DNSとは？仕組みをわかりやすく解説

ウェブサイトを開くのは一瞬のように感じますが、実はその前に素早い検索が行われています。ページが読み込まれる前に、利用しているデバイスがそのウェブサイトのデータが保存されているサーバーを特定しなければなりません。そこで活躍するのがDNSです。

この記事では、DNSとは何か、検索プロセスの仕組み、なぜDNSが重要なのか、そして通信速度やセキュリティにどのような影響を与えるのかを解説します。

DNSとは？なぜ重要なのか？

ドメインネームシステム（DNS）は、人にわかりやすいウェブサイト名を、コンピューターが通信先のサーバーを特定するために使う数値のIPアドレスに変換する仕組みです。

DNSがなければ、サイトにアクセスするたびに長い数字の文字列（IPアドレス）を覚えなければなりません。例えば、privateinternetaccess.comの代わりに192.0.2.1のような数字を入力する必要があります。DNSのおかげで、インターネットをより速く、簡単に利用できるのです。

DNSは、特定のサーバーを指すものではありません。複数のリゾルバーやネームサーバーからなる分散型のネットワークが連携して、問い合わせに応じて必要な情報を返し、通信がスムーズに行われるようにしています。

DNSの仕組みをステップごとに解説

ウェブサイトにアクセスするとき、裏側では次のような処理が行われています。

1. ブラウザにウェブサイト名を入力する。example.comのようなドメインを入力します。サイトを読み込むには、そのサイトを提供しているサーバーのIPアドレスが必要です。
2. デバイスがローカルDNSキャッシュを確認する。まず、ブラウザまたはOSが過去に同じサイトを訪問したことがあるか確認します。もしあれば、IPアドレスがメモリに保存されている可能性があり、すぐにウェブサイトに接続できます。
3. 再帰DNSリゾルバーに問い合わせる。キャッシュに情報がない場合、デバイスは再帰DNSリゾルバーにリクエストを送ります。再帰DNSリゾルバーは通常、ISPやGoogle、Cloudflareなどのプロバイダーが運営しています。ここからはリゾルバーが代わりに検索を行います。
4. リゾルバーが自身のキャッシュを確認する。最近同じサイトを検索していれば、すでにそのIPアドレスをキャッシュに保存している可能性があります。なければ、検索を続けます。
5. リゾルバーがルートDNSサーバーに問い合わせる。ルートDNSサーバーは、次に問い合わせるべきTLD（トップレベルドメイン）サーバー（この場合は.com）の情報をリゾルバーに返します。
6. リゾルバーがTLDネームサーバーに接続する。このサーバーは、クエリに応じて.comや.netなどで終わるドメインを管理しており、example.comの権威ネームサーバーのアドレスを返します。
7. リゾルバーが権威ネームサーバーに接続する。このサーバーが必要な情報を持っています。サイトのIPアドレスを管理しており、それをリゾルバーに返します。
8. リゾルバーがブラウザにIPアドレスを返す。これでデバイスはどこに接続すればいいかがわかります。ウェブサイトのサーバーに直接接続し、ページの読み込みを開始できます。
9. 検索結果がキャッシュされる。次回の検索を速くするために、デバイスとリゾルバーの両方がしばらくの間この結果を保存します。

複雑なシステムですが、実際にはすべてのステップがミリ秒単位で実行されます。 ユーザーからは、単にサイトが読み込まれているように見えるだけです。

DNSサーバーの種類

• 再帰DNSリゾルバー。デバイスが最初に直接問い合わせるサーバーです。他のサーバーに問い合わせながら、正しいIPアドレスを探し出し、その答えをブラウザに返します。
• ルートサーバー。ルートサーバーは求められているIPアドレス自体は知りませんが、リゾルバーがどこから検索を始めるべきかを知っています。ドメインの拡張子（.com、.net、.orgなど）に基づいて、適切なTLDサーバーを返します。
• TLDネームサーバー。comや.orgなど特定のドメイングループを管理するサーバーです。IPアドレス自体は持っていませんが、アクセスしようとしているドメインの権威ネームサーバーを把握しています。
• 権威ネームサーバー。IPアドレスを含む、ドメインの実際のDNSレコードを保持しているサーバーです。権威ネームサーバーには2種類あります。 元のレコードを保存するプライマリと、信頼性を確保するためにそのコピーを保持するセカンダリです。

DNSクエリの種類

すべてのDNSクエリが上記のプロセス全体を経るわけではありません。すでにわかっていることやキャッシュされている内容によって、システムが実行するDNSクエリの種類は異なります。これらのクエリの種類を使い分けることで、DNSは速度と正確性のバランスをとりながら、できるだけ速く正しい情報を返します。

再帰クエリ

再帰クエリでは、デバイスがDNSリゾルバーに最終的な答えを返すよう求めます。リゾルバーは必要に応じて他のDNSサーバーにも問い合わせ、最終的なIPアドレスを取得します。最初から最後までの検索プロセスをリゾルバーがすべて担当します。

反復クエリ

反復クエリでは、リゾルバーがDNSサーバーに順番に問い合わせ、それぞれのサーバーから得られる最も適切な情報を受け取ります。 サーバーが最終的な情報を持っていない場合は、次に問い合わせるサーバーをリゾルバーに示します。これは権威ネームサーバーに到達してIPアドレスを取得するまで続きます。

非再帰クエリ

非再帰クエリは最も速い種類のクエリで、リゾルバーがすでにIPアドレスをキャッシュしていて即座に返せる状態にある場合に発生します。他のサーバーに問い合わせる必要はなく、すぐに答えが返されます。

DNSはインターネット速度に影響するのか？

DNSは予想以上に大きな役割を果たしています。

先ほど説明したように、ウェブサイトにアクセスするたびに、ブラウザはドメイン名をIPアドレスに変換する必要があります。これはDNSルックアップと呼ばれるプロセスで行われます。通常は数ミリ秒しかかかりませんが、DNSサービスが遅かったり不安定だったりすると、ウェブサイトの読み込み全体が遅くなる可能性があります。

DNSサーバーが物理的に遠い場所にある場合や、リクエストの集中による過負荷、ドメインの解決の非効率などによって、ページの読み込みが始まる前に遅延を感じることがあります。ここではインターネット速度は関係ありません。高速な光ファイバー回線でも、低速なDSL接続でも、DNSルックアップが遅ければウェブサイトの読み込みは遅くなります。

一方、高速で最適化されたDNSプロバイダを使えば、ルックアップが迅速かつ効率的に処理されます。ウェブサイトの読み込みが速くなり、オンライン体験がよりスムーズになります。ウェブサイトを頻繁に閲覧する方や、一日中オンラインで仕事をしている方は特に実感しやすいでしょう。

多くのユーザーはISPのデフォルトのDNSサーバーを変更しないままにしています。おそらく、選択肢があることに気づいていないからでしょう。PIA VPN DNS、Cloudflare（1.1.1.1）、Google Public DNS（8.8.8.8）、Quad9など、より高速またはプライバシー重視のリゾルバーに切り替えると、違いを実感できます。

ブラウザとデバイスのOSはDNSキャッシュを保持していることも覚えておくといいでしょう。最近訪問したサイトであれば、DNSルックアップを繰り返す代わりに保存されたIPアドレスを使えるため、時間の節約やトラフィックの削減になります。これが、よく訪問するサイトの読み込みが速く感じられる理由のひとつです。

DNSルックアップを実行する方法

特定のドメインに関連するDNS情報を確認することをDNSルックアップと言います。Windows、macOS、Linuxには、このためのnslookupというツールが標準搭載されており、サイトのDNSレコードに含まれる情報を確認できます。IPアドレスやメールサーバーのレコードなどの情報を簡単に取得できる便利なツールです。手順は次の通りです。

1. パソコンでターミナルアプリまたはコマンドプロンプトを開きます。（Windowsの場合は、「スタート」をクリックして「コマンドプロンプト」または「cmd」と入力して開きます。）
2. nslookupと入力してEnterキーを押します。これにより、システムに設定されているDNSサーバーが、デフォルトの問い合わせ先になります。
3. Aレコード（IPアドレス）、MXレコード（メールの配送先サーバー）、NSレコード（ネームサーバー）など、特定の種類のDNSレコードを確認したい場合は、set type=recordtypeと入力してEnterキーを押します。たとえば、Aレコードを確認する場合はset type=Aと入力します。
4. 検索したいドメイン名（例：privateinternetaccess.com）を入力してEnterキーを押します。

レコード情報がターミナルに直接表示されます。

DNSの問題を解決したり、ドメインの名前解決が正しく行われているかを確認したりする際にも役立つツールです。

よくあるDNS攻撃と注意すべきポイント

DNSはセキュリティツールではありません。 速度と柔軟性を重視して設計されていますが、プライバシー保護や情報の改ざん防止は想定されていません。そのため、攻撃者に悪用され、さまざまなサイバー攻撃につながる脆弱性があります。

代表的なDNS攻撃の種類をご紹介します。

• DNSハイジャック。DNSリダイレクトとも呼ばれ、DNSクエリの名前解決の仕組みを改変することでユーザーを悪意のあるサイトに誘導する攻撃です。マルウェア、不正なルーター、または傍受されたトラフィックを通じてDNS設定を乗っ取ることがあります。
• DNSスプーフィング。DNSの応答に含まれる正しいIPアドレスを偽のIPアドレスに置き換え、ユーザーを偽のウェブサイトに誘導する攻撃です。これらの偽サイトはパスワードを盗んだり、デバイスにマルウェアを感染させたり、ユーザーが気づかないうちに本物のサイトを模倣したりします。
• DNSキャッシュポイズニング。DNSキャッシュに偽の情報を送り込む攻撃です。キャッシュが汚染されると、ユーザーが正しいドメイン名を入力しても、悪意のあるウェブサイトへ誘導されてしまいます。個々のデバイスだけでなく、DNSサーバーにも影響を及ぼす可能性があります。
• DNSリフレクション（増幅）攻撃: 攻撃者が送信元IPアドレスを偽装したDNSクエリを送信するDDoS攻撃の一種です。オープンDNSサーバーが偽装された送信元IPアドレスに大量のデータパケットを返すことで、標的のネットワークに通信が集中し、障害を引き起こします。
• DNSトンネリング。DNSクエリの中に悪意のあるデータを隠すことでセキュリティツールをすり抜ける手法です。標的のネットワークからデータを外部に持ち出したり、C2サーバーと密かに通信するために使われることが多いです。
• DNSリバインディング。偽のDNS情報を送ることで、ブラウザをルーターやホームサーバーなどプライベートネットワーク上のデバイスに接続させる攻撃です。通常はアクセスできないはずの内部システムに、悪意のあるウェブサイトがアクセスしようとする可能性があります。

DNSセキュリティの仕組みとDNSクエリを保護する方法

DNSトラフィックを保護し、情報が漏れるリスクを減らすために、次の対策を検討してみてください。

DNSSECで信頼性を確保する

DNSSEC（Domain Name System Security Extensions）は、DNS応答が改ざんされていないことを検証するための仕組みです。正当な送信元からの応答であることを確認する、デジタル署名のような役割を果たします。

DNSクエリを暗号化する

DNS over HTTPS（DoH）やDNS over TLS（DoT）などのプロトコルはDNSトラフィックを暗号化し、公共のネットワークや安全性の低いネットワーク上での盗聴や中間者攻撃を防ぐのに役立ちます。

DNSフィルタリングを設定する

DNSフィルタリングを利用すると、接続が確立される前に、すでに特定されている悪意のあるドメインへのアクセスをブロックできます。学校や企業だけでなく、保護者が安全なブラウジング環境を整えるために利用することも一般的です。サービスを選び、そのDNSアドレスをデバイスやルーターの設定に入力するだけで利用できます。

DNSシンクホールまたは許可リストを利用する

DNSシンクホールは、すでに特定されている悪質なドメインについて、本来のIPアドレスではなく無害なIPアドレスを返します。一方、許可リストは、あらかじめ承認したサイト以外へのアクセスをすべてブロックします。こうした方法は、厳格な管理が求められる企業環境で特に役立ちます。

DNS漏洩を定期的に確認する

セキュリティツールを利用している場合でも、DNS漏洩テストを実施して、DNS応答が意図せず安全性の低いDNSサーバーや想定していないDNSサーバーを経由していないか確認することをおすすめします。たとえばCloudflareを利用している場合、テスト結果にはISPの名前や別のIPアドレスではなく、1.1.1.1またはone.one.one.oneが表示されるはずです。

信頼できるDNSプロバイダを選ぶ

デフォルトでは、ISPがDNSプロバイダとして設定されていますが、より優れた速度、プライバシー、セキュリティを求めて、プライベートDNSプロバイダに変更することもできます。ただし、DNSサービスの品質はさまざまです。DNSSECに対応し、DDoS攻撃や障害に対応するための対策を備え、データを記録・販売しないプロバイダを選びましょう。

よくある質問