granicus.if.org Git - apache/blob - docs/manual/dns-caveats.xml.ja

   1 <?xml version="1.0" encoding="UTF-8" ?>
   2 <!DOCTYPE manualpage SYSTEM "./style/manualpage.dtd">
   3 <?xml-stylesheet type="text/xsl" href="./style/manual.ja.xsl"?>
   4 <!-- English Revision: 151408:507346 (outdated) -->
   5
   6 <!--
   7  Licensed to the Apache Software Foundation (ASF) under one or more
   8  contributor license agreements.  See the NOTICE file distributed with
   9  this work for additional information regarding copyright ownership.
  10  The ASF licenses this file to You under the Apache License, Version 2.0
  11  (the "License"); you may not use this file except in compliance with
  12  the License.  You may obtain a copy of the License at
  13
  14      http://www.apache.org/licenses/LICENSE-2.0
  15
  16  Unless required by applicable law or agreed to in writing, software
  17  distributed under the License is distributed on an "AS IS" BASIS,
  18  WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  19  See the License for the specific language governing permissions and
  20  limitations under the License.
  21 -->
  22
  23 <manualpage metafile="dns-caveats.xml.meta">
  24
  25   <title>DNS と Apache にまつわる注意事項</title>
  26
  27   <summary>
  28     <p>本文書の内容は次の一言に尽きます。「Apache が設定ファイルを読み込むときに
  29     DNS を使用する必要がないようにして下さい」。Apache が設定ファイルを
  30     読み込むときに DNS を使用する必要がある場合、信頼性の問題
  31     (起動しないかもしれません) やサービス拒否や盗用アタック
  32     (他のユーザからヒットを盗むことを含みます)
  33     の問題に直面するかもしれません。</p>
  34   </summary>
  35
  36   <section id="example">
  37     <title>簡単な例</title>
  38
  39     <example>
  40       &lt;VirtualHost www.abc.dom&gt; <br />
  41       ServerAdmin webgirl@abc.dom <br />
  42       DocumentRoot /www/abc <br />
  43       &lt;/VirtualHost&gt;
  44     </example>
  45
  46     <p>Apache が正常に機能するには、バーチャルホスト毎に必ず二つの
  47     情報が必要になります。それは、
  48     <directive module="core">ServerName</directive>
  49     と、そのサーバが応答するための IP (最低一つ) です。
  50     上記例では IP アドレスを含んでいませんので、Apache は DNS
  51     を使用して <code>www.abc.dom</code> を見つけなければなりません。
  52     何らかの理由で設定ファイルを読み込んでいるときに DNS
  53     が利用できなかった場合、
  54     バーチャルホストは<strong>設定されません</strong>。
  55     そして、そのバーチャルホストに対するヒットには応答がなされません
  56     (Apache 1.2 以前では起動すらしません)。</p>
  57
  58     <p><code>www.abc.dom</code> のアドレスが 192.0.2.1
  59     だとします。では、次の設定について考えてみましょう。</p>
  60
  61     <example>
  62       &lt;VirtualHost 192.0.2.1&gt; <br />
  63       ServerAdmin webgirl@abc.dom <br />
  64       DocumentRoot /www/abc <br />
  65       &lt;/VirtualHost&gt;
  66     </example>
  67
  68     <p>現在のリリースでは Apache は DNS 逆引きを使用して
  69     このバーチャルホストの <directive module="core">ServerName</directive>
  70     を見つけます。
  71     その逆引きが失敗した場合は部分的にバーチャルホストを無効にします
  72     (Apache 1.2 より前では起動すらしません)。
  73     バーチャルホストが名前ベースであれば完全に無効になりますが、
  74     IP ベースであれば概ね動作します。しかしながら、サーバ名を
  75     含む完全な URL を生成しなければならない場合は、正しい URL
  76     の生成ができません。</p>
  77
  78     <p>次の例は上記の問題を解決しています。</p>
  79
  80     <example>
  81       &lt;VirtualHost 192.0.2.1&gt; <br />
  82       ServerName www.abc.dom <br />
  83       ServerAdmin webgirl@abc.dom <br />
  84       DocumentRoot /www/abc <br />
  85       &lt;/VirtualHost&gt;
  86     </example>
  87   </section>
  88
  89   <section id="denial">
  90     <title>サービス拒否</title>
  91
  92     <p>サービス拒否が起こる場合、(少なくとも) 二つのケースがあります。
  93     Apache 1.2 より前を実行している場合、バーチャルホストのための
  94     上記の二つの DNS 検索のうち一つ失敗すれば起動すらしません。
  95     そしてこの DNS 検索が自分の制御下にすらない場合もありえます。
  96     例えば、<code>abc.dom</code> が顧客のサーバの一つで、
  97     DNS は顧客自身で管理している場合、単に
  98     <code>www.abc.dom</code> レコードを削除するだけで、
  99     (1.2 より前の) サーバを起動不能にすることができます。</p>
 100
 101     <p>もう一つのケースは、より気付きにくいものです。
 102     次の設定について考えてみましょう。</p>
 103
 104     <example>
 105       &lt;VirtualHost www.abc.dom&gt; <br />
 106       &nbsp;&nbsp;ServerAdmin webgirl@abc.dom <br />
 107       &nbsp;&nbsp;DocumentRoot /www/abc <br />
 108       &lt;/VirtualHost&gt; <br />
 109       <br />
 110       &lt;VirtualHost www.def.dom&gt; <br />
 111       &nbsp;&nbsp;ServerAdmin webguy@def.dom <br />
 112       &nbsp;&nbsp;DocumentRoot /www/def <br />
 113       &lt;/VirtualHost&gt;
 114     </example>
 115
 116     <p>192.0.2.1 を <code>www.abc.dom</code> に、
 117     192.0.2.2 を <code>www.def.dom</code> に割り当てているとします。
 118     また、<code>def.dom</code> は顧客自身の DNS
 119     の制御下にあるとします。この設定で、<code>abc.dom</code>
 120     に向けられたトラフィック全てを奪うことができる位置に
 121     <code>def.dom</code> を設置できています。後は単に
 122     <code>www.def.dom</code> が 192.0.2.1 を参照するように
 123     設定するだけです。DNS は顧客側の DNS でコントロールされているので、
 124     <code>www.def.dom</code> レコードが好きな場所を指すように
 125     設定できてしまうのを止めさせることができません。</p>
 126
 127     <p>192.0.2.1 に対するリクエスト
 128     (<code>http://www.abc.dom/whatever</code> 形式の URL
 129     を入力したユーザからのもの全てを含みます)
 130     は、<code>def.dom</code> バーチャルホストで応答されます。
 131     このようなことが何故起こるかもっと良く知るためには、
 132     応答の必要なバーチャルホストへのリクエストに対して、
 133     Apache がどのように整合性を確保するかについて、
 134     深い議論が必要になります。おおざっぱな説明は<a
 135     href="vhosts/details.html">こちら</a>に記述されています。</p>
 136   </section>
 137
 138   <section id="main">
 139     <title>「主サーバ」アドレス</title>
 140
 141     <p>Apache 1.1 での <a href="vhost/name-based.html"
 142     >名前ベースのバーチャルホストのサポート</a> 追加の際に、
 143     Apache は <program>httpd</program> の実行されているホストの IP
 144     アドレスを知る必要が出てきました。このアドレスを得るために、
 145     (もしあれば) グローバルな
 146     <directive module="core">ServerName</directive> を使用するか、
 147     C 言語の関数 <code>gethostname</code> (コマンドプロンプトで
 148     <code>hostname</code> とタイプしたときと同じものを返します)
 149     を呼び出すかをします。
 150     その後、得られたアドレスで DNS 検索を行ないます。
 151     現在のところ、この DNS 検索を回避する方法はありません。</p>
 152
 153     <p>DNS サーバがダウンして、この検索ができない事態が起こることを
 154     恐れているのであれば、<code>/etc/hosts</code>
 155     にホスト名を記述しておくことができます
 156     (マシンが正常に起動するように既に設定されているかもしれません)。
 157     その場合、DNS 参照が失敗した場合にマシンが <code>/etc/hosts</code>
 158     を使用するように設定していることを確認してください。
 159     その方法は、どの OS を使用しているかに依存しますが、
 160     <code>/etc/resolv.conf</code> か <code>/etc/nsswitch.conf</code>
 161     を編集することで設定できます。</p>
 162
 163     <p>もし他の理由で DNS を利用する必要がない場合は、
 164     <code>HOSTRESORDER</code> 環境変数を「 <code>local</code>
 165     」に設定することでそのようにできます。以上これらの事柄は、どんな
 166     OS 、レゾルバライブラリを使用しているかに依存します。また、
 167     <module>mod_env</module> を使用して環境変数を制御しない限り、
 168     CGI にも影響を与えます。man ページや使用している OS
 169     の FAQ で調べると良いでしょう。</p>
 170   </section>
 171
 172   <section id="tips">
 173     <title>以上の問題を解決する方法</title>
 174
 175     <ul>
 176       <li>
 177         <directive module="core">VirtualHost</directive>
 178         で IP アドレスを使用する。
 179       </li>
 180
 181       <li>
 182         <directive module="mpm_common">Listen</directive>
 183         で IP アドレスを使用する。
 184       </li>
 185
 186       <li>
 187         全てのバーチャルホストが明示的に
 188         <directive module="core">ServerName</directive>
 189         を持つようにする。
 190       </li>
 191
 192       <li>何も応答しない
 193       <code>&lt;VirtualHost _default_:*&gt;</code>
 194       サーバを作る。</li>
 195     </ul>
 196   </section>
 197
 198   <section id="appendix">
 199     <title>付録: 将来的な方向性</title>
 200
 201     <p>DNS に関して、現状は全く宜しくありません。Apache 1.2 で、
 202     DNS のイベントが失敗しても少なくとも起動プロセスが続くようにしましたが、
 203     これが最高の解決方法ではないでしょう。アドレスの再割り当てが必要不可避
 204     となっている今日のインターネットにおいては、
 205     設定ファイルの中で明示的な IP アドレスを要求する仕様は、
 206     全く宜しくありません。</p>
 207
 208     <p>盗用のサービスアタックに関して行なうべき事は、
 209     DNS 順引きを行なって得られたアドレスに対する DNS
 210     逆引きを行なって、二つの名前を比較することです。
 211     この二つが一致しなければバーチャルホストは無効になるようにします。
 212     こうするためには逆引き DNS が適切に設定されている必要があります
 213     (FTP サーバや TCP ラッパーのおかげで「二重逆引き」DNS は一般的に
 214     なっていますので、管理者にはお馴染みものでしょう)。</p>
 215
 216     <p>IP アドレスが使用されていなくて DNS が失敗した場合は、
 217     どうしてもバーチャルホストウェブサーバを信頼性を確保して
 218     起動させることは不可能のようです。
 219     設定の一部を無効にするというような部分的な解決では、
 220     サーバが何をするようにするかにもよりますが、
 221     そのサーバが起動しないより確実に悪い状況になるでしょう。</p>
 222
 223     <p>HTTP/1.1 が開発され、ブラウザやプロキシが <code>Host</code>
 224     ヘッダを発行するようになったので、IP ベースのバーチャルホストを
 225     全く使用しなくても済むようになるかもしれません。
 226     この場合、ウェブサーバは設定中に DNS 参照をしなくても済みます。
 227     しかし 1997 年 3 月時点の状況では、
 228     商用レベルのウェブサーバで使用できるほどには、
 229     これらの機能は広く開発が進んでいません。</p>
 230   </section>
 231 </manualpage>