10. セキュリティに関する考慮事項 (Security Considerations)

一部の DNS サーバーオペレーターは、DNS over TCP の普及と使用の拡大により、TCP への DoS 攻撃（偶発的および意図的の両方）のリスクが高まることを懸念しています。

TCP 対応サーバーに対する特定の攻撃のリスクは高くなりますが、ネットワークレベルでの DoS 攻撃を軽減する手法は、DNS が最初に設計されて以来大幅に改善されています。

読者は、既知の TCP 攻撃と対策を詳述し、このトピックに関する関連 RFC のほとんどを参照している TCP のセキュリティ評価である [CPNI-TCP] に精通することをお勧めします。

DoS 攻撃のリスクを軽減するために、DNS サーバーは TCP 接続管理に従事することをお勧めします。これには、既存の接続の状態の維持、既存の接続の再利用、および公平な使用を可能にするための要求キューの制御が含まれる可能性があります。次のような構成可能な接続管理オプションを提供することが有利である可能性があります:

TCP 接続の総数
送信元 IP アドレスまたはサブネットごとの最大 TCP 接続数
TCP 接続のアイドルタイムアウト
TCP 接続ごとの最大 DNS トランザクション数
最大 TCP 接続期間

これらのパラメータに推奨される特定の値はありません。

オペレーターは、オペレーティングシステムの TCP スタックで使用可能な構成および調整パラメータに精通することをお勧めします。ただし、これに関する詳細なアドバイスは、このドキュメントの範囲外です。

再帰サーバーのオペレーターは、予期されるクライアントからの接続のみを受け入れ（たとえば、アクセス制御リスト (ACL) を使用して）、未知のソースからの接続を受け入れないようにすることをお勧めします。UDP トラフィックの場合、これはリフレクション攻撃 [RFC5358] から保護するのに役立ちます。TCP トラフィックの場合、これは未知のクライアントがサーバーの同時接続数の制限を使い果たすのを防ぎます。