DNSの仕組みを深く理解しようとすると、必ず「ゾーン」という概念に行き当たります。
ゾーンはドメインのDNS管理範囲を定義する重要な概念であり、権威サーバーやゾーンファイルと密接に関わっています。
この記事では、DNSのゾーンの意味・役割・ゾーンファイルの構造について、権威サーバー・委任といったキーワードを交えながらわかりやすく解説していきます。
DNSの全体像をしっかりと把握したい方にとって、欠かせない基礎知識です。
DNSのゾーンとはDNS管理の範囲を区切る単位のこと
それではまず、DNSのゾーンとは何かという基本的な意味と役割について解説していきます。
DNSのゾーンとは、特定のドメイン名前空間において、ある権威DNSサーバーが管理する範囲のことです。
インターネット上のドメインは木構造（階層構造）で管理されており、その木構造の一部を切り取って管理単位としたものがゾーンにあたります。
たとえば「example.com」のゾーンには、example.comおよびそのサブドメインに関するDNSレコードが含まれます。
「ドメイン」と「ゾーン」は似た概念ですが、厳密には異なります。
ドメインはDNSの名前空間における論理的な区画を指し、ゾーンはそのドメインの中で特定の権威サーバーが実際に管理する範囲を指します。
サブドメインを別のサーバーに委任した場合、委任されたサブドメインは親ゾーンから独立した別のゾーンとして扱われます。
ゾーンとドメインの違い
ゾーンとドメインの関係を理解するうえで重要なのが「委任」の概念です。
たとえば「example.com」というドメインの管理者が「sub.example.com」を別のDNSサーバーに委任した場合、「sub.example.com」は独立したゾーンとして管理されます。
| 概念 | 意味 | 例 |
|---|---|---|
| ドメイン | DNS名前空間上の論理的な区画 | example.com全体 |
| ゾーン | 特定の権威サーバーが管理する範囲 | 委任後のexample.com（sub除く） |
| 委任されたゾーン | 親ゾーンから切り離された独立ゾーン | sub.example.com |
ゾーンは委任によって親ドメインから切り出された管理単位であるという点が、ドメインとの最大の違いです。
プライマリゾーンとセカンダリゾーン
DNSのゾーンには「プライマリゾーン」と「セカンダリゾーン」の2種類があります。
プライマリゾーンは正式なゾーン情報を保持するマスターであり、ゾーンファイルへの書き込みが可能です。
セカンダリゾーンはプライマリゾーンからゾーン情報を複製（ゾーン転送）して保持する読み取り専用のコピーで、冗長化と負荷分散を目的として設置されます。
プライマリとセカンダリを組み合わせることで、DNSサービスの可用性が大幅に向上するでしょう。
ゾーンの委任とNSレコードの関係
ゾーンの委任は、NSレコードを使って実現します。
親ゾーンのDNSサーバーに委任先のNSレコードを登録することで、そのサブドメイン以下の名前解決を委任先サーバーに引き渡します。
これにより大規模な組織や複数部門を持つ企業でも、部門ごとにDNS管理を分散させることが可能になります。
ゾーンファイルの構造と主要なレコード
続いては、ゾーンの情報を記録する「ゾーンファイル」の構造について確認していきます。
ゾーンファイルを理解することで、DNSの設定内容がより具体的に把握できます。
ゾーンファイルとは何か
ゾーンファイルとは、権威DNSサーバーがゾーン内のすべてのDNSレコードを記述したテキストファイルのことです。
BIND（Berkeley Internet Name Domain）をはじめとする多くのDNSサーバーソフトウェアでは、このゾーンファイルを読み込むことでDNSサービスを提供します。
クラウド型のDNSサービス（Route53・Cloudflareなど）では管理画面上で設定しますが、内部的にはゾーンファイルと同等の情報が管理されています。
ゾーンファイルの基本構造
ゾーンファイルは以下のような構造で記述されます。
ゾーンファイルの記述例：
$ORIGIN example.com.
$TTL 3600
@ IN SOA ns1.example.com. admin.example.com. (
2024010101 ; シリアル番号
3600 ; リフレッシュ間隔
900 ; リトライ間隔
604800 ; 有効期限
300 ; ネガティブキャッシュTTL
)
@ IN NS ns1.example.com.
@ IN NS ns2.example.com.
@ IN A 203.0.113.1
www IN A 203.0.113.1
mail IN A 203.0.113.2
@ IN MX 10 mail.example.com.
「$ORIGIN」はゾーンの基準となるドメイン名を指定し、「@」は$ORIGINで指定したドメイン名自体を表すショートカット記法です。
SOAレコードの役割
ゾーンファイルの先頭に必ず記述されるのがSOA（Start of Authority）レコードです。
SOAレコードはゾーンの管理情報を定義するものであり、プライマリネームサーバー・管理者メールアドレス・シリアル番号・各種タイマー値などを含みます。
| SOAの項目 | 役割 |
|---|---|
| シリアル番号 | ゾーンの更新を識別する番号（更新のたびに増加させる） |
| リフレッシュ間隔 | セカンダリがプライマリに更新確認する間隔 |
| リトライ間隔 | リフレッシュ失敗時に再試行するまでの時間 |
| 有効期限 | セカンダリがプライマリと通信できない場合の情報の有効期間 |
| ネガティブキャッシュTTL | 存在しないレコードへの否定応答のキャッシュ時間 |
SOAレコードのシリアル番号はゾーン更新のたびに必ず増加させることが、セカンダリサーバーへの正しい同期のために欠かせないルールです。
ゾーン転送の仕組みと権威サーバーの冗長化
続いては、ゾーン情報をセカンダリサーバーに同期する「ゾーン転送」の仕組みについて確認していきます。
ゾーン転送とは何か
ゾーン転送とは、プライマリDNSサーバーのゾーン情報をセカンダリDNSサーバーに複製する仕組みのことです。
ゾーン転送には「AXFR（全件転送）」と「IXFR（差分転送）」の2種類があります。
AXFRはゾーン情報をすべて転送する方式で、IXFRは前回の転送以降に変更された差分のみを転送する効率的な方式です。
大規模なゾーンでは、IXFRを使うことでネットワーク負荷を大幅に削減できるでしょう。
ゾーン転送のセキュリティ設定
ゾーン転送を無制限に許可すると、ゾーン内のすべてのDNSレコード情報が外部に漏洩するリスクがあります。
攻撃者にゾーン情報を取得されると、サーバー構成の把握や攻撃対象の特定に利用される危険性があります。
ゾーン転送は必ず信頼できるセカンダリサーバーのIPアドレスのみに制限することが鉄則です。
BINDであれば「allow-transfer」ディレクティブで転送先を制限でき、TSIG（Transaction SIGnature）による認証を合わせて使うことでより安全なゾーン転送が実現します。
権威サーバーの冗長化設計
DNSサービスの可用性を高めるために、権威DNSサーバーは複数台構成が基本です。
プライマリ1台に対してセカンダリを複数台設置し、異なるネットワーク・地理的に離れた場所に配置することで、単一障害点をなくすことができます。
地理的に分散した冗長構成は、災害時やDDoS攻撃時のDNSサービス継続性を高めるうえで非常に重要です。
クラウドDNSサービス（AWS Route53・Cloudflare・Google Cloud DNSなど）はこの冗長化を自動的に提供しているため、多くの企業で採用されています。
まとめ
この記事では、DNSのゾーンの意味・ゾーンファイルの構造・ゾーン転送の仕組み・権威サーバーの冗長化について解説しました。
ゾーンとはDNS名前空間において権威DNSサーバーが管理する範囲のことであり、委任によって親ドメインから独立した管理単位として切り出されます。
ゾーンファイルにはSOAレコード・NSレコード・Aレコードなどが記述され、権威DNSサーバーの応答の根拠となる情報が集約されています。
ゾーン転送のセキュリティ設定や権威サーバーの冗長化も、安定したDNS運用のために欠かせない要素でしょう。
ゾーンの概念を正しく理解することが、DNS全体の設計・運用力を高める基盤となります。
ぜひ本記事を参考に、DNSゾーンへの理解を深めてみてください。
