DoT（DNS over Transport Layer Security）とは？

企業ネットワークにおいてDNS over TLSが重要な理由

従来のDNSクエリは平文で送信されるため、ネットワーク経路上の誰でも、デバイスがどの名前を検索しているかを確認でき、応答を改ざんすることも可能です。DoTは、クライアントからリゾルバーへの経路におけるこの脆弱性を解消します。企業にとって、これは経路を直接制御できないゲストWi-Fi、支店間のリンク、およびリモートワーカーの接続において重要です。

DoTは、RFC 8484で定義されているDNS over HTTPS（DoH）とよく比較されます。どちらも同じトラフィックを暗号化します。 運用上の主な違いは、DoTが専用のポート853を使用するのに対し、DoHは通常のWebトラフィックとポート443を共有する点です。専用ポートがあれば、ネットワーク管理チームは簡単なルールでDoTを識別、監視、ルーティング、またはブロックできます。一方、DoHはWebトラフィックから分離しにくく、クライアントが独自のリゾルバーを選択した場合、企業のDNSポリシーを迂回される可能性があります。

管理が不十分だと、どちらの方向でも問題が生じます。計画なしにファイアウォールでDoTをブロックすると、ストイックモードに設定されたクライアントはホスト名の解決に失敗します。一方、クライアントが外部リゾルバーに暗号化されたクエリを送信すると、内部ゾーンの解決が停止し、DNSベースのセキュリティフィルタリングやロギングが迂回されてしまいます。 リゾルバーには、有効な証明書、有効期限の監視、およびどのクライアントがどのリゾルバーを使用できるかに関する明確なポリシーが必要です。

関連用語