Alibaba Cloud DNS で解決異常を検知する DNS 監視タスクの設定 - Alibaba Cloud DNS

このトピックでは、監視タスクを作成および管理する方法について説明します。

監視タスクの追加

フォームの説明

監視タスクのフォームには、基本情報、メトリック、監視ノード、その他の設定 の 4 つのセクションがあります。

基本情報

タスク名と監視対象の主要ドメイン名を設定します。注意：監視対象ドメイン名は、タスク作成後に変更することはできません。

フォーム項目		説明
タスク名		必須。タスクに一意の名前を設定します。名前は 2 文字以上である必要があります。例： `Website Monitoring`。
監視対象ドメイン名		必須。接続テストの対象となるドメイン名を設定します。例：`www.example.com`。この設定はタスク作成後に変更できません。

メトリック

ドメイン名のメトリックを、解決結果の監視、ドメイン名 NS 改ざんの監視、解決遅延と TTL 改ざんの監視 のディメンションに基づいて設定できます。

解決結果の監視

主要ドメイン名監視 は、A、AAAA、CNAME、MX、NS、TXT などの一般的な DNS レコードタイプの解決結果を監視し、結果が常に期待される設定と一致することを確認します。不正な IP アドレス、レコードの欠落、レコードタイプの不一致などの異常が検出されると、システムは即座にアラートをトリガーします。これにより、問題を迅速に特定し、解決することができます。

フォーム項目	説明
ダイヤルテストドメイン名レコードタイプ	サポートされているレコードタイプ：A、AAAA、CNAME、MX、NS、TXT。
期待する解決結果 & 解決結果マッチングルール	一致ルールを使用して、接続テストの解析結果が正しいかどうかを判断できます。利用可能な一致ルールは次のとおりです：実際の DNS 応答に期待する解決結果が含まれる実際の応答には、期待されるすべてのレコードが含まれ、追加のレコードが含まれる場合もあります。これは、正当な冗長性やトラフィックステアリングポリシーが原因である可能性があります。例えば、期待される結果が `10.0.0.1` と `10.0.0.2` で、実際の応答が `10.0.0.1`、`10.0.0.2`、`192.168.0.1` の場合、一致ルールを実際の DNS 応答に期待する解決結果が含まれるに設定します。期待する解決結果に実際の DNS 応答が含まれる実際の応答は、期待されるレコードのサブセットです。一部の期待されるレコードが欠落している可能性があります。これは、一部のバックエンドサーバーが到達不能またはオフラインであるため、負荷容量や可用性が低下しているなど、サービス低下を示している可能性があります。例えば、期待される結果が `10.0.0.1`、`10.0.0.2`、`10.0.0.3` で、実際の応答が `10.0.0.1` の場合、一致ルールを期待する解決結果に実際の DNS 応答が含まれるに設定します。実際の DNS 応答と期待する解決結果が完全に一致実際の応答は、期待されるレコードのセットと同一です。例えば、期待される結果が `10.0.0.1` で、実際の応答も `10.0.0.1` の場合、一致ルールを実際の DNS 応答と期待する解決結果が完全に一致に設定します。実際の DNS 応答と期待する解決結果に共通部分がある実際の結果と期待される結果は部分的にしか重複しません。正しいレコードと、欠落したレコードまたは新しいレコードの両方が存在します。これは、リージョン DNS キャッシュ汚染、権威サーバー間の不整合な同期 (異なる NS レコードが異なるセットを返す)、または中間キャッシュ汚染が原因である可能性があります。例えば、期待される結果が `10.0.0.1` と `10.0.0.2` で、実際の応答が `10.0.0.2` と `192.168.0.1` の場合、一致ルールを実際の DNS 応答と期待する解決結果に共通部分があるに設定します。
監視範囲	解決結果の監視は、エンドツーエンドの検出を提供します。権威サーバー、ISP の LocalDNS (プローブノードのローカル LocalDNS と Alibaba Cloud Public DNS を含む)、および接続テスト用のカスタム DNS アドレスをカバーします。各メトリックは個別にプローブされます。権威 NS には複数のアドレスがある場合があり、これにより複数の接続テストが生成されます。権威 DNS サービス解決結果と期待結果の一致性の監視 (すべての NS アドレスがプローブされます) プローブノードローカル事業者解決結果と期待結果の一致性の監視 Alibaba Cloud パブリック DNS 解決結果と期待結果の一致性の監視カスタム DNS サーバー解決結果と期待結果の一致性の監視 (最大 20 個の DNS アドレスを 1 行に 1 つずつ設定できます。各アドレスがプローブされます。)
解決結果の監視頻度	プローブ頻度、タイムアウト、リトライ回数を設定します。ダイヤルテスト頻度：15 秒 (デフォルト)、1 分、5 分、10 分、30 分、または 60 分。タイムアウト時間：1～5 秒。デフォルト：3 秒。再試行回数：1～5 回。デフォルト：2 回。

ドメイン名 NS 改ざんの監視

主要ドメイン名監視 は、包括的な NS 権限付与チェーンの監視を提供します。これにより、ルートサーバーからターゲットドメイン名までの委任パスの完全性と有効性を検証できます。このプロセスにより、解決チェーン全体のセキュリティとコンプライアンスが確保されます。また、システムはレジストリセキュリティロック、レジストラートランスファー禁止ロック、更新ロックのステータスをリアルタイムで監視します。これにより、登録、ホスティングから権限付与、実装までを包括的にカバーし、不正な変更や悪意のある操作を効果的に防止します。

フォーム項目

説明

監視範囲

各メトリックは個別にプローブされます。NS 権限付与チェーンには複数のレベルがあるため、1 つの項目で複数のネットワークプローブが生成されることがあります。

ドメイン名 NS 委任リンクの監視

ドメイン名 NS 委任リンク改ざんの監視 (ルートドメイン名からトップレベルドメイン名、トップレベルドメイン名からセカンドレベルドメイン名およびターゲットドメイン名まで)。異常が発生した場合、不一致アラートがトリガーされます。
ドメイン名ロック改ざんのモニタリング (ドメイン名登録業者セキュリティロック、レジストラ転送禁止ロック、更新禁止ロックを含む)。異常が発生した場合、ロック解除アラートがトリガーされます。

権威ドメイン名 NS と事業者キャッシュ NS アドレスの一致性の監視

権威サーバー NS アドレスと事業者 DNS キャッシュ NS アドレスの一致性の監視 (すべての権威サーバー NS アドレスがダイヤルテストされます)。異常が発生した場合、不一致アラートがトリガーされます。

無効 NS 委任の監視

ドメイン名 NS ダングリングレコード：パブリック DNS キャッシュに保存されている NS レコードが、到達不能または存在しない権威サーバーアドレスを指しています。
ドメイン名 NS 不正委任：親ドメイン (例：example.com) によって委任されたサブドメイン (例：sub.example.com) の NS サーバーが、解決サービスを提供できません。
ドメイン名孤立委任：権威ドメインの NS レコードがパブリック DNS キャッシュに保存されていますが、対応する親ドメイン名が存在しないか、正しく権限付与されていません。
ドメイン名ループ委任：複数のドメイン名間で NS レコードの循環依存関係が形成されています。

ドメイン名 NS 改ざんまたは無効 NS の監視頻度

ダイヤルテスト頻度：5 分 (デフォルト)、10 分、30 分、または 60 分。
タイムアウト時間：1～5 秒。デフォルト：2 秒。
再試行回数：1～5。デフォルト：2。

要件: タイムアウト時間 × 再試行回数 < ダイヤルテスト頻度

解決遅延と TTL 改ざんの監視

主要ドメイン名監視 は、ユーザーから権威 DNS までのパス全体にわたる解決遅延の監視を提供します。また、各プローブノードの DNS キャッシュから実際の TTL 値をリアルタイムで検出・表示することで、TTL 改ざんを監視します。これにより、異常や潜在的な脅威を迅速に発見できます。レコードを変更する際、この機能は変更が有効になるために必要なタイムウィンドウをより正確に見積もるのに役立ち、変更管理のコントロールと安定性を向上させます。

フォーム項目	説明
ダイヤルテストドメイン名レコードタイプ	サポートされているレコードタイプ：A、AAAA、CNAME、MX、NS、TXT。
事業者および一般的な再帰 DNS サーバー解決遅延の監視	プローブノードのローカル ISP の解決遅延を監視します。遅延が指定された値 (ミリ秒) を超えると、異常が報告されます。デフォルト値は 300 です。 Alibaba Cloud Public DNS (223.5.5.5) の解決遅延を監視します。遅延が指定された値 (ミリ秒) を超えると、異常が報告されます。デフォルト値は 300 です。カスタム DNS サーバーの解決遅延を監視します。遅延が指定された値 (ミリ秒) を超えると、異常が報告されます。デフォルト値は 300 です。最大 20 個の DNS アドレスを 1 行に 1 つずつ指定できます。各アドレスがプローブされます。
事業者および一般的な再帰 DNS サーバー TTL 改ざんの監視	プローブノードローカル事業者 DNS TTL 改ざんの監視 Alibaba Cloud パブリック DNS (223.5.5.5) TTL 改ざんの監視カスタム DNS サーバー TTL 改ざんの監視。最大 20 個の DNS アドレスを 1 行に 1 つずつ指定できます。各アドレスがプローブされます。
解決遅延と TTL 改ざんの監視頻度	ダイヤルテスト頻度：1 分、5 分 (デフォルト)、10 分、30 分、または 60 分。タイムアウト時間：1～5 秒。デフォルト：2 秒。再試行回数：1～5。デフォルト：2。要件: タイムアウト時間 × 再試行回数 < ダイヤルテスト頻度

監視ノード
IPv4 プローブノードがサポートされています。ISP、省、市、ノード数に基づいてプローブノードを設定できます。少なくとも 1 つの監視ノードを選択する必要があります。
サポートされている監視ノードは次のとおりです：
- China Mobile：北京、湖南-長沙、四川-成都、重慶、広東-広州、貴州-貴陽、黒竜江-ハルビン、海南-海口、安徽-合肥、山東-済南、雲南-昆明、甘粛-蘭州、江西-南昌、江蘇-南京、上海、河北-石家荘、天津、陝西-西安。
- China Unicom：北京、湖南-長沙、四川-成都、重慶、貴州-貴陽、黒竜江-ハルビン、海南-海口、安徽-合肥、山東-済南、雲南-昆明、甘粛-蘭州、江西-南昌、江蘇-南京、上海、広東-深セン、河北-石家荘、湖北-武漢、寧夏-銀川、河南-鄭州。
- China Telecom：湖南-長沙、重慶、貴州-貴陽、黒竜江-ハルビン、海南-海口、甘粛-蘭州、上海、広東-深セン、陝西-西安、河南-鄭州。

その他の設定

フォーム項目	説明
有効化ステータス	デフォルトで有効です。監視タスクは作成後、すぐに開始されます。
Remarks	備考を設定します。複数行に対応しており、最大 128 文字まで入力できます。