時刻サービスと名前解決サービス

ネットワークはパケットを転送するだけでなく、全体の一貫性と使いやすさを保つバックグラウンドのサービスにも依存しています。中でも特に基本的なものが時刻同期と名前解決です。

正確な時刻がなければログやセキュリティが機能せず、名前解決がなければ利用者はIPアドレスを暗記しなければなりません。これらの目立たないサービスが、ネットワーク上のほぼすべてを支えています。

コンピューターが時刻を同期する必要がある理由は多数あります。インシデントを調査するにはデバイス間のログエントリを時系列で揃える必要があり、セキュリティ証明書には有効な時間範囲があり、Kerberosのような認証システムは時計がずれすぎていると要求を拒否します。

数分程度の時計のずれでも、ログインに失敗したり、トラブルシューティングが混乱したり、ネットワーク全体で原因を特定しにくい障害が発生したりします。

NTP (Network Time Protocol)は、ネットワーク上のデバイスの時計を同期します。デバイスはNTPサーバーに問い合わせ、時刻を合わせることで、ミリ秒単位の精度を実現します。NTPはUDPポート123を使用します。

NTPは現在も広く使われている最も古いインターネットプロトコルの1つであり、ルーターからサーバーまで、すべてのデバイスが同じ時刻を認識できるよう静かに支えています。

NTPは時刻ソースをstrataに分けて構成します。Stratum 0は、原子時計やGPS時計のような非常に正確な基準時計です。Stratum 1のサーバーは基準時計に直接接続し、stratum 2はstratum 1から同期するというように続きます。

階層が1段下がるごとに精度は少し低下します。通常、ネットワークは数段下のパブリックまたは内部のNTPサーバーと同期しますが、通常の用途には十分すぎる精度です。

最も重要な名前解決サービスはDNS (Domain Name System)です。example.comのような人間にわかりやすい名前をIPアドレスに変換します。DNSは、数字の代わりに名前を使えるようにするインターネットの電話帳です。

ウェブサイトの閲覧、メール、アプリの接続は通常、DNSルックアップから始まります。そのため、名前解決はどのネットワークでも最も頻繁に利用されるサービスの1つです。

DNSは非常に重要であるため、DNSが停止すると接続自体は正常でも、ネットワークの大部分が壊れたように見えます。利用者は名前でサイトにアクセスできず、メールは滞り、アプリはタイムアウトします。原因はルーティングではなく、名前解決の問題です。

そのため、It is always DNS（結局いつもDNS）という言葉がネットワークエンジニアの定番の冗談になっています。謎の障害の多くはDNSの問題に行き着くからです。

組織では、プライベートネットワーク上のサーバーやプリンターなどに名前を付け、見つけられるようにするため、独自の内部DNSを運用することがよくあります。これにより、スタッフはIPアドレスを覚える代わりに、わかりやすい内部名を使えます。

内部DNSはディレクトリサービスとも連携し、コンピューターやユーザーを名前で検索して認証できるようにします。これは、管理された企業ネットワークの基盤です。

名前を入力すると、デバイスはリゾルバー（通常はISPや8.8.8.8のようなパブリックサービス）に、対応するIPを見つけるよう依頼します。リゾルバーはまずキャッシュを確認し、必要に応じてDNS階層へ問い合わせて、アドレスを返します。

その後、デバイスはそのIPへ接続します。この一連のやり取りは通常数ミリ秒で完了し、インターネット上でほぼすべての接続を行う前に、見えないところで実行されています。

ネットワークは、ほかにも多くのバックグラウンドサービスに依存しています。

• DHCP (Dynamic Host Configuration Protocol)は、IP設定を自動的に割り当てます。
• NTPは時刻を同期します。
• DNSは名前を解決します。

この3つがそろって、ネットワークを使いやすくする目立たない基盤になります。どれか1つが停止すると、原因が見えなくても利用者はすぐに影響を受けます。

基盤サービスは、攻撃者にとって価値の高い標的です。DNSスプーフィングによってユーザーを偽サイトへ誘導される可能性があり、改ざんされた時刻によってセキュリティチェックが機能しなくなることもあります。防御策としては、DNSレコードを認証するDNSSEC（DNS Security Extensions）や、信頼できる認証済みのNTPソースを利用します。

多くの処理がこれらのサービスに依存しているため、時刻同期サービスと名前解決サービスを正確かつ安全に保つことは、健全で信頼できるネットワークに不可欠です。

NTPはstratum階層を使ってクロックを同期します（ログ、証明書、認証に不可欠です）。一方、DNSは名前をアドレスに解決し、ほぼすべての接続を支えています。DHCPとともに、これらのバックグラウンドサービスがネットワークを利用可能にし、さらにDNSSECなどのツールで保護することで、ネットワーク全体の基盤を守れます。

名前解決と時刻同期に関する知識を確認しましょう。

バックグラウンドサービスは、ネットワークを利用可能な状態に保ちます。NTPはUDP 123上でstratum階層を使ってクロックを同期します（ログ、証明書、認証に不可欠です）。DNSは名前をアドレスに解決し、ほぼすべての接続を支えます。DHCPは設定を配布します。これらをDNSSECと信頼できる時刻ソースで保護しましょう。