最終更新日：2026年7月4日
sg sg-security-measures network dns
まず結論
DNSゾーン転送とは、プライマリDNSサーバからセカンダリDNSサーバへ、ゾーン情報をコピーする仕組みです。
SG試験では、第三者にネットワーク構成の手掛かりを与えないために、ゾーン転送を許可するDNSサーバを必要な相手に限定すると判断します。
特に、次のように切り分けます。
| 設定 | 主な目的 |
|---|---|
| ゾーン転送の許可先を限定する | ゾーン情報の不正取得を防ぐ |
| SOAレコードのシリアル番号を更新する | ゾーン情報の更新有無を管理する |
| TTLを短くする | キャッシュされる時間を短くする |
| DNSラウンドロビンを設定する | 複数サーバへ負荷を分散する |
直感的な説明
DNSのゾーン情報は、会社の公開サービスに関する「住所録」のようなものです。
住所録には、Webサーバ、メールサーバ、DNSサーバなど、外部から接続するために必要な情報が含まれます。
セカンダリDNSサーバを用意する場合、この住所録をプライマリDNSサーバからコピーしておく必要があります。
このコピーの仕組みがゾーン転送です。
しかし、コピーを誰にでも許してしまうと、攻撃者にも住所録を渡してしまうことになります。
そのため、ゾーン転送は、正当なセカンダリDNSサーバなど、必要な相手だけに許可します。
定義・仕組み
DNSゾーン転送は、DNSのゾーン情報を別のDNSサーバへ転送する仕組みです。
主に、次のような関係で使われます。
| サーバ | 役割 |
|---|---|
| プライマリDNSサーバ | ゾーン情報の元となる情報を管理する |
| セカンダリDNSサーバ | プライマリからゾーン情報を取得し、名前解決に備える |
ゾーン情報には、次のようなレコードが含まれます。
- Aレコード
- AAAAレコード
- MXレコード
- NSレコード
- TXTレコード
- SOAレコード
これらは公開サービスの運用に必要な情報ですが、まとめて取得されると、サーバ構成やネットワーク構成を推測する材料にもなります。
そのため、ゾーン転送は「便利な同期機能」である一方、許可範囲を誤ると情報収集に悪用される可能性があります。
どんな場面で使う？
ゾーン転送は、DNSサーバを複数台で運用するときに使われます。
たとえば、自社ドメインを管理するDNSサーバを2台以上用意し、片方が停止しても名前解決を継続できるようにする場合です。
このとき、セカンダリDNSサーバが古い情報を持ったままでは困るため、プライマリDNSサーバからゾーン情報を取得して同期します。
ただし、SG試験では、ゾーン転送の仕組みそのものよりも、許可先を限定する理由が問われやすいです。
選択肢で次のような表現があれば、ゾーン転送の制限を考えます。
- DNSサーバに格納された情報を第三者に公開したくない
- ネットワーク構成を推測されることを防ぎたい
- プライマリDNSサーバの設定として適切なものを選ぶ
- ゾーン転送を許可する相手を制限する
よくある誤解・混同
誤解1：SOAレコードのシリアル番号を更新すれば情報漏えい対策になる
これは不正確です。
SOAレコードのシリアル番号は、ゾーン情報が更新されたかどうかを判断するための番号です。
セカンダリDNSサーバは、この番号などを使って、ゾーン情報を更新する必要があるかを判断します。
しかし、シリアル番号を更新すること自体は、第三者へのゾーン情報公開を防ぐ対策ではありません。
誤解2：TTLを短くすればゾーン転送の不正取得を防げる
TTLは、DNSキャッシュに情報を保持してよい時間です。
TTLを短くすると、DNS情報を変更したときに古い情報が残る時間を短くできます。
しかし、TTLの短縮はキャッシュの話であり、ゾーン転送を誰に許可するかとは別の話です。
誤解3：DNSラウンドロビンはゾーン情報の保護である
DNSラウンドロビンは、1つのドメイン名に複数のIPアドレスを対応付け、アクセス先を分散する考え方です。
負荷分散には関係しますが、ゾーン情報の不正取得を防ぐ設定ではありません。
誤解4：セカンダリDNSサーバを置かなければ安全である
セカンダリDNSサーバは、DNSの可用性を高めるために使われます。
問題は、セカンダリDNSサーバの存在そのものではなく、ゾーン転送を不特定多数に許可してしまうことです。
必要な相手にだけゾーン転送を許可する、という考え方で整理しましょう。
確認問題（SG試験対策）
DNSゾーン転送の安全な運用として、最も重視すべき考え方はどれか。
- ア. ゾーン情報を同期する相手を、必要なサーバに限定する。
- イ. すべてのDNS応答を短時間でキャッシュから消す。
- ウ. DNSの負荷分散だけを強化する。
- エ. ゾーンファイルの更新番号だけを頻繁に変える。
▶ クリックして答えと解説を見る（ここを開く）
正解：ア
解説
- ア：適切です。ゾーン転送は同期先を必要なDNSサーバに絞ることが重要です。
- イ：TTLはキャッシュ保持時間の話であり、転送許可先の制限とは別です。
- ウ：負荷分散は可用性の話であり、ゾーン情報の不正取得防止とは目的が違います。
- エ：更新番号は変更管理に使われますが、公開範囲の制御にはなりません。
👉 判断ポイント 「DNSのゾーン情報を第三者に取得されたくない」なら、ゾーン転送の許可先を限定する。
まとめ（試験直前用）
DNSゾーン転送は、プライマリDNSサーバからセカンダリDNSサーバへゾーン情報を同期する仕組みです。
試験直前は、次のように整理します。
- ゾーン転送は、DNSゾーン情報をコピーする仕組み
- ゾーン情報には、サーバ構成を推測できる情報が含まれる
- 対策は、ゾーン転送を許可するDNSサーバを限定すること
- SOAシリアル番号、TTL、DNSラウンドロビンとは目的が違う
SG試験では、「情報を第三者に取得されたくない」ならゾーン転送の制限と押さえましょう。