---
title: "DNSゾーン転送とは？許可先を制限する理由をやさしく解説【SG試験】"
description: "DNSゾーン転送を、プライマリDNSからセカンダリDNSへゾーン情報を同期する仕組みとして整理し、許可先制限が必要な理由や、SOA・TTL・ラウンドロビンとの役割差を確認します。"
last_modified_at: "2026-07-04"
canonical_url: "https://stemtazoo.github.io/sg/dns-zone-transfer/"
section: "sg"
---

## まず結論

DNSゾーン転送とは、**プライマリDNSサーバからセカンダリDNSサーバへ、ゾーン情報をコピーする仕組み**です。

SG試験では、第三者にネットワーク構成の手掛かりを与えないために、**ゾーン転送を許可するDNSサーバを必要な相手に限定する**と判断します。

特に、次のように切り分けます。

| 設定 | 主な目的 |
|---|---|
| ゾーン転送の許可先を限定する | ゾーン情報の不正取得を防ぐ |
| SOAレコードのシリアル番号を更新する | ゾーン情報の更新有無を管理する |
| TTLを短くする | キャッシュされる時間を短くする |
| DNSラウンドロビンを設定する | 複数サーバへ負荷を分散する |

## 直感的な説明

DNSのゾーン情報は、会社の公開サービスに関する「住所録」のようなものです。

住所録には、Webサーバ、メールサーバ、DNSサーバなど、外部から接続するために必要な情報が含まれます。

セカンダリDNSサーバを用意する場合、この住所録をプライマリDNSサーバからコピーしておく必要があります。

このコピーの仕組みがゾーン転送です。

しかし、コピーを誰にでも許してしまうと、攻撃者にも住所録を渡してしまうことになります。

そのため、ゾーン転送は、正当なセカンダリDNSサーバなど、必要な相手だけに許可します。

## 定義・仕組み

DNSゾーン転送は、DNSのゾーン情報を別のDNSサーバへ転送する仕組みです。

主に、次のような関係で使われます。

| サーバ | 役割 |
|---|---|
| プライマリDNSサーバ | ゾーン情報の元となる情報を管理する |
| セカンダリDNSサーバ | プライマリからゾーン情報を取得し、名前解決に備える |

ゾーン情報には、次のようなレコードが含まれます。

- Aレコード
- AAAAレコード
- MXレコード
- NSレコード
- TXTレコード
- SOAレコード

これらは公開サービスの運用に必要な情報ですが、まとめて取得されると、サーバ構成やネットワーク構成を推測する材料にもなります。

そのため、ゾーン転送は「便利な同期機能」である一方、許可範囲を誤ると情報収集に悪用される可能性があります。

## どんな場面で使う？

ゾーン転送は、DNSサーバを複数台で運用するときに使われます。

たとえば、自社ドメインを管理するDNSサーバを2台以上用意し、片方が停止しても名前解決を継続できるようにする場合です。

このとき、セカンダリDNSサーバが古い情報を持ったままでは困るため、プライマリDNSサーバからゾーン情報を取得して同期します。

ただし、SG試験では、ゾーン転送の仕組みそのものよりも、**許可先を限定する理由**が問われやすいです。

選択肢で次のような表現があれば、ゾーン転送の制限を考えます。

- DNSサーバに格納された情報を第三者に公開したくない
- ネットワーク構成を推測されることを防ぎたい
- プライマリDNSサーバの設定として適切なものを選ぶ
- ゾーン転送を許可する相手を制限する

## よくある誤解・混同

### 誤解1：SOAレコードのシリアル番号を更新すれば情報漏えい対策になる

これは不正確です。

SOAレコードのシリアル番号は、ゾーン情報が更新されたかどうかを判断するための番号です。

セカンダリDNSサーバは、この番号などを使って、ゾーン情報を更新する必要があるかを判断します。

しかし、シリアル番号を更新すること自体は、第三者へのゾーン情報公開を防ぐ対策ではありません。

### 誤解2：TTLを短くすればゾーン転送の不正取得を防げる

TTLは、DNSキャッシュに情報を保持してよい時間です。

TTLを短くすると、DNS情報を変更したときに古い情報が残る時間を短くできます。

しかし、TTLの短縮はキャッシュの話であり、ゾーン転送を誰に許可するかとは別の話です。

### 誤解3：DNSラウンドロビンはゾーン情報の保護である

DNSラウンドロビンは、1つのドメイン名に複数のIPアドレスを対応付け、アクセス先を分散する考え方です。

負荷分散には関係しますが、ゾーン情報の不正取得を防ぐ設定ではありません。

### 誤解4：セカンダリDNSサーバを置かなければ安全である

セカンダリDNSサーバは、DNSの可用性を高めるために使われます。

問題は、セカンダリDNSサーバの存在そのものではなく、ゾーン転送を不特定多数に許可してしまうことです。

必要な相手にだけゾーン転送を許可する、という考え方で整理しましょう。

## 確認問題（SG試験対策）

DNSゾーン転送の安全な運用として、最も重視すべき考え方はどれか。

- ア. ゾーン情報を同期する相手を、必要なサーバに限定する。
- イ. すべてのDNS応答を短時間でキャッシュから消す。
- ウ. DNSの負荷分散だけを強化する。
- エ. ゾーンファイルの更新番号だけを頻繁に変える。

<details markdown="1">
<summary>▶ クリックして答えと解説を見る（ここを開く）</summary>

**正解：ア**

### 解説
- ア：適切です。ゾーン転送は同期先を必要なDNSサーバに絞ることが重要です。
- イ：TTLはキャッシュ保持時間の話であり、転送許可先の制限とは別です。
- ウ：負荷分散は可用性の話であり、ゾーン情報の不正取得防止とは目的が違います。
- エ：更新番号は変更管理に使われますが、公開範囲の制御にはなりません。

👉 判断ポイント
「DNSのゾーン情報を第三者に取得されたくない」なら、ゾーン転送の許可先を限定する。

</details>

## まとめ（試験直前用）

DNSゾーン転送は、プライマリDNSサーバからセカンダリDNSサーバへゾーン情報を同期する仕組みです。

試験直前は、次のように整理します。

- ゾーン転送は、DNSゾーン情報をコピーする仕組み
- ゾーン情報には、サーバ構成を推測できる情報が含まれる
- 対策は、ゾーン転送を許可するDNSサーバを限定すること
- SOAシリアル番号、TTL、DNSラウンドロビンとは目的が違う

SG試験では、**「情報を第三者に取得されたくない」ならゾーン転送の制限**と押さえましょう。

## 公式情報・参考リンク

- [RFC 5936｜DNS Zone Transfer Protocol (AXFR)](https://www.rfc-editor.org/rfc/rfc5936)