DNSにおけるACLとは？

DNSにおいて、ACLとは、サーバーがアクションを許可または拒否するために使用する、アドレス、ネットワーク、またはキーのリストのことです。代表的な用途としては、再帰サーバーへのクエリ、ゾーン転送の要求、または動的更新の送信を許可される対象を制限することが挙げられます。

ACLとファイアウォールの違いは何ですか？

ACLはルールのリストであるのに対し、ファイアウォールはポリシーを適用するシステムです。ファイアウォールはACLを使用することもありますが、多くの場合、ステートフルインスペクションやその他の機能が追加されています。

ACLは順番に評価されますか？

はい、ほとんどの実装ではエントリを上から下へと評価し、最初に一致したものを適用します。このため、通常、具体的なエントリは一般的なエントリよりも上に配置されます。

ACLを使用してDNSゾーン転送を制限するにはどうすればよいですか？

権威サーバーを、セカンダリサーバーのアドレスへの転送のみを許可するように設定します。保護を強化するには、TSIGも必須とすることで、リクエストが送信元アドレスだけでなく鍵によっても認証されるようにします。

ACLはステートフルか、ステートレスか？

プラットフォームによって異なります。基本的なルーターやスイッチのACLは一般的にステートレスであり、各パケットを個別に評価しますが、ACLを使用するファイアウォールは、多くの場合、接続状態を追跡します。

用語集
ACL（アクセス制御リスト）とは何ですか？

セキュリティ用語集

ACL（アクセス制御リスト）とは？

ACL（アクセス制御リスト）は、送信元アドレスなどの定義された基準に基づいて、リソースへのアクセスを許可または拒否するセキュリティ制御です。ルールごとに評価され、DNSサーバーでは、クエリの送信、ゾーン転送の要求、または動的更新の送信ができるユーザーを制限します。

DDIをシンプルにしましょう

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

主なポイント

ACL（アクセス制御リスト）とは、送信元IPアドレスなどの定義された基準に基づき、DNSクエリ、ゾーン転送、動的更新といったリソースへのアクセスを許可または拒否するセキュリティ制御であり、ルールは出現順に1つずつ評価されます。 DNS環境において、ACLは、ネットワークトポロジを露呈させる不正なゾーン転送を制限し、増幅攻撃における再帰的リゾルバの悪用を防止し、動的更新を送信できるユーザーを制御するために不可欠ですが、送信元アドレスのなりすましに対抗するためには、TSIGなどの認証方式と組み合わせる必要があります。 ACLの管理が不十分だと、例外が蓄積して大規模な運用で機能しなくなったり、古いエントリによって廃止されたアドレスが関係のないホストに再利用されたり、ルールの順序付けミスや暗黙的な拒否の認識不足により、サービス停止を引き起こしたり、サービスがインターネットに対して過度に露出されたりすることがあります。

任意の要求者に対してゾーン転送を許可するDNS権威サーバーは、ゾーンの内容をすべて公開してしまうため、攻撃者にネットワーク内のホストやサービスの全体像を把握させてしまう。
ACLエントリは、厳密に上から下への順序で評価する必要があります。これは、特定の拒否ルールより上に広範な許可ルールを配置すると、その拒否ルールが無効になり、望ましくないトラフィックが通過してしまうためです。
アドレスベースのACLマッチングのみでは、特にUDP経由の場合、送信元IPのなりすましに対して脆弱であるため、動的更新などの機密性の高い操作には、共有秘密鍵を用いたTSIGなどの追加の認証が必要となる。

ACLの概要

Attribute	Value
Full name	Access control list
Category	Security control
Primary use	Permitting or denying access to a resource based on defined match criteria
Related terms	Firewall, Zone transfer, Dynamic DNS update, TSIG, Recursive resolver, Split-horizon DNS

ACLの仕組み

ACLとは、各エントリが一致条件と「許可」または「拒否」のアクションを組み合わせたリストのことです。このリストを適用するシステムは、リクエストをエントリと比較し、最初に一致したエントリの結果を適用します。

リクエストの到着：クライアントやデバイスが、DNSクエリの送信、ゾーン転送の要求、ルーターを経由したパケットの転送などのアクションを試みます。
抽出された基準：適用システムは、リストが照合に使用する属性（通常は送信元IPアドレス、ネットワーク機器の場合は宛先、プロトコル、またはポートも）を読み取ります。DNSサーバーは、暗号鍵に基づいて照合を行うこともあります。
エントリの評価順序：システムはエントリを上から下へと順にチェックします。ほとんどの実装では、最初に一致したエントリで処理を停止し、そのアクションを適用します。
適用されるアクション：「許可（permit）」エントリはリクエストを許可します。「拒否（deny）」エントリはリクエストを拒否または破棄します。多くのシステムでは、リストの最後に暗黙の拒否（implicit deny）が設定されているため、どのエントリにも一致しないリクエストは拒否されます。

順序が重要であるため、広範囲な許可ルールを狭範囲な拒否ルールの前に配置すると、その拒否ルールが機能しなくなる可能性があります。 DNSサーバーでは、クエリ、再帰、転送、更新といった異なる機能を管理するために、通常、個別のリストが使用されるため、各機能ごとに独自の対象範囲を設定できます。アドレスに基づく照合は偽装される可能性があるため、動的更新のような機密性の高い操作については、TSIGなどの認証も併せて要求することで、より強固に保護することが推奨されます。

エンタープライズネットワークにおいてACLが重要な理由

アクセス制御リスト（ACL）は、そのシンプルさと、ほぼすべてのルーター、ファイアウォール、DNSサーバーで利用可能であることから、ネットワーク分野で最も広く採用されている制御手段の一つです。しかし、そのコストは規模の拡大に伴い顕在化します。例外が蓄積されるにつれてリストは膨れ上がり、エンジニアはどのエントリがなぜ存在するのか把握できなくなってしまいます。廃止されたアドレスを参照する古いエントリは、後に無関係なホストによって再利用され、本来持つべきではないアクセス権を継承してしまう可能性があります。

DNS において、ACL は明確なセキュリティ上の役割を果たします。任意の要求者に対してゾーン転送を許可する権威サーバーは、ゾーンの内容をすべて公開することになり、これにより攻撃者はホストやサービスのマップを入手できてしまいます。あらゆる送信元からのクエリに応答する再帰的リゾルバーは、リフレクション攻撃や増幅攻撃に悪用される可能性があります。そのため、リフレクター攻撃における再帰的ネームサーバーの使用を防止するためのBCP 140などのガイドラインでは、再帰処理を意図したクライアントに限定することを推奨しています。

管理が不十分なACLは、2つの点で問題を引き起こします。過度に寛容なルールはサービスをインターネットに開放したままにしてしまう一方、過度に厳格なルールや順序が誤ったルールは正当なクライアントをブロックし、追跡が困難な断続的な解決失敗を引き起こします。リストを文書化し、定期的に見直しを行い、サーバー間で一貫性を保つことで、これらの問題を軽減できます。また、アドレスマッチングと認証を組み合わせることで、偽装された送信元による被害を制限できます。

ACLと関連用語の比較

ACL 対ファイアウォール

ACLは、トラフィックやリクエストを許可または拒否するルールの一覧であるのに対し、ファイアウォールはポリシーを適用するデバイスまたはサービスであり、ACLを他の検査手法と組み合わせて使用する場合があります。

Attribute	ACL	Firewall
What it is	An ordered list of permit and deny entries	A device or software service that enforces security policy
Typical matching	Source address, and on network devices destination, protocol, or port	Addresses and ports, and often connection state or application
State tracking	Often stateless on routers and switches	Commonly stateful
Where it runs	Routers, switches, firewalls, DNS servers	Network perimeters, host systems, or virtual appliances

ACL 対 TSIG (トランザクション署名)

ACLはアドレスなどの一致条件に基づいてアクセスを許可する対象を決定しますが、TSIGは共有秘密鍵を使用してDNSメッセージを認証します。TSIGとは何ですか？

Attribute	ACL	TSIG (Transaction Signature)
Purpose	Permits or denies requests	Authenticates DNS transactions
Basis of trust	Match criteria such as source IP address	Shared secret key and a signature on each message
Spoofing resistance	Weak when it relies on source address alone	Stronger, because forging a message requires the key
Common DNS use	Limiting queries, zone transfers, and updates	Securing zone transfers and dynamic updates

ACLに関するよくある問題

特定の「拒否」ルールの上に広範な「許可」ルールを配置すると、「拒否」ルールが一致しなくなるため、ブロックされるべきトラフィックが通過してしまいます。エンジニアは通常、拒否エントリのヒットカウンターがゼロのまま変わらないことで、この問題に気づきます。

多くの実装では、リストの末尾に暗黙の「拒否」が設定されているため、それまで空だったリストに最初のエントリを追加すると、突然それ以外のすべての通信がブロックされてしまうことがあります。これにより、わずかな変更を行った直後にサービス停止が発生することがよくあります。

廃止されたホスト名を指定するエントリは、アドレスが再割り当てされた後もそのまま残ります。その結果、新しいホストは、誰も与えるつもりのなかったゾーン転送の許可などのアクセス権を継承することになります。

送信元IPアドレスのみに依存するACLは、特にUDPでは、偽造パケットによって迂回される可能性があります。キーベースの認証やネットワークエッジでのフィルタリングと組み合わせることで、このリスクを軽減できます。

再帰サーバーで任意のアドレスからのクエリを許可すると、増幅攻撃に悪用される可能性があります。任意のアドレスへの転送を許可すると、ゾーンの内容がすべて公開されてしまいます。

統合型DDIがネットワーク運用をいかに簡素化するかをぜひご覧ください

自動化、可視性、制御機能が組み込まれた単一のプラットフォームから、DNS、DHCP、IPアドレスを管理できます。

お問い合わせ

インテリジェント・ネットワーク

ACL（アクセス制御リスト）とは？

DDIの簡素化を始めませんか？

ACLの概要

ACLの仕組み

エンタープライズネットワークにおいてACLが重要な理由