DNSラウンドロビンを使った時にアクセス・負荷が偏る話 - 元RX-7乗りの適当な日々
昨日に続き、アクセスが偏る系のエントリです。 なにかと議論のネタになるDNSラウンドロビンですが、今日はDNSラウンドロビンを使った時に、各IPアドレスにくるリクエスト数に偏りが出るという話。 DNSラウンドロビンで設定されているFQDNに、コマンドラインで"host"とか"nslookup"のコマンドを何度か実行すると、返ってくるIPアドレスリストの順序が入れ替わっていくことが確認できると思います。 基本的に、クライアントはそのIPアドレスリストの上(最初)からアクセスを行うため、これによって(一応)負荷分散が実現できるはずですが、特定環境のクライアントでは、ラウンドロビンとはならずに必ず特定のIPアドレスにアクセスするケースがあるのです。(既知の事実ですが。) この事は、Wikipediaの該当ページにも記載されています。 主にIPv6における宛先アドレス選択アルゴリズムとして定義され
AWS launches NAT64 and DNS64 capabilities to enable communication between IPv6 and IPv4 services
Starting today, your IPv6 AWS resources in Amazon Virtual Private Cloud (VPC) can use NAT64 (on AWS NAT Gateway) and DNS64 (on Amazon Route 53 Resolver) to communicate with IPv4 services. As you transition your workloads to IPv6 networks, they would continue to need access to IPv4 network and services. With NAT64 and DNS64, your IPv6 resources can communicate with IPv4 services within the same VPC
The Case of the Recursive Resolvers - Slack Engineering
Rafael Elvira Staff Software Engineer, Infrastructure On September 30th 2021, Slack had an outage that impacted less than 1% of our online user base, and lasted for 24 hours. This outage was the result of our attempt to enable DNSSEC — an extension intended to secure the DNS protocol, required for FedRAMP Moderate — but which ultimately led to a series of unfortunate events. The internet relies ve
SAD DNSのICMP rate limitを用いたサイドチャネル攻撃について - knqyf263's blog
脆弱性ネタは人気がないことが過去の傾向から明らかですが、自分が震えるほど感動したので忘れないためにも気合い入れて大作を書きました。 要約 背景 SAD DNSの解説 全体像 UDPのソースポートについて ICMP rate limit per-IP rate limit global rate limit Public-Facing Source Portのスキャン Private Source Portのスキャン 攻撃Windowの拡張 サイドチャネル攻撃でUDPソースポートを推測してみる 対策 攻撃実現性 まとめ 要約 ちゃんと理解するの結構難しいという話があったので、先に要約しておきます。雰囲気だけでも掴んでもらえると嬉しいです。 DNSキャッシュポイズニングの新しい手法としてSAD DNSが発表された キャッシュポイズニングのためには権威DNSサーバ正規の応答を返すより先に攻撃者が
SAD DNS Explained
This week, at the ACM CCS 2020 conference, researchers from UC Riverside and Tsinghua University announced a new attack against the Domain Name System (DNS) called SAD DNS (Side channel AttackeD DNS). This attack leverages recent features of the networking stack in modern operating systems (like Linux) to allow attackers to revive a classic attack category: DNS cache poisoning. As part of a coordi
全国初摘発「ドメイン名ハイジャック」 サイト乗っ取り金要求 京都府警、容疑で男2人逮捕｜社会｜地域のニュース｜京都新聞
全国初摘発「ドメイン名ハイジャック」 サイト乗っ取り金要求 京都府警、容疑で男2人逮捕 2021年3月9日 15:47 インターネット上の住所に当たる「ドメイン名」を乗っ取り、サイト運営者に元に戻すための身代金を要求したとして、京都府警サイバー犯罪対策課と南署は９日、恐喝未遂の疑いで、滋賀県草津市の自称ＩＴコンサルタントの男（４２）と東京都港区の会社員の男（２６）を逮捕した。 「ドメイン名ハイジャック」と呼ばれるサイバー犯罪で、国内では２０１４年ごろから被害が相次いでいる。ＩＴ専門機関によると事件として摘発されるのは初とみられる。 ドメイン名は、サイトに接続するためのＵＲＬのうち、冒頭の「ｈｔｔｐ：／／ｗｗｗ．」に続く部分。専門機関ＪＰＣＥＲＴコーディネーションセンターによると、ドメイン名が乗っ取られるとサイトの内容が改ざんされたり、偽サイトに誘導されたりする。１９年には人気アニメ「ラブラ
JPRS用語辞典｜NS Takeover（エヌエステイクオーバー）
あるゾーンの親ゾーンの委任情報（NSリソースレコード）が適切に設定されておらず、lame delegationになっていることを利用し、管理権限を持たない第三者がそのゾーン（ドメイン名）の乗っ取りを図る攻撃手法です。 外部のDNSサービスやホスティングサービスなどを利用する場合、そのサービスを利用するための委任情報を、親ゾーンに登録・設定します。例えば、example.jpの管理者がns-99.example.netで運営されるDNSサービスを利用する場合、jpゾーンに以下の委任情報を登録・設定します。 その後、example.jpの運用終了により当該サービスを解約すると、ns-99.example.netに設定されたexample.jpゾーンは削除されますが、親ゾーンに登録・設定された委任情報は削除されず、そのまま残ります。この委任情報を削除しなかった場合、example.jpゾーンはl
Configuring DNSSEC signing and validation with Amazon Route 53 | Amazon Web Services
Networking & Content Delivery Configuring DNSSEC signing and validation with Amazon Route 53 AWS now supports DNS Security Extensions (DNSSEC) signing on public zones for Amazon Route 53 and validation for Amazon Route 53 Resolver. DNSSEC is a specification that provides data integrity assurance for DNS and helps customers meet compliance mandates (for example, FedRAMP and security standards such
DNSpooqの脆弱性詳細と攻撃コード解説 - knqyf263's blog
概要 要約 詳細 背景 前提 インターネット上に公開されたdnsmasq LAN内のマシンが攻撃者の支配下にある LAN内のマシンに攻撃者管理のWebサイトを閲覧させることができる 影響 中間者攻撃 汚染拡大 DDoS/Reverse DDoS CVE-2020-25684: ポートの多重化 CVE-2020-25685: 脆弱なCRC32の利用 CVE-2020-25686: 同一ドメイン名に対する複数クエリ発行 DNSフォワーダにおけるレスポンスの未検証 組み合わせる ドメイン名の登録 ソースIPアドレスの偽装 CRC32の衝突 攻撃の流れ ブラウザからの攻撃 検証端末 攻撃の成功確率 PoC fowarder cache attacker 大量クエリの送信 偽装レスポンスの送信 高速化の話 実行 対策・緩和策 余談 まとめ 概要 先日DNSpooqという脆弱性が公開されました。 ww
Announcing Amazon Route 53 support for DNSSEC
Today, Amazon Web Services announced the launch of Domain Name System Security Extensions (DNSSEC) for Amazon Route 53. You can now enable DNSSEC signing for all existing and new public hosted zones, and enable DNSSEC validation for Amazon Route 53 Resolver. Amazon Route 53 DNSSEC provides data origin authentication and data integrity verification for DNS and can help customers meet compliance man
掲載記事2014年 / 株式会社日本レジストリサービス（JPRS）
2014年のドメイン名重要ニュース ・2014/12/26 ドメイン名ハイジャックも多発！2014年「ドメイン名ニュース」 (ASCII.jp) http://ascii.jp/elem/000/000/964/964380/ DNS Tips（2014年） ・2014/12/22 名前解決とは何ですか？ (＠IT) http://www.atmarkit.co.jp/ait/articles/1412/19/news013.html ・2014/12/22 権威DNSサーバーはどのように監視すればよいですか？ (＠IT) http://www.atmarkit.co.jp/ait/articles/1412/19/news014.html ・2014/12/22 digコマンドやdrillコマンドの使い方を教えてください (＠IT) http://www.atmarkit.co.jp/a
ムームードメイン + .xyzドメイン で利用制限にかかる。この組み合わせはオススメしない - 或る阿呆の記
ムームードメイン + .xyzドメイン で利用制限にかかる。この組み合わせはオススメしない 2016 7/01 本記事は、ムームードメイン + XYZ で、利用制限がかかり、またそれが解除されるまでのことを綴った記事です。まぁ一人の経験談ですから、そういうものとして参考にしてもらえればと思いますが、少なくとも私はオススメしないですよ、この組み合わせ。 （2016/08/07追記：久々に見ると、またserverHoldにかかっていました。しかし、今回のことで嫌気がさしていた私は、既に当該ドメインを使っていません。したがって、問題の起きようがありません。ムームードメイン+XYZに問題があるのだと私は判断します） これまでの記事。 「DNSアドレスが見つかりませんでした」独自ドメインのサイトがserverHold….xyzのせいなんだろうか : 或る阿呆の記 serverHoldは珍しいのか。中
Amazon Route 53 に登録したドメインの名前解決が出来たり出来なかったりします。端末によっては dig コマンドの結果に IP アドレスが返ってきません。 | DevelopersIO
困っていた内容 サイト表示が出来たり出来なかったりします。サーバのリソースやネットワークには問題がないように見受けられます。また、調査を進めていくとサイト表示が行なえない端末から dig コマンドを使って Amazon Route 53 に登録したドメインの名前解決を行っても、下記の通り IP アドレスが返ってきません。 $ dig dev.invalid ; <<>> DiG 9.10.6 <<>> dev.invalid ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 46694 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1 ;; OPT PSEUDOSECTI
ACME v1/v2: Validating challenges from multiple network vantage points - API Announcements - Let's Encrypt Community Support
On Wednesday February 19th, 2020 we’ll turn on stricter validation requirements in production. We’ll make multiple validation requests from different network perspectives. Most issuance should continue as normal; we believe that a small number of domain names may need fixing. The most common issue will be hosts that use extremely strict firewall rules to allow validation from only specified IP add
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Configuring DNSSEC signing in Amazon Route 53 - Amazon Route 53
SAD DNS
https://www.forescout.com/resources/namewreck-breaking-and-fixing-dns-implementations/
https://techcrunch.com/2021/02/15/notions-hours-long-outage-was-caused-by-phishing-complaints/
STUDIO 原因判明のお知らせと対応策について
Welcome to DNS - Welcome_to_DNS-final.pdf