【入門編】 Cloud DNSのDNSSEC(DNS Security Extensions)実装と検証 – クラウドインフラと仮想化ネットワーク実践ガイド

DNSの「なりすまし」を防ぐ守護神！Cloud DNSでのDNSSEC実装をマスターしよう

こんにちは！クラウドインフラの現場で、日々ネットワークのログと格闘しているSREです。

皆さんは、Webサイトの住所である「IPアドレス」を教えてくれる「DNS（ドメインネームシステム）」を、100%信頼していますか？実は、インターネットという広い世界には、「偽の住所を教える悪意ある配達員」が潜んでいます。

そんな悪意から私たちのサイトを守るための技術が「DNSSEC」です。今回は、GCPの「Cloud DNS」を使って、この強力なセキュリティ機能をどう設定し、運用していくのか、現場の視点から優しく解説します！

—

1. DNSSECって何？「封筒の封印」で例えてみよう

DNSSEC（DNS Security Extensions）を一言で言うと、「DNSの回答に『間違いなく本人から送られてきたものですよ』という封印（デジタル署名）をする仕組み」です。

想像してみてください。あなたが手紙を出したとき、途中で誰かが手紙をすり替えて、偽の目的地に誘導しようとしたら怖いですよね。DNSSECは、手紙に「特殊なスタンプ（署名）」を押すことで、「この手紙は途中で改ざんされていない！」と受け取り手が確認できるようにする技術なんです。

これをしないと、悪意ある第三者がDNSのキャッシュを書き換える「キャッシュポイズニング」という攻撃を受け、ユーザーを偽の詐欺サイトへ誘導されてしまうリスクがあります。

—

2. Cloud DNSでDNSSECを有効にする（実装編）

GCPのCloud DNSを使えば、この複雑な暗号署名作業を驚くほど簡単に自動化できます。まずは、マネージドゾーンでDNSSECを有効にしてみましょう。

手順1：ゾーンの作成とDNSSECの有効化

既にゾーンがある場合は、設定を更新するだけです。新規作成時なら、以下のように gcloud コマンド一発で指定可能です。

# 既存のマネージドゾーン「my-zone」でDNSSECを有効化する設定
gcloud dns managed-zones update my-zone \
    --dnssec-state=on \
    --denial-of-existence=nsec3  # 「存在しないこと」を証明する方式（NSEC3が一般的で推奨！）

--dnssec-state=on: これだけで、Googleが自動的に暗号鍵を作成し、署名を付与してくれます。
--denial-of-existence=nsec3: 「このドメインは存在しません」という返答に対しても署名を付与する方式です。セキュリティ強度が非常に高い設定になります。

—

3. 「DSレコード」の登録を忘れずに！

DNSSECを有効にしただけでは、まだ「封印」は完了していません。「この公開鍵が本物ですよ」という証明書を、ドメインの親元（レジストラ）に届ける必要があります。

これを「DSレコード（Delegation Signer）」の登録と言います。

1. Cloud DNSのコンソールから、先ほど設定したゾーンの情報を開きます。
2. 「DNSSEC」項目に表示されている「DSレコード」の情報をコピーします。
3. ドメインを購入したサービス（お名前.comやGoogle Domainsなど）の管理画面で、そのDSレコードを登録します。

ここが一番のハマりポイントです！ 親元に登録しないと、インターネット全体に「このゾーンはDNSSECで守られているぞ！」という宣言が伝わりません。

—

4. 署名鍵のローテーション：自動運用が最強の理由

DNSSECの運用で最も大変なのが「鍵の更新（ローテーション）」です。鍵をずっと同じものにしていると、万が一破られた時に致命傷になります。

しかし、Cloud DNSなら「自動ローテーション」が標準装備です。

ZSK (Zone Signing Key): ゾーン内のレコードに署名する鍵。Cloud DNSが定期的に裏側で新しい鍵を生成し、古い鍵を破棄してくれます。
KSK (Key Signing Key): ZSK自体が正しいことを証明する親玉の鍵。これもCloud DNSが適切に管理します。

私たちが自分でサーバーを立ててDNSSECを運用していた頃は、手動で鍵を更新するたびに冷や汗をかいていましたが、クラウドなら「設定して忘れる（Set and forget）」ができるのです。まさに、SREの味方ですね！

—

5. 本当に守られているか確認する方法

設定が終わったら、正しく動いているか確認したくなりますよね。以下のツールを使うと、パケットの挙動を可視化できます。

# digコマンドでDNSSECの署名（RRSIG）を確認する
dig DNSKEY google.com +dnssec

実行結果の中に RRSIG というレコードが見えれば、成功です！これが「封印（デジタル署名）」の正体です。

—

最後に：インフラエンジニアとしての一歩

DNSSECは「設定したから即座に何かが速くなる」というものではありません。しかし、ユーザーがあなたのサイトを訪れる際、「正しい道を通っていること」を保証する、いわば「見えないガードマン」です。

最初は難しく感じるかもしれませんが、まずは検証環境でDNSSECをONにしてみてください。「設定が反映された！」という成功体験こそが、クラウドインフラを使いこなす第一歩になります。

「DNSSEC？難しそう」と避けていた皆さんも、ぜひ今日からCloud DNSで安全なインターネット環境の構築に挑戦してみてくださいね！

それでは、また次の現場でお会いしましょう！Happy Clouding!