Firebox の DNS について

Firebox では、さまざまな種類の DNS サーバーおよびサービスを構成できます。それぞれの DNS サーバーおよびサービスには様々な目的があり、Firebox 設定の異なる場所で構成されています。一部の DNS サーバーは他のサーバーよりも優先されます。

使用可能な DNS サーバーおよびサービスを使用すると、次のことが可能になります。

DNS のベストプラクティスについては、次を参照してください： Firebox 構成のベストプラクティス。

DNS の問題をトラブルシューティングする方法の詳細については、次を参照してください： ネットワーク接続をトラブルシューティングする。

Firebox 上の DNS サーバー

Firebox には DNS 転送のための DNS サーバーが含まれています。Firebox 自体を DNS サーバーとして機能させるよう構成することはできません。代わりに、Firebox を構成して指定した DNS サーバーに要求を転送するようにします。

Firebox で利用可能な DNS サーバーには以下が含まれます：

  • これは、Firebox 上のすべてのインターフェイスおよびローカル プロセスの既定の DNS サーバーです。

    Fireware v12.2.1 以降では、Mobile VPN with IPSec、Mobile VPN with L2TP、Mobile VPN with IKEv2、および Mobile VPN with SSL にネットワーク DNS サーバーを割り当てることができます。または、Mobile VPN 構成で指定した DNS サーバーを使用することもできます。

    Fireware v12.2 以下では、ネットワーク DNS サーバーは Mobile VPN with IPSec、Mobile VPN with L2TP、および Mobile VPN with IKEv2 で自動的に使用されます。Mobile VPN with SSL は、ネットワーク DNS サーバーを使用せず、Mobile VPN with SSL 設定で構成された DNS サーバーを使用します。

    ネットワーク DNS サーバーの構成

    ネットワーク DNS サーバーは 3 つまで指定できます。

    ネットワーク DNS リストにある最初のサーバーは、リストの他のサーバーの前に接続されます。ローカル DNS サーバーをお持ちの場合は、ネットワーク DNS サーバーリストの一番最初に表示されていることを確認してください。

    このネットワーク DNS サーバーを DNS/WINS ネットワーク設定で次のように構成します：

    • Fireware Web UI — ネットワーク > インターフェイス > DNS/WINS の順に選択します
    • Policy Manager — ネットワーク > 構成 > WINS/DNS の順に選択します

    ネットワーク DNS サーバーの優先順位

    Mobile VPN 構成で指定した DNS サーバー設定は、ネットワーク DNS/WINS サーバーの設定よりも優先されます。

    DNS 転送機能を有効にすると、転送ルールで指定した条件付き DNS サーバーがネットワーク DNS サーバーよりも優先されます。これは、Firebox 自体によって生成されたトラフィック (Firebox で生成されたトラフィック、または自己生成のトラフィックとも呼ばれます) にも当てはまります。

    DNSWatch が有効になっている場合：

    • ネットワーク DNS サーバーのリストの一番最初に表示されるローカル DNS サーバーがある場合、DNSWatch はそのサーバーより優先されません。
    • DNSWatch の実施が無効な場合、DNSWatch DNS サーバーは Firebox IP アドレスによって生成された、または Firebox IP アドレス宛てのリクエストでのみ、リストで最初に表示されるローカル DNS サーバーを除き、Firebox で構成されたネットワーク DNS サーバーよりも優先されます。
    • DNSWatch の実施が有効な場合、DNSWatch DNS サーバーはインターフェイス上のすべての送信要求で、リストで最初に表示されるローカル DNS サーバーを除き、Firebox で構成されたネットワーク DNS サーバーよりも優先されます。

    Firebox で使用している DNS サーバーを確認するには、Firebox System Managerで フロント パネル > インタフェイス > DNS サーバー を選択するか、Fireware Web UI で インタフェイス > 詳細 を選択します。詳細については、このトピックの DNS サーバー情報 のセクションを参照してください。

    N\ネットワーク DNS サーバーの詳細については、次を参照してください： ネットワーク DNS および WINS サーバーを構成する。

  • これは、インターフェイスで構成できる任意の DNS サーバーです。

    インターフェイス DNS サーバーの構成

    DNS サーバーは 3 つまで指定できます。インターフェイスの DHCP サーバー設定でインターフェイス DNS サーバーを次のように構成します：

    • Fireware Web UI — ネットワーク > インターフェイス > [インターフェイス名] > 編集 > DNS/WINS の順に選択します
    • Policy Manager — ネットワーク > 構成 > [インターフェイス名] > 構成 > DHCP サーバーを使用する > DNS/WINS サーバーを構成する の順に選択します

    インターフェイス DNS サーバーの優先順位

    インターフェイス DNS サーバーはネットワーク DNS サーバー、および条件付き DNS サーバーよりも優先されます。

    実施が有効な状態で DNSWatch を有効にすると、DNSWatch サーバーはIPv4 インターフェイス DNS サーバーよりも優先されます。

    インターフェイス DNS サーバーの詳細については、次を参照してください： IPv4 DHCP サーバーを構成する。

  • これは、条件付き DNS 転送ルールで指定したドメイン名とインターフェイス用の DNS サーバーです。

    条件付き DNS サーバー構成

    このサーバーを DNS/WINS ネットワーク設定で次のように構成します：

    • Fireware Web UI — ネットワーク > インターフェイス > DNS/WINS > DNS 転送 タブの順に選択します
    • Policy Manager — ネットワーク > 構成 > WINS/DNS > DNS 転送の有効化 タブの順に選択します

    条件付き DNS サーバーの優先順位

    条件付き DNS サーバーはネットワーク DNS サーバー、および DNSWatch サーバーよりも優先されます。これは、Firebox 自体によって生成されたトラフィック (Firebox で生成されたトラフィック、または自己生成のトラフィックとも呼ばれます) にも当てはまります。

    DNS 転送については、次を参照してください：DNS 転送について。

  • これは、ISP から提供された DNS サーバーです。

    Firebox が DHCP クライアントとして構成されている場合、Firebox は ISP から DNS サーバーを受け取ります。

    Firebox が PPPoE クライアントとして設定されている場合は、ISP から DNS サーバーを受信するかどうかを選択できます。このオプションを選択しない場合、Firebox で構成されたネットワーク DNS サーバーが使用されます。PPPoE 設定で DNS サーバーを手動で構成することはできません。

    外部モデム インターフェイスの場合、手動で最大 2 つの DNS サーバーを構成できます。モデム設定で DNS サーバーを構成しない場合、Firebox は ISP から DNS サーバーを受け取ります。

    DHCP または PPPoE で構成された外部インターフェイスの DNS サーバーについては、次を参照してください： 外部インターフェイスを構成する。

    モデム インターフェイスの詳細については、次を参照してください： モデム インターフェイスについて。

    ISP DNS サーバーの構成

    モデム インターフェイスの場合、手動で DNS サーバーを構成できます：

    • Fireware Web UI — ネットワーク > インターフェイス > [モデム インターフェイス] > 編集 の順に選択します
    • Policy Manager — ネットワーク > 構成 > インターフェイス > [モデム インターフェイス] > 構成 の順に選択します

    ISP DNS サーバーの優先順位

    ネットワーク DNS サーバーは、ISP から取得された DNS サーバー、およびモデム設定で手動で構成された DNS サーバーよりも優先されます。

    DNSWatch が有効な場合、DNSWatch サーバーは、ISP から取得した DNS サーバー、および モデム設定で手動で構成した DNS サーバーよりも優先されます。

  • DNSWatch は、Firebox 経由で DNS 要求を監視して、既知の悪質なドメインへの接続を防ぐ機能です。DNSWatch を有効にすると、Firebox で利用可能なネットワーク DNS サーバーのリストに DNSWatch DNS サーバーが 2 つ追加されます。

    Firebox で DNSWatch を有効にする場合、DNSWatch 実施を有効にするかどうかを決める必要があります。実施を有効にすると、Firebox はすべての送信 DNS リクエストをそのインターフェイスから DNSWatch DNS サーバーにリダイレクトします。実施を無効にすると、Firebox は Firebox 宛ての DNS リクエストがある場合にのみ、すべての送信 DNS リクエストをそのインターフェイスから DNSWatch DNS サーバーにリダイレクトします。

    DNSWatch の構成

    DNSWatch 設定を構成するには、Fireware Web UI または Policy Manager から、登録サービス > DNSWatch を選択します。

    DNSWatch の詳細については、次を参照してください：WatchGuard DNSWatch について。

    DNSWatch の優先順位

    実施が無効な状態で DNSWatch が有効になった場合、Firebox に直接アドレス指定された DNS 要求、および Firebox で生成された DNS 要求でのみ、DNSWatch DNS は以下のサーバーよりも優先されます：

    • Firebox で構成したパブリック ネットワーク DNS サーバー
    • ISP からの DNS サーバー

    実施が有効な状態で DNSWatch を有効にすると、DNSWatch DNS サーバーは以下のサーバーよりも優先されます：

    • Firebox で構成したパブリック ネットワーク DNS サーバー
    • ISP からの DNS サーバー
    • インターフェイス DNS サーバー
    • ネットワーク ホストで手動で構成された DNS サーバー

    DNSWatch は、DNS 転送ルールで指定された条件付き DNS サーバーよりは優先されません。

    DNSWatch サーバーの優先度の詳細については、次を参照してください：Firebox における DNSWatch DNS 設定の優先度。

  • Fireware v12.2.1 以降では、すべての Mobile VPN 構成で、以下を行うことができます：

    • ネットワーク DNS/WINS 設定をモバイルクライアントに割り当てる、または割り当てない
    • Mobile VPN 構成で指定した設定をモバイルクライアントに割り当てる

    Fireware v12.2 以降では以下を行えます：

    • ネットワーク DNS/WINS サーバーは、自動的に Mobile VPN with IPSec、Mobile VPN with L2TP、および Mobile VPN with IKEv2 クライアントに割り当てられます。
    • Mobile VPN with SSL 構成で、DNS および WINS サーバー設定を指定することができます。ただし、ネットワーク DNS/WINSの設定を Mobile VPN with SSL クライアントに割り当てることはできません。

    Mobile VPN DNS サーバーの優先順位

    Mobile VPN 構成で指定した DNS サーバー設定は、ネットワーク DNS/WINS サーバーの設定よりも優先されます。

DNS リゾルバ およびキャッシュ

DNS 転送または DNSWatch 機能を有効にすると、Firebox で DNS リゾルバ (127.0.0.1) が自動的にアクティブ化されます。リゾルバは DNS クエリの結果をキャッシュします (10,000 エントリまで)。

DNS 要求を解決するため、Firebox リゾルバはまず独自のキャッシュを検索します。要求のキャッシュ情報が存在しない場合、Firebox は Firebox で指定した DNS 設定に基づいて、別の DNS サーバーに要求を転送します。

DNS キャッシュを無効にするには、Policy Manager (Fireware v12.7 以降) で以下の手順を実行します。

  1. ネットワーク > 構成 > WINS/DNS の順に選択します。
  2. DNS キャッシュの有効化 チェックボックスをオフにします。

DNS キャッシュを無効にするには、Fireware Web UI (Fireware v12.7 以降) で以下の手順を実行します。

  1. ネットワーク > インターフェイス > DNS/WINS の順に選択します
  2. DNS キャッシュの有効化 チェックボックスをオフにします。

Fireware v12.6.4 でキャッシュを無効にするには、CLI を使用する必要があります。コマンド no ip dns cache enable を指定します。このコマンドの詳細については、Fireware CLI リファレンス を参照してください。

DNS キャッシュを無効にすると、Firebox では DNS クエリのキャッシュや、キャッシュ内の情報から DNS クエリの解決が行われなくなります。たとえば、ドメイン example.com に対する DNS 転送ルールがある場合、Firebox は Firebox で指定した DNS 設定に基づいて、別の DNS サーバーに要求を転送します。

DNSWatch DNS サーバーにも、1 週間分のデータを格納するキャッシュがあります。

DNS サーバー情報

Firebox System Manager で、フロント パネル > インターフェイス > DNS サーバー タブに、デバイスが使用する DNS サーバーを表示することができます。詳細については、デバイス ステータス を参照してください。

Fireware Web UI で、ダッシュボード > インターフェイス >詳細 ページに、デバイスが使用する DNS サーバーを表示することができます。詳細については、インターフェイス情報と SD-WAN 監視 を参照してください。

Firebox DNS リゾルバは、これらのステータス ページにあるDNS サーバーのリストでは 127.0.0.1 と表示されます。Firebox DNS リゾルバ、および最大 3 つの DNS サーバのみがここに表示され、DNS 要求の解決に使用できます。

DNSWatch が有効で、かつローカル DNS サーバーがネットワーク DNS サーバーの一覧で最初に表示される場合、これらのステータス ページでは、ローカル DNS サーバーの後に DNSWatch DNS サーバーが表示されます。この場合、ネットワーク DNS サーバーリストに表示される他の DNS サーバーはここには表示されず、DNS 解決には使用されません。

たとえば、DNSWatch が有効で、かつローカル DNS サーバーがネットワーク DNS サーバーのリストの一番最初に表示されている場合、DNS サーバーは以下の順番でステータス ページに表示されます：

  • 127.0.0.1 (Firebox リゾルバ)
  • ローカル DNS サーバー
  • DNSWatch DNS サーバー 1
  • DNSWatch DNS サーバー 2

この場合、ネットワーク DNS サーバーリストで構成されたパブリック DNS サーバーはステータス ページには表示されず、DNS 解決にも使用されません。

関連情報：

DNS (ドメイン名システム) について

DNS 転送について

動的 DNS サービスについて

WatchGuard DNSWatch について