インターネットの13のRoot Servers
グローバルDNSインフラを支えるルートサーバー
What are Root Servers?
Root Servers（ルートサーバー）は、ドメインネームシステム（DNS）の根幹をなすものです。DNS名前解決プロセスにおいて最初に問い合わせが行われるサーバーであり、再帰DNSサーバーがドメイン名を解決できない場合、対応するTLD（トップレベルドメイン）サーバーのアドレスを取得するために、これら13のルートサーバークラスターのいずれかに問い合わせます。
「13のRoot Servers」と呼ばれていますが、実際にはそれぞれの文字がエニーキャストによってグローバルに分散された数百のサーバーで構成されるクラスターを表しています。合計で1,700以上のルートサーバーインスタンスが世界中に配置されており、DNSシステムの耐障害性と高速性を確保しています。
Root Serversは、大学、企業、政府機関を含む12の異なる組織によって管理されており、ICANNとIANAの調整のもとで運用されています。
| 識別文字 | IPv4 | 運営組織 |
|---|---|---|
| A | 198.41.0.4 | Verisign |
| B | 170.247.170.2 | USC-ISI |
| C | 192.33.4.12 | Cogent Communications |
| D | 199.7.91.13 | University of Maryland |
| E | 192.203.230.10 | NASA Ames Research Center |
| F | 192.5.5.241 | Internet Systems Consortium |
| G | 192.112.36.4 | US DoD (NIC) |
| H | 198.97.190.53 | US Army Research Lab |
| I | 192.36.148.17 | Netnod |
| J | 192.58.128.30 | Verisign |
| K | 193.0.14.129 | RIPE NCC |
| L | 199.7.83.42 | ICANN |
| M | 202.12.27.33 | WIDE Project |
ルートサーバーに関するよくある質問
- DNS ルートサーバーはいくつありますか？
- ルートサーバーの「名前」は A から M までの 13 ですが、それぞれは anycast で世界中に分散した多数のマシンからなるクラスターです。合計では 130 か国以上に 1,700 を超えるインスタンスがあり、東京や大阪からの問い合わせも、米国の 1 台ではなく近くのノードが応答します。
- なぜちょうど 13 なのですか？
- 初期の DNS プロトコルの制限のためです。UDP の応答は 512 バイトに収める必要があり、質問と一緒に入る「名前とアドレス」のレコードが 13 個でした。名前を増やす代わりに、各運用者はそれぞれを anycast で多重化しました。13 の名前の裏に 1,700 以上のサーバーがあるのはそのためです。
- ルートサーバーは誰が運用していますか？
- 12 の組織です。Verisign（A と J）、USC-ISI（B）、Cogent（C）、メリーランド大学（D）、NASA（E）、Internet Systems Consortium（F）、米国国防総省（G）、米陸軍研究所（H）、Netnod（I）、RIPE NCC（K）、ICANN（L）、そして WIDE プロジェクト（M）。ルートゾーンは ICANN と IANA が調整し、Verisign が Root Zone Maintainer として公開しています。
- 物理的にはどこにありますか？
- 世界中です。表の都市は運用者の本拠地ですが、どの文字にもすべての大陸にインスタンスがあり、インターネットエクスチェンジに設置されています。運用者のうち 3 つは米国外（ストックホルムの Netnod、アムステルダムの RIPE NCC、東京の WIDE）で、日本には M ルートの本拠地に加えて複数の文字のインスタンスがあります。
- 198.41.0.4 のようなルートサーバーを自分の DNS に設定できますか？
- できません。ルートサーバーはルートゾーンに対してのみ権威を持ち、名前を解決してくれるわけではありません。問い合わせたトップレベルドメイン（.com、.jp、.org）のサーバーへの「参照」を返すだけです。ルートサーバーを DNS に設定したパソコンはウェブを閲覧できません。必要なのは 1.1.1.1、9.9.9.9、8.8.8.8 のような再帰リゾルバーです。
- ルートサーバーは実際に何を答えるのですか？
- ただ一つ、あるトップレベルドメインの権威ネームサーバーがどこにあるかです。リゾルバーが example.jp を初めて引くとき、ルートは .jp のサーバーの場所を、.jp は example.jp のサーバーの場所を教え、そこが最終的な答えを返します。リゾルバーは .jp への参照を 2 日間キャッシュするので、実際にルートへ問い合わせる回数はごくわずかです。
- ルートサーバーが停止したり攻撃されたりしたらどうなりますか？
- ほとんど何も起きません。影響を受けた文字のトラフィックは他の anycast インスタンスに移り、残り 12 の文字は応答を続けます。さらにリゾルバーはトップレベルドメインへの参照を 48 時間キャッシュするため、全面停止でさえ表面化するまで時間がかかります。2002 年、2007 年、2015 年の大規模 DDoS 攻撃でも、利用者に体感できる障害は起きませんでした。
- ルートゾーンは DNSSEC で署名されていますか？
- はい、2010 年 7 月からです。ルート鍵（KSK）は 2018 年 10 月に初めて更新されました。Quad9、Cloudflare、Google などの検証リゾルバーはルートから始まる署名の連鎖を確認しており、それによって偽造された DNS 応答を検出できます。