DNS forwarder device 20, a DNS authoritative server device 30, and a DNS forwarding server device 300.

なお、本実施例３に係るＤＮＳの構成は、基本的には図１に示した構成と同様であり、ＤＮＳ回送サーバ装置３００によって行われる処理が異なるのみであるので、ここではＤＮＳ回送サーバ装置３００に関する機能を中心に説明する。   Note that the DNS configuration according to the third embodiment is basically the same as the configuration shown in FIG. 1 except that the processing performed by the DNS forwarding server device 300 is different. A description will be given centering on the functions related to 300.

本実施例３に係るＤＮＳでは、ＤＮＳ回送サーバ装置３００が、信頼フォワーダであると判定されたＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答を所定の認証方法により認証判定する。そして、ＤＮＳ回送サーバ装置３００は、認証されたＤＮＳクエリ応答のみをキャッシュする。   In the DNS according to the third embodiment, the DNS forwarding server device 300 authenticates and determines the DNS query response transmitted from the DNS forwarder device 20 determined to be a reliable forwarder by a predetermined authentication method. Then, the DNS forwarding server device 300 caches only the authenticated DNS query response.

これにより、本実施例３では、信頼フォワーダへのなりすましを防止することができるので、より強固に、ＤＮＳ回送サーバ装置３００がＤＮＳキャッシュポイズニング攻撃の被害にあうことを防ぐことが可能になる。   As a result, in the third embodiment, it is possible to prevent spoofing of the trusted forwarder, so that it is possible to more firmly prevent the DNS forwarding server device 300 from being damaged by the DNS cache poisoning attack.

次に、図８を参照して、ＤＮＳ回送サーバ装置３００の構成について説明する。なお、ここでは説明の便宜上、図１および４に示した各部と同様の機能を有する機能部については、同じ符号を付すこととして詳細な説明を省略する。図８に示すように、ＤＮＳ回送サーバ装置３００は、通信制御ＩＦ部１１０と、記憶部３２０と、キャッシュデータ部１３０と、制御部３４０とを有する。   Next, the configuration of the DNS forwarding server device 300 will be described with reference to FIG. Here, for convenience of explanation, functional units having the same functions as those shown in FIGS. 1 and 4 are denoted by the same reference numerals, and detailed description thereof is omitted. As illustrated in FIG. 8, the DNS forwarding server device 300 includes a communication control IF unit 110, a storage unit 320, a cache data unit 130, and a control unit 340.

記憶部３２０は、制御部３４０によって実行される処理に必要な各種情報を記憶する。この記憶部３２０は、特に、信頼情報付フォワード先リスト２２１と、鍵リスト３２２とを記憶する。鍵リスト３２２は、ＤＮＳフォワーダ装置２０ごとに、ＴＳＩＧ（Transaction Signature）またはＳＩＧ（０）の検証に用いられる鍵を記憶する。   The storage unit 320 stores various information necessary for processing executed by the control unit 340. In particular, the storage unit 320 stores a forward destination list 221 with trust information and a key list 322. The key list 322 stores a key used for verification of TSIG (Transaction Signature) or SIG (0) for each DNS forwarder device 20.

制御部３４０は、ＤＮＳ回送サーバ装置３００全体を制御する。この制御部３４０は、特に、クエリ制御部１４１と、キャッシュ制御部３４２と、信頼フォワーダ判定部２４３と、認証判定部３４４とを有する。   The control unit 340 controls the entire DNS forwarding server device 300. In particular, the control unit 340 includes a query control unit 141, a cache control unit 342, a trust forwarder determination unit 243, and an authentication determination unit 344.

認証判定部３４４は、信頼フォワーダ判定部２４３によって信頼フォワーダであると判定されたＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答を所定の認証方法により認証判定する。   The authentication determination unit 344 authenticates and determines the DNS query response transmitted from the DNS forwarder device 20 determined to be a trust forwarder by the trust forwarder determination unit 243 using a predetermined authentication method.

具体的には、認証判定部３４４は、信頼フォワーダ判定部２４３によって、ＤＮＳクエリ応答の送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定された場合に、ＤＮＳクエリ応答に含まれている認証用情報に基づいて、そのＤＮＳクエリ応答を認証判定する。例えば、認証判定部３４４は、ＤＮＳクエリ応答の送信元のＤＮＳフォワーダ装置２０に対応する鍵を鍵リスト３２２によって記憶されている鍵の中から取得し、取得した鍵と、ＤＮＳクエリ応答に含まれているＴＳＩＧまたはＳＩＧ（０）の認証用情報とに基づいて、ＤＮＳクエリ応答を認証判定する。   Specifically, the authentication determination unit 344 includes the authentication included in the DNS query response when the trust forwarder determination unit 243 determines that the DNS forwarder device 20 that has transmitted the DNS query response is a trust forwarder. The DNS query response is authenticated based on the business information. For example, the authentication determination unit 344 acquires a key corresponding to the DNS forwarder device 20 that is the transmission source of the DNS query response from the keys stored in the key list 322, and is included in the acquired key and the DNS query response. The DNS query response is authenticated based on the authentication information of the TSIG or SIG (0) that is being used.

キャッシュ制御部３４２は、ＤＮＳフォワーダ装置２０を介してＤＮＳ権威サーバ装置３０から送信されるＤＮＳクエリ応答のキャッシュを制御する。   The cache control unit 342 controls caching of a DNS query response transmitted from the DNS authoritative server device 30 via the DNS forwarder device 20.

具体的には、キャッシュ制御部３４２は、通信制御ＩＦ部１１０を介してＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、そのＤＮＳクエリ応答の内容をキャッシュＤＢ１３１にキャッシュする。ここで、ＤＮＳクエリ応答の内容をキャッシュする際に、キャッシュ制御部３４２は、認証判定部３４４によって認証されたＤＮＳクエリ応答のみをキャッシュする。なお、かかるキャッシュ制御部３４２によって行われる処理については、後にさらに具体的に説明する。   Specifically, when the cache control unit 342 receives a DNS query response via the communication control IF unit 110, the cache control unit 342 performs the DNS query regardless of whether the received DNS query response is an authoritative response. The contents of the response are cached in the cache DB 131. Here, when caching the contents of the DNS query response, the cache control unit 342 caches only the DNS query response authenticated by the authentication determination unit 344. The processing performed by the cache control unit 342 will be described in more detail later.

次に、図９、１０および１１を参照して、本実施例３に係るＤＮＳの動作について説明する。図９、１０および１１は、本実施例３に係るＤＮＳの動作を説明するためのシーケンス図である。ここでは、信頼フォワーダであるＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答が認証される場合と、信頼フォワーダであるＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答が認証されない場合と、ＤＮＳフォワーダ装置２０が非信頼フォワーダである場合とをそれぞれ説明する。   Next, the operation of the DNS according to the third embodiment will be described with reference to FIGS. 9, 10 and 11 are sequence diagrams for explaining the operation of the DNS according to the third embodiment. Here, when the DNS query response transmitted from the DNS forwarder device 20 that is the trusted forwarder is authenticated, when the DNS query response transmitted from the DNS forwarder device 20 that is the trusted forwarder is not authenticated, and the DNS forwarder device 20 A case where is an untrusted forwarder will be described.

最初に、図９を参照して、信頼フォワーダであるＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答が認証される場合について説明する。なお、図９に示すステップＳ４０１〜Ｓ４０８の手順については、ＴＳＩＧやＳＩＧ（０）に関するメッセージの扱い以外は、図３に示したステップＳ１０１〜Ｓ１０８の手順と同様であるので、ここでは説明を省略する。なお、ステップＳ４０８で送信されるクエリ応答には、ＴＳＩＧまたはＳＩＧ（０）の正当な認証用情報が含まれているものとする。   First, a case where a DNS query response transmitted from the DNS forwarder device 20 which is a reliable forwarder is authenticated will be described with reference to FIG. The procedure of steps S401 to S408 shown in FIG. 9 is the same as the procedure of steps S101 to S108 shown in FIG. 3 except for the handling of messages related to TSIG and SIG (0). To do. Note that it is assumed that the query response transmitted in step S408 includes valid authentication information of TSIG or SIG (0).

ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置３００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する（ステップＳ４０９）。   When a DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 300, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether or not the device 20 is a trusted forwarder (step S409).

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定された場合には、認証判定部３４４が、鍵リスト３２２から取得したＤＮＳフォワーダ装置２０に対応する鍵と、ＤＮＳクエリ応答に含まれているＴＳＩＧまたはＳＩＧ（０）の認証用情報とに基づいて、送信されたＤＮＳクエリ応答を認証判定する。   When the trust forwarder determination unit 243 determines that the DNS forwarder device 20 as the transmission source is a trust forwarder, the authentication determination unit 344 obtains a key corresponding to the DNS forwarder device 20 acquired from the key list 322. Based on the TSIG or SIG (0) authentication information included in the DNS query response, the transmitted DNS query response is authenticated.

そして、認証判定部３４４によってＤＮＳクエリ応答が認証された場合には、キャッシュ制御部３４２が、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、すなわち、受信したＤＮＳクエリ応答のヘッダ部に設定されている「ＡＡ−ｂｉｔ」の値にかかわらず、そのＤＮＳクエリ応答をキャッシュＤＢ１３１にキャッシュする（ステップＳ４１０）。さらに、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ４１１）。   Then, when the DNS query response is authenticated by the authentication determination unit 344, the cache control unit 342 determines whether the received DNS query response is an authoritative response, that is, the received DNS query response. Regardless of the value of “AA-bit” set in the header part, the DNS query response is cached in the cache DB 131 (step S410). Further, the query control unit 141 transmits a DNS query response in which “AA-bit = OFF (0)” is set in the header part to the DNS client device 10 (step S411).

その後、ＤＮＳクライアント装置１０が、ステップＳ４０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置３００に送信したとする（ステップＳ４１２）。   Thereafter, it is assumed that the DNS client device 10 transmits the same DNS query request as that in step S401 to the DNS forwarding server device 300 (step S412).

その場合、ＤＮＳ回送サーバ装置３００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。そして、クエリ制御部１４１は、対応するＤＮＳクエリ応答のキャッシュがある場合（キャッシュヒットした場合）には（ステップＳ４１３）、対応するＤＮＳクエリ応答をキャッシュＤＢ１３１から取得してＤＮＳクライアント装置１０に送信する。このとき、クエリ制御部１４１は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダに設定したＤＮＳクエリ応答をＤＮＳクライアント装置１０に送信する（ステップＳ４１４）。   In this case, in the DNS forwarding server device 300, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. When there is a corresponding DNS query response cache (when a cache hit occurs) (step S413), the query control unit 141 acquires the corresponding DNS query response from the cache DB 131 and transmits it to the DNS client device 10. . At this time, the query control unit 141 transmits a DNS query response in which “AA-bit = OFF (0)” is set as a header to the DNS client device 10 (step S414).

次に、図１０を参照して、信頼フォワーダであるＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答が認証されない場合について説明する。なお、図１０に示すステップＳ５０１〜Ｓ５０８の手順については、ＴＳＩＧやＳＩＧ（０）に関するメッセージの扱い以外は、図３に示したステップＳ１０１〜Ｓ１０８の手順と同様であるので、ここでは説明を省略する。なお、ステップＳ５０８で送信されるＤＮＳクエリ応答には、ＴＳＩＧまたはＳＩＧ（０）の不正な認証用情報が含まれているか、ＴＳＩＧまたはＳＩＧ（０）の認証用情報が含まれていないものとする。   Next, a case where the DNS query response transmitted from the DNS forwarder device 20 which is a reliable forwarder is not authenticated will be described with reference to FIG. The procedure of steps S501 to S508 shown in FIG. 10 is the same as the procedure of steps S101 to S108 shown in FIG. 3 except for the handling of messages related to TSIG and SIG (0). To do. It should be noted that the DNS query response transmitted in step S508 includes incorrect authentication information for TSIG or SIG (0) or does not include authentication information for TSIG or SIG (0). .

ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置３００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する（ステップＳ５０９）。   When a DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 300, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether or not the device 20 is a trust forwarder (step S509).

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定された場合には、認証判定部３４４が、ＤＮＳクエリ応答に含まれているＴＳＩＧまたはＳＩＧ（０）の認証用情報に基づいて、送信されたＤＮＳクエリ応答を認証判定する。   When the trust forwarder determination unit 243 determines that the DNS forwarder device 20 as the transmission source is a trust forwarder, the authentication determination unit 344 includes the TSIG or SIG (0) included in the DNS query response. Based on the authentication information, the transmitted DNS query response is authenticated.

そして、認証判定部３４４によってＤＮＳクエリ応答が認証されなかった場合には、キャッシュ制御部３４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ５１０）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのままＤＮＳクライアント装置１０に送信する（ステップＳ５１１）。   If the DNS query response is not authenticated by the authentication determination unit 344, the cache control unit 342 does not cache the received DNS query response content (step S510), and the query control unit 141 selects “AA”. The DNS query response in which “-bit = OFF (0)” is set in the header is transmitted as it is to the DNS client device 10 (step S511).

その後、ＤＮＳクライアント装置１０が、ステップＳ５０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置３００に送信したとする（ステップＳ５１２）。   Thereafter, it is assumed that the DNS client device 10 transmits the same DNS query request as that in step S501 to the DNS forwarding server device 300 (step S512).

その場合、ＤＮＳ回送サーバ装置３００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。ここで、前述したステップＳ５１０においてＤＮＳクエリ応答の内容がキャッシュされていないので、クエリ制御部１４１は、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがないと判定し（ステップＳ５１３）、そのＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する（ステップＳ５１４）。   In this case, in the DNS forwarding server device 300, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. Here, since the contents of the DNS query response are not cached in step S510 described above, the query control unit 141 determines that there is no DNS query response cache corresponding to the received DNS query request (step S513). A DNS query request is transmitted to the DNS forwarder device 20 (step S514).

ＤＮＳフォワーダ装置２０は、ＤＮＳ回送サーバ装置３００からＤＮＳクエリ要求を受信すると、対応するＤＮＳクエリ応答がキャッシュされているか否かを判定する。ここで、ステップＳ５０７においてＤＮＳクエリ応答の内容がキャッシュされているので（ステップＳ５１５）、ＤＮＳフォワーダ装置２０は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置３００に送信する（ステップＳ５１６）。   When receiving the DNS query request from the DNS forwarding server device 300, the DNS forwarder device 20 determines whether or not the corresponding DNS query response is cached. Here, since the contents of the DNS query response are cached in step S507 (step S515), the DNS forwarder device 20 forwards the DNS query response in which “AA-bit = OFF (0)” is set in the header part. It transmits to the server apparatus 300 (step S516).

ＤＮＳ回送サーバ装置３００では、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する（ステップＳ５１７）。   In the DNS forwarding server device 300, when a DNS query response is transmitted from the DNS forwarder device 20, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether or not the device 20 is a trusted forwarder (step S517).

そして、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダであると判定された場合には、認証判定部３４４が、ＤＮＳクエリ応答に含まれているＴＳＩＧまたはＳＩＧ（０）の認証用情報に基づいて、送信されたＤＮＳクエリ応答を認証判定する。   When the trust forwarder determination unit 243 determines that the DNS forwarder device 20 as the transmission source is a trust forwarder, the authentication determination unit 344 includes the TSIG or SIG (0) included in the DNS query response. Based on the authentication information, the transmitted DNS query response is authenticated.

そして、認証判定部３４４によってＤＮＳクエリ応答が認証されなかった場合には、キャッシュ制御部３４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ５１８）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのまま、もしくはエラー応答を、ＤＮＳクライアント装置１０に送信する（ステップＳ５１９）。   If the DNS query response is not authenticated by the authentication determination unit 344, the cache control unit 342 does not cache the contents of the received DNS query response (step S518). The DNS query response in which “-bit = OFF (0)” is set in the header part is transmitted as it is or an error response is transmitted to the DNS client device 10 (step S519).

次に、図１１を参照して、ＤＮＳフォワーダ装置２０が非信頼フォワーダである場合について説明する。なお、図１１に示すステップＳ６０１〜Ｓ６０８の手順については、ＴＳＩＧやＳＩＧ（０）に関するメッセージの扱い以外は、図３に示したステップＳ１０１〜Ｓ１０８の手順と同様であるので、ここでは説明を省略する。なお、Ｓ６０８で送信されるＤＮＳクエリ応答には、ＴＳＩＧまたはＳＩＧ（０）の正当な認証用情報が含まれているか、ＴＳＩＧまたはＳＩＧ（０）の不正な認証用情報が含まれているか、ＴＳＩＧまたはＳＩＧ（０）の認証用情報が含まれていないものとする。   Next, a case where the DNS forwarder device 20 is an unreliable forwarder will be described with reference to FIG. The procedure of steps S601 to S608 shown in FIG. 11 is the same as the procedure of steps S101 to S108 shown in FIG. 3 except for the handling of messages related to TSIG and SIG (0). To do. It should be noted that the DNS query response sent in S608 includes TSIG or SIG (0) legitimate authentication information, TSIG or SIG (0) fraud authentication information, TSIG Alternatively, SIG (0) authentication information is not included.

ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、ＤＮＳ回送サーバ装置３００では、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   When a DNS query response is transmitted from the DNS forwarder device 20, in the DNS forwarding server device 300, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether the device 20 is a trusted forwarder.

ここで、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダではないと判定された場合には、認証判定部３４４が、ＤＮＳクエリ応答の認証判定を行わない。そして、キャッシュ制御部３４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ６０９）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答をそのままＤＮＳクライアント装置１０に送信する（ステップＳ６１０）。   Here, when the trust forwarder determination unit 243 determines that the source DNS forwarder device 20 is not a trust forwarder, the authentication determination unit 344 does not perform authentication determination of the DNS query response. Then, the cache control unit 342 does not cache the contents of the received DNS query response (step S609), and the query control unit 141 performs the DNS query in which “AA-bit = OFF (0)” is set in the header part. The response is transmitted as it is to the DNS client device 10 (step S610).

その後、ＤＮＳクライアント装置１０が、ステップＳ６０１と同一のＤＮＳクエリ要求をＤＮＳ回送サーバ装置３００に送信したとする（ステップＳ６１１）。   Thereafter, it is assumed that the DNS client device 10 transmits the same DNS query request as that in step S601 to the DNS forwarding server device 300 (step S611).

その場合、ＤＮＳ回送サーバ装置３００では、クエリ制御部１４１が、ＤＮＳクライアント装置１０からＤＮＳクエリ要求を受信すると、キャッシュＤＢ１３１を参照して、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがあるか否かを判定する。ここで、前述したステップＳ６０９においてＤＮＳクエリ応答の内容がキャッシュされていないので、クエリ制御部１４１は、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答のキャッシュがないと判定し（ステップＳ６１２）、そのＤＮＳクエリ要求をＤＮＳフォワーダ装置２０に送信する（ステップＳ６１３）。   In this case, in the DNS forwarding server device 300, when the query control unit 141 receives a DNS query request from the DNS client device 10, there is a DNS query response cache corresponding to the received DNS query request with reference to the cache DB 131. It is determined whether or not. Here, since the contents of the DNS query response are not cached in step S609 described above, the query control unit 141 determines that there is no DNS query response cache corresponding to the received DNS query request (step S612). A DNS query request is transmitted to the DNS forwarder device 20 (step S613).

ＤＮＳフォワーダ装置２０は、ＤＮＳ回送サーバ装置３００からＤＮＳクエリ要求を受信すると、対応するＤＮＳクエリ応答がキャッシュされているか否かを判定する。ここで、ステップＳ６０７においてＤＮＳクエリ応答の内容がキャッシュされているので（ステップＳ６１４）、ＤＮＳフォワーダ装置２０は、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」をヘッダ部に設定したＤＮＳクエリ応答をＤＮＳ回送サーバ装置３００に送信する（ステップＳ６１５）。   When receiving the DNS query request from the DNS forwarding server device 300, the DNS forwarder device 20 determines whether or not the corresponding DNS query response is cached. Here, since the content of the DNS query response is cached in step S607 (step S614), the DNS forwarder device 20 forwards the DNS query response in which “AA-bit = OFF (0)” is set in the header part. It transmits to the server apparatus 300 (step S615).

ＤＮＳ回送サーバ装置３００では、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答が送信されると、信頼フォワーダ判定部２４３が、信頼情報付フォワード先リスト２２１を参照して、ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定する。   In the DNS forwarding server device 300, when a DNS query response is transmitted from the DNS forwarder device 20, the trust forwarder determination unit 243 refers to the forward destination list with trust information 221 and refers to the DNS forwarder that is the source of the DNS query response. It is determined whether the device 20 is a trusted forwarder.

ここで、信頼フォワーダ判定部２４３によって、送信元のＤＮＳフォワーダ装置２０が信頼フォワーダではないと判定された場合には、認証判定部３４４が、ＤＮＳクエリ応答の認証判定を行わない。そして、キャッシュ制御部３４２が、受信したＤＮＳクエリ応答の内容をキャッシュすることなく（ステップＳ６１６）、クエリ制御部１４１が、「ＡＡ−ｂｉｔ＝ＯＦＦ（０）」がヘッダ部に設定されたＤＮＳクエリ応答ＤＮＳクライアント装置１０に送信する（ステップＳ６１７）。   Here, when the trust forwarder determination unit 243 determines that the source DNS forwarder device 20 is not a trust forwarder, the authentication determination unit 344 does not perform authentication determination of the DNS query response. Then, the cache control unit 342 does not cache the contents of the received DNS query response (step S616), and the query control unit 141 performs the DNS query in which “AA-bit = OFF (0)” is set in the header part. The response is transmitted to the DNS client device 10 (step S617).

上述してきたように、本実施例３では、認証判定部３４４が、ＤＮＳフォワーダ装置２０からＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答を所定の認証方法により認証判定する。そして、キャッシュ制御部３４２が、認証判定部３４４によって認証されたＤＮＳクエリ応答のみをキャッシュする。   As described above, in the third embodiment, when the authentication determination unit 344 receives a DNS query response from the DNS forwarder device 20, the authentication determination unit 344 performs authentication determination on the received DNS query response using a predetermined authentication method. Then, the cache control unit 342 caches only the DNS query response authenticated by the authentication determination unit 344.

したがって、本実施例３によれば、信頼フォワーダへのなりすましを防止することができるので、より強固に、ＤＮＳ回送サーバ装置３００がＤＮＳキャッシュポイズニング攻撃の被害にあうことを防ぐことが可能になる。   Therefore, according to the third embodiment, it is possible to prevent spoofing of the trusted forwarder, and thus it is possible to more firmly prevent the DNS forwarding server device 300 from being damaged by the DNS cache poisoning attack.

なお、本実施例３では、認証判定部３４４が、信頼フォワーダ判定部２４３によって信頼フォワーダであると判定されたＤＮＳフォワーダ装置２０から送信されたＤＮＳクエリ応答を所定の認証方法により認証判定することとした。しかしながら、本発明はこれに限られるものではなく、信頼フォワーダ判定部２４３による判定と、認証判定部３４４による認証判定とは順序が逆になってもよい。すなわち、信頼フォワーダ判定部２４３が、送信されたＤＮＳクエリ応答が認証判定部３４４によって認証された場合に、そのＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置２０が信頼フォワーダであるか否かを判定するようにしてもよい。   In the third embodiment, the authentication determination unit 344 authenticates and determines the DNS query response transmitted from the DNS forwarder device 20 determined to be a trust forwarder by the trust forwarder determination unit 243 using a predetermined authentication method. did. However, the present invention is not limited to this, and the order of the determination by the trust forwarder determination unit 243 and the authentication determination by the authentication determination unit 344 may be reversed. That is, when the transmitted DNS query response is authenticated by the authentication determination unit 344, the trust forwarder determination unit 243 determines whether the DNS forwarder device 20 that is the transmission source of the DNS query response is a trust forwarder. You may make it do.

また、上記実施例で説明したＤＮＳ回送装置サーバの機能は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することもできる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク（ＨＤ：Hard Disk）、フレキシブルディスク（ＦＤ：Flexible Disk）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＭＯ（Magneto-Optical disk）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。   The function of the DNS forwarding device server described in the above embodiment can also be realized by executing a program prepared in advance on a computer such as a personal computer or a workstation. This program can be distributed via a network such as the Internet. This program includes a hard disk (HD), a flexible disk (FD), a CD-ROM (Compact Disc Read Only Memory), an MO (Magneto-Optical disk), a DVD (Digital Versatile Disk), and the like. It can also be executed by being recorded on a computer-readable recording medium and being read from the recording medium by a computer.

以上のように、本発明に係るＤＮＳメッセージ回送装置、ＤＮＳメッセージ回送システム、ＤＮＳメッセージ回送方法およびＤＮＳメッセージ回送プログラムは、ＤＮＳ回送サーバ装置とＤＮＳフォワーダ装置とを有するＤＮＳに有用であり、特に、システムの負荷を軽減することが求められる場合に適している。   As described above, the DNS message forwarding device, the DNS message forwarding system, the DNS message forwarding method, and the DNS message forwarding program according to the present invention are useful for a DNS having a DNS forwarding server device and a DNS forwarder device. It is suitable when it is required to reduce the load of

１０ ＤＮＳクライアント装置
２０ ＤＮＳフォワーダ装置
３０ ＤＮＳ権威サーバ装置
１００，２００，３００ ＤＮＳ回送サーバ装置
１１０ 通信制御ＩＦ部
１２０，２２０，３２０ 記憶部
１２１ フォワード先リスト
１３０ キャッシュデータ部
１３１ キャッシュＤＢ
１４０，２４０，３４０ 制御部
１４１ クエリ制御部
１４２，２４２，３４２ キャッシュ制御部
２２１ 信頼情報付フォワード先リスト
２４３ 信頼フォワーダ判定部
３４４ 認証判定部 DESCRIPTION OF SYMBOLS 10 DNS client apparatus 20 DNS forwarder apparatus 30 DNS authoritative server apparatus 100,200,300 DNS forwarding server apparatus 110 Communication control IF part 120,220,320 Storage part 121 Forward destination list 130 Cache data part 131 Cache DB
140, 240, 340 Control unit 141 Query control unit 142, 242, 342 Cache control unit 221 Forward list with trust information 243 Trust forwarder determination unit 344 Authentication determination unit

Claims (7)

外部ネットワークを介してＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置とＤＮＳクライアント装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳメッセージ回送装置であって、
前記ＤＮＳフォワーダ装置は、前記ＤＮＳ権威サーバから権威のあるＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答をキャッシュするとともに、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳメッセージ回送装置に送信するものであり、
信頼できるＤＮＳフォワーダ装置である信頼フォワーダおよび／または信頼できないＤＮＳフォワーダ装置である非信頼フォワーダを示す情報を記憶する信頼フォワーダ記憶手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、前記信頼フォワーダ記憶手段によって記憶されている情報に基づいて、当該ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置が信頼フォワーダであるか非信頼フォワーダであるかを判定する信頼フォワーダ判定手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、前記信頼フォワーダ判定手段によって前記送信元であるＤＮＳフォワーダ装置が信頼フォワーダであると判定されたときには、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答をキャッシュし、前記信頼フォワーダ判定手段によって前記送信元であるＤＮＳフォワーダ装置が非信頼フォワーダであると判定されたときには、当該ＤＮＳクエリ応答をキャッシュしないキャッシュ制御手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳクライアント装置に送信し、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御手段によってキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御手段と
を備えたことを特徴とするＤＮＳメッセージ回送装置。 A DNS message times OkuSo location to route the DNS messages exchanged between the DNS forwarder device and the DNS client device connected to the DNS authoritative server apparatus via the external network,
When the DNS forwarder device receives an authoritative DNS query response from the DNS authoritative server, the DNS forwarder device caches the DNS query response and transmits the DNS query response to the DNS message forwarding device as an unauthorized response. Is,
Trusted forwarder storage means for storing information indicating a trusted forwarder that is a trusted DNS forwarder device and / or an untrusted forwarder that is an untrusted DNS forwarder device;
When a DNS query response is received from the DNS forwarder device, based on the information stored in the trusted forwarder storage means, whether the DNS forwarder device that is the source of the DNS query response is a trusted forwarder or an untrusted forwarder A reliable forwarder determination means for determining whether or not
When a DNS query response is received from the DNS forwarder device, and the trusted forwarder determination means determines that the DNS forwarder device as the transmission source is a trusted forwarder, the received DNS query response is an authoritative response. regardless of whether to cache the DNS query response, the when the trust forwarders determining means DNS forwarder device is the sender by is determined to be untrusted forwarder does not cache the DNS query response caching Control means;
When a DNS query response is received from the DNS forwarder device, the DNS query response is transmitted to the DNS client device as an unauthoritative response, and when a DNS query request is received from the DNS client device, the received DNS query Query control means for obtaining a DNS query response corresponding to the request from the DNS query response cached by the cache control means, and transmitting the DNS query response to a DNS client device that is the transmission source of the DNS query request. DNS message forwarding device. 前記ＤＮＳフォワーダ装置から前記ＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答を所定の認証方法により認証判定する認証判定手段をさらに備え、
前記キャッシュ制御手段は、前記認証判定手段によって認証されたＤＮＳクエリ応答のみをキャッシュすることを特徴とする請求項１に記載のＤＮＳメッセージ回送装置。 An authentication determination unit that determines, when receiving the DNS query response from the DNS forwarder device, authentication of the received DNS query response by a predetermined authentication method;
It said cache control means, DNS message forwarding device according to claim 1, characterized in that caching only authenticated DNS query response by the authentication decision means. ＤＮＳクライアント装置と、ＤＮＳ権威サーバ装置と、外部ネットワークを介して前記ＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置と、前記ＤＮＳクライアント装置とＤＮＳフォワーダ装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳメッセージ回送装置とを有するＤＮＳメッセージ回送システムであって、
前記ＤＮＳフォワーダ装置は、前記ＤＮＳ権威サーバから権威のあるＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答をキャッシュするとともに、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳメッセージ回送装置に送信するものであり、
前記ＤＮＳメッセージ回送装置が、
信頼できるＤＮＳフォワーダ装置である信頼フォワーダおよび／または信頼できないＤＮＳフォワーダ装置である非信頼フォワーダを示す情報を記憶する信頼フォワーダ記憶手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、前記信頼フォワーダ記憶手段によって記憶されている情報に基づいて、当該ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置が信頼フォワーダであるか非信頼フォワーダであるかを判定する信頼フォワーダ判定手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、前記信頼フォワーダ判定手段によって前記送信元であるＤＮＳフォワーダ装置が信頼フォワーダであると判定されたときには、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答をキャッシュし、前記信頼フォワーダ判定手段によって前記送信元であるＤＮＳフォワーダ装置が非信頼フォワーダであると判定されたときには、当該ＤＮＳクエリ応答をキャッシュしないキャッシュ制御手段と、
前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳクライアント装置に送信し、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御手段によってキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御手段と
を備えたことを特徴とするＤＮＳメッセージ回送システム。 A DNS client device, a DNS authoritative server device, a DNS forwarder device connected to the DNS authoritative server device via an external network, and a DNS message exchanged between the DNS client device and the DNS forwarder device A DNS message forwarding system having a DNS message forwarding device,
When the DNS forwarder device receives an authoritative DNS query response from the DNS authoritative server, the DNS forwarder device caches the DNS query response and transmits the DNS query response to the DNS message forwarding device as an unauthorized response. Is,
The DNS message forwarding device is
Trusted forwarder storage means for storing information indicating a trusted forwarder that is a trusted DNS forwarder device and / or an untrusted forwarder that is an untrusted DNS forwarder device;
When a DNS query response is received from the DNS forwarder device, based on the information stored in the trusted forwarder storage means, whether the DNS forwarder device that is the source of the DNS query response is a trusted forwarder or an untrusted forwarder A reliable forwarder determination means for determining whether or not
When a DNS query response is received from the DNS forwarder device, and the trusted forwarder determination means determines that the DNS forwarder device as the transmission source is a trusted forwarder, the received DNS query response is an authoritative response. Regardless of whether or not there is a cache, the DNS query response is cached, and when the reliable forwarder determination unit determines that the DNS forwarder device as the transmission source is an untrusted forwarder, the DNS query response is not cached. Control means;
When a DNS query response is received from the DNS forwarder device, the DNS query response is transmitted to the DNS client device as an unauthoritative response, and when a DNS query request is received from the DNS client device, the received DNS query Query control means for obtaining a DNS query response corresponding to the request from the DNS query response cached by the cache control means, and transmitting the DNS query response to a DNS client device that is the transmission source of the DNS query request. DNS message forwarding system. 前記ＤＮＳメッセージ回送装置が、
前記ＤＮＳフォワーダ装置から前記ＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答を所定の認証方法により認証判定する認証判定手段をさらに備え、
前記キャッシュ制御手段は、前記認証判定手段によって認証されたＤＮＳクエリ応答のみをキャッシュすることを特徴とする請求項３に記載のＤＮＳメッセージ回送システム。 The DNS message forwarding device is
An authentication determination unit that determines, when receiving the DNS query response from the DNS forwarder device, authentication of the received DNS query response by a predetermined authentication method;
4. The DNS message forwarding system according to claim 3 , wherein the cache control unit caches only the DNS query response authenticated by the authentication determination unit. 外部ネットワークを介してＤＮＳ権威サーバ装置に接続されたＤＮＳフォワーダ装置とＤＮＳクライアント装置との間でやり取りされるＤＮＳメッセージを回送するＤＮＳメッセージ回送装置に適用されるＤＮＳメッセージ回送方法であって、
前記ＤＮＳフォワーダ装置は、前記ＤＮＳ権威サーバから権威のあるＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答をキャッシュするとともに、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳメッセージ回送装置に送信するものであり、
前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、信頼できるＤＮＳフォワーダ装置である信頼フォワーダおよび／または信頼できないＤＮＳフォワーダ装置である非信頼フォワーダを示す情報を記憶した信頼フォワーダ記憶手段によって記憶されている情報に基づいて、当該ＤＮＳクエリ応答の送信元であるＤＮＳフォワーダ装置が信頼フォワーダであるか非信頼フォワーダであるかを判定する信頼フォワーダ判定ステップと、
前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、前記信頼フォワーダ判定ステップによって前記送信元であるＤＮＳフォワーダ装置が信頼フォワーダであると判定されたときには、受信したＤＮＳクエリ応答が権威のある応答であるか否かにかかわらず、当該ＤＮＳクエリ応答を記憶部にキャッシュし、前記信頼フォワーダ判定ステップによって前記送信元であるＤＮＳフォワーダ装置が非信頼フォワーダであると判定されたときには、当該ＤＮＳクエリ応答を前記記憶部にキャッシュしないキャッシュ制御ステップと、
前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置からＤＮＳクエリ応答を受信した場合に、当該ＤＮＳクエリ応答を権威のない応答として前記ＤＮＳクライアント装置に送信し、前記ＤＮＳクライアント装置からＤＮＳクエリ要求を受信した場合に、受信したＤＮＳクエリ要求に対応するＤＮＳクエリ応答を前記キャッシュ制御ステップによって前記記憶部にキャッシュされたＤＮＳクエリ応答の中から取得して前記ＤＮＳクエリ要求の送信元であるＤＮＳクライアント装置に送信するクエリ制御ステップと
を含んだことを特徴とするＤＮＳメッセージ回送方法。 A DNS message forwarding method applied to a DNS message forwarding device for forwarding a DNS message exchanged between a DNS forwarder device and a DNS client device connected to a DNS authoritative server device via an external network,
When the DNS forwarder device receives an authoritative DNS query response from the DNS authoritative server, the DNS forwarder device caches the DNS query response and transmits the DNS query response to the DNS message forwarding device as an unauthorized response. Is,
When the DNS message forwarding device receives a DNS query response from the DNS forwarder device, a trust storing information indicating a trusted forwarder that is a reliable DNS forwarder device and / or an untrusted forwarder that is an untrusted DNS forwarder device A trust forwarder determination step for determining whether the DNS forwarder device that is the source of the DNS query response is a trust forwarder or an untrusted forwarder based on the information stored by the forwarder storage means;
When the DNS message forwarding apparatus receives a DNS query response from the DNS forwarder apparatus, the received DNS query is determined when the DNS forwarder apparatus as the transmission source is determined to be a reliable forwarder in the trusted forwarder determination step. Regardless of whether or not the response is an authoritative response, the DNS query response is cached in the storage unit, and the DNS forwarder device as the transmission source is determined to be an untrusted forwarder by the trust forwarder determination step. A cache control step of not caching the DNS query response in the storage unit ;
When the DNS message forwarding device receives a DNS query response from the DNS forwarder device , the DNS message forwarding device transmits the DNS query response to the DNS client device as an unauthoritative response, and receives the DNS query request from the DNS client device In this case, a DNS query response corresponding to the received DNS query request is acquired from the DNS query response cached in the storage unit by the cache control step and transmitted to the DNS client device that is the transmission source of the DNS query request. A DNS message forwarding method comprising: a query control step. 前記ＤＮＳメッセージ回送装置が、前記ＤＮＳフォワーダ装置から前記ＤＮＳクエリ応答を受信した場合に、受信したＤＮＳクエリ応答を所定の認証方法により認証判定する認証判定ステップをさらに含み、
前記キャッシュ制御ステップは、前記認証判定ステップによって認証されたＤＮＳクエリ応答のみをキャッシュすることを特徴とする請求項５に記載のＤＮＳメッセージ回送方法。 An authentication determination step of determining, when the DNS message forwarding device receives the DNS query response from the DNS forwarder device, an authentication of the received DNS query response by a predetermined authentication method;
6. The DNS message forwarding method according to claim 5 , wherein the cache control step caches only the DNS query response authenticated by the authentication determination step. 請求項５〜６のいずれか一つに記載の方法に対応する処理をコンピュータに実行させることを特徴とするＤＮＳメッセージ回送プログラム。 DNS message forwarding program characterized by executing a process corresponding to the method according to any one of claims 5-6 in a computer.
JP2009126850A 2009-05-26 2009-05-26 DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program Active JP5180146B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009126850A JP5180146B2 (en) 2009-05-26 2009-05-26 DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2009126850A JP5180146B2 (en) 2009-05-26 2009-05-26 DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program

Publications (2)

Publication Number Publication Date
JP2010278559A JP2010278559A (en) 2010-12-09
JP5180146B2 true JP5180146B2 (en) 2013-04-10

Family

ID=43425140

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009126850A Active JP5180146B2 (en) 2009-05-26 2009-05-26 DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program

Country Status (1)

Country Link
JP (1) JP5180146B2 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5842128B2 (en) * 2011-07-19 2016-01-13 パナソニックＩｐマネジメント株式会社 Communication system, equipment communication server, client equipment

Also Published As

Publication number Publication date
JP2010278559A (en) 2010-12-09

Similar Documents

Publication Publication Date Title
JP4287456B2 (en) Server apparatus, method and program for preventing denial of service attacks
US8438614B2 (en) Communication system, relay apparatus, terminal apparatus and computer readable medium
TWI310649B (en) Peer-to-peer name resolution protocol (pnrp) security infrastructure and method
US20020035685A1 (en) Client-server system with security function intermediary
JP4917596B2 (en) Providing anonymity to mobile nodes in session with supported nodes
RU2005108655A (en) METHOD, GATEWAY AND SYSTEM FOR DATA TRANSFER BETWEEN THE DEVICE ON THE GENERAL USE NETWORK AND THE DEVICE ON THE INTERNAL NETWORK
US11265397B2 (en) Systems and methods for providing secure access to shared registration systems
CN108632221B (en) Method, equipment and system for positioning controlled host in intranet
US11888828B2 (en) Domain name system queries
JP4693174B2 (en) Intermediate node
Van Der Toorn et al. Addressing the challenges of modern DNS a comprehensive tutorial
JP5180146B2 (en) DNS message forwarding apparatus, DNS message forwarding system, DNS message forwarding method, and DNS message forwarding program
JP2011049745A (en) Device for defending dns cache poisoning attack
JP5095675B2 (en) DNS response control device, DNS response control system, DNS response control method, and DNS response control program
JP3910611B2 (en) Communication support server, communication support method, and communication support system
US10057214B2 (en) DNSSEC lightweight database access protocol gateway
Ahrenholz Host identity protocol distributed hash table interface
JP4856111B2 (en) COMMUNICATION DEVICE, PROGRAM, AND RECORDING MEDIUM
JP2007259384A (en) Communication control system, communication control apparatus, terminal, communication control method, and program therefor
JP4690964B2 (en) Communication support system
JP4066719B2 (en) Location information server that provides location information and its user terminal
US11647011B2 (en) Control method, information processing apparatus, and non-transitory computer-readable storage medium for storing control program
JP3911697B2 (en) Network connection device, network connection method, network connection program, and storage medium storing the program
Rembarz et al. Private domains in networks of information
JP2010206411A (en) Dns server device

Legal Events

Date Code Title Description
RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20110520

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20110520

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20110922

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20120927

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20121009

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20121207

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20130108

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20130110

R150 Certificate of patent or registration of utility model

Ref document number: 5180146

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250