ハイブリッドアーキテクチャでDNSのレジリエンスとパフォーマンスを強化

F5エコシステム | 2024年6月21日

ドメインネームシステム（DNS）は、インターネットの「電話帳」とも呼ばれ、人が理解しやすいコンピューターのホスト名をIPアドレスに変換します。この重要な機能により、インターネットアプリケーションやデジタルサービスへのアクセスが可能になり、オンライン接続に不可欠な基盤を形成しています。

近年、DNSベースの攻撃が急増しています。こうした攻撃は絶えず進化し、DNSサービスの可用性や安定性、脆弱性を悪用しています。F5 Labsの「2023年DDoS攻撃動向レポート」によると、サイバー攻撃者の手法はますます巧妙化しており、DNSベースの攻撃は継続的な脅威となり、サイバー犯罪者が好んで用いる攻撃手法となっています。たとえば、事例として、2021年4月に発生した大規模な分散型サービス拒否（DDoS）攻撃では、Xbox Live、Office、SharePoint Online、Teams、OneDriveなど、複数のMicrosoftクラウドサービスが2時間にわたって停止しました。その後、2023年4月には、DNSの存在しないドメイン（NXDOMAIN）を悪用した一連のDDoS攻撃により、米国の医療機関のWebサイトが標的となり、過負荷状態に陥りました。この攻撃によってネットワークが輻輳し、サーバーは正規ユーザーからのリクエストを処理できなくなりました。この事例は、ハイブリッドネットワークにおいて、堅牢で冗長性のあるDNSシステムが不可欠であることを浮き彫りにしています。

DNSの重要性とクラウド技術の急速な進化を踏まえ、組織はDNSのレジリエンスをあらゆる角度から確保するため、最適な高可用性DNSソリューションを選定する必要があります。

クラウドは優れていますが、オンプレミスの補完ソリューションと組み合わせれば、さらに効果的です

クラウドベースのDNSで発生した障害は、冗長化されたシステムであっても、クラウドサービス、特にDNSが停止する可能性があることを示しています。こうした停止は、ソフトウェアのバグ、設定ミス、人為的ミス、電源障害、ネットワーク到達性の問題など、さまざまな要因によって発生する可能性があります。システムを常に稼働させ続けることは容易ではありません。

DNS障害が増加する中、組織は、クラウドサービスが停止した場合でも可用性とセキュリティを自ら管理しながら、クラウドサービスの俊敏性を活用する方法を模索しています。

DNSサービスを補完するグローバルサーバーロードバランシング（GSLB）は、DNSプロトコルを基盤とする負荷分散メカニズムであり、複数のデータセンターやマルチクラウド環境のレジリエンスを実現します。サービスリソースに関する情報とDNSを活用し、ビジネスポリシーとネットワークポリシーに基づいて、地理的に分散した拠点間でトラフィックをインテリジェントに振り分けます。運用を継続的に稼働させるため、組織は、密接に連携するコアDNSサービスとインテリジェントDNSサービスに最適なレジリエンス設計を積極的に検討しています。

F5ベースのハイブリッドアーキテクチャでDNSのレジリエンスとパフォーマンスを強化

F5 Distributed Cloud ServicesのSaaSベースのDNSサービスをオンプレミスのF5 BIG-IP DNSソリューションと併用することで、組織は弾力性、俊敏性、DDoS攻撃の緩和を強化できるほか、グローバル規模での拡張性、パフォーマンス、可用性を実現できます。オンプレミスとクラウドベースの各ソリューションを組み合わせることで、そのメリットはさらに大きくなります。BIG-IP DNSでは、自動化機能を活用して包括的なセキュリティと可用性を確保できるほか、プライマリDNSレコードの非表示や、オンプレミスDNSサービスを有効化する権限などの追加機能も利用できます。

このアーキテクチャにより、組織は通常運用時に権威DNSとしてF5 Distributed Cloud Servicesを利用できます。必要に応じてオンプレミスのDNSサービスに切り替えられるため、DNSインフラストラクチャを引き続き自ら管理できます。

F5ハイブリッドDNSアーキテクチャでは、Distributed Cloud DNSが権威DNSとセカンダリDNSの両方として機能し、SaaSベースのキャパシティと次のような機能を活用します。

多層型セキュリティ： 組み込みの保護機能と自動フェイルオーバーにより、DDoS攻撃やドメイン応答の改ざんを防ぐ動的なセキュリティを実現します。
容量の自動スケーリング：アプリケーションを場所を問わず展開し、サポートできます。このDNSソリューションは、展開と管理を容易にするグローバルデータプレーンを基盤としており、大量の需要に対応するために自動的にスケールします。
高可用性を維持：グローバルなエニーキャストネットワークを基盤とし、世界各地の市場に展開するポイントオブプレゼンスを通じて、高可用性と優れた応答性を備えたDNSを提供します。
迅速な導入と提供：1組のAPIを使用して、数分で構成とプロビジョニングを行えます。

予期せぬ事態によりSaaSベースのDNSサービスが利用できない場合、組織はオンプレミスのBIG-IP DNSを自動的に有効化し、DNSトラフィックを中断なく維持できます。BIG-IP DNSは、次のような堅牢な機能を提供します。

1億RPSのパフォーマンス： BIG-IP DNSは、DNS ExpressサービスとRapid Response Modeを使用して権威DNSを最大1億クエリ応答/秒（RPS）までハイパースケール化し、ユーザーを最適なサイトに接続します。F5 DNS Expressサービスは、DNS応答をオフロードし、数十万RPSから5,000万RPS超まで拡張することで、標準的なDNS機能を強化します。
DNSファイアウォール／DDoS： BIG-IP Advanced Firewall Manager (AFM)と組み合わせることで、UDPフラッドや増幅型DDoS攻撃などの大規模DDoS攻撃からDNSを保護する機能を含む、広範なセキュリティを提供できます。
DNSSEC: リアルタイムのドメインネームシステムセキュリティ拡張（DNSSEC）により、ローカルドメインネームサーバーをキャッシュポイズニングや中間者攻撃から保護します。
キャッシュ統合： レイテンシーと応答時間を最大80%短縮します。
可用性を確保するフェイルオーバー： データセンター全体、または個々のアプリケーションやサーバーをフェイルオーバーし、ユーザーが必要なアプリケーションに中断なくアクセスできるようにします。

このアーキテクチャは、クラウドのメリットを活用しながらデジタルビジネスをオンラインに保つために必要な、継続的なDNSサービスを実現します。クラウドサービスがオフラインになった場合でも、組織が制御を維持し、サービスを継続できるようにします。