Hickory DNSで始める自作DNSフォワーダ

Transcript

1. Hickory DNSで始める自作DNSフォワーダ Ibaraki.dev #14 もくもく会
2. 自己紹介 • @jyuch • 自称ソフトウェアエンジニア • 最近はデータエンジニアっぽいことをしている 2
3. アジェンダ 3 1. DNSのしくみのおさらい 2. Hickory DNSの紹介 3. Hickory DNSのいいところ・わるいところ
4. DNSのしくみのおさらい 4
5. 通信の流れ 5 DNSサーバ Webサーバ ① www.example.comのIPアドレスを教えて ② アドレスは203.0.113.1です ③ Webサーバにアクセス
6. 通信の流れ 6 サーバへのアクセスに先行してDNS問い合わせが実行される DNS応答を通してネットワークアクセスを制御できる • ロードバランシング • ランダム・レイテンシ・地理的近接に振り分ける • コンテンツ・違法サイトのフィルタリング • ポリシーに従ってアクセスを遮断 • セキュリティ • C&Cサーバへのアクセスを検知・遮断
7. DNS問い合わせの流れ 7 ルートネームサーバ フルリゾルバ フォワーダ （宅内ルータなど） 権威DNSサーバ 権威DNSサーバ 受け取ったリクエストを フルリゾルバに転送する ルートネームサーバから 順に問い合わせる 問い合わせに回答する 管理を委任している サーバを応答する
8. DNS問い合わせのインターセプト 8 ルートネームサーバ フルリゾルバ フォワーダ 権威DNSサーバ 権威DNSサーバ アクセスしてほしくないドメイン へのリクエストを捨てる そのドメインは存在しないっぽいですね（嘘） フォワーダで問い合わせをインターセプトすれば、アクセスしてほしくない サイトへのアクセスを阻止できる
9. Hickory DNSの紹介 9
10. Hickory DNSの紹介 • Rustで実装されているDNSライブラリ • 機能ごとにクレートで分割されている 10 https://hickory-dns.org/
11. Hickory DNSを使ったフィルタの実装 11 11 フルリゾルバ Server クレート Client クレート アクセス拒否リスト フィルタ ロジック フォワーダ Tokioランタイム Webフレームワークのように ハンドラを書くだけ Rustの非同期ランタイム リストを参照してフィルタ リクエストをフルリゾルバ に転送する
12. Hickory DNSのいいところ・わるいところ 12
13. Hickory DNSのいいところ • Rustで書ける • Rustでアプリケーションを書くのは全人類の願望のはず • Rustのメリットを簡単に享受できる • シングルバイナリ • 複数のOS向けにビルドできる • メモリセーフ • GCがない • メモリフットプリントが小さい • 動作が軽い 13
14. Hickory DNSのいいところ • Tokioランタイム（非同期ランタイム）で動作する • Tokioランタイムにおんぶにだっこで非同期サーバが書ける • smolは未サポート（RuntimeProviderを実装すればワンチャン？） • DNSを抽象的に扱える • ペイロードのレイアウトなどは気にしなくてもよい • 構造体に詰めればあとはよしなにしてくれる 14
15. Hickory DNSのわるいところ • ドキュメントがほとんどない • 使い方を解説しているブログもほとんどない • ソースコードを読んで使い方を調べる必要がある • APIの互換性を破壊する変更が入る事が稀にある • まだメジャーリリースはされてない • 今のところ軽微な修正で済んでいる • リクエストログは自分で作りこむ必要がある • DNS Tapが簡単に扱える機能があるとすごいうれしい（願望） 15
16. Hickory DNSのわるいところ 16
17. Hickory DNSのわるいところ 17 … あ ま り 強 い 型 を 遣 う な よ コ ン パ イ ル が 通 ら な い ※ コンプライアンス愛染様
18. Hickory DNSのわるいところ • 面妖なシグネチャが頻出する • ライフタイム修飾子・型パラメータ • 非同期を前提としているのも難解さを加速させている • 型パズルがしんどい • Rustで書く必要がある • やっぱりRustは難しい 18
19. まとめ • DNSを制する者は通信を制する • Hickory DNSを使えば簡単にDNSフォワーダが書ける • やっぱりRustは難しい・・・ 19