NetScaler ADCがDNSプロキシサーバーであるゾーンのDNSSECを構成する

最終公開日 : Sep 25, 2026
NetScalerがDNSプロキシサーバーとして構成されているゾーンに署名する手順は、ADCがバックエンドネームサーバーが所有するゾーン情報のサブセットを所有しているかどうかによって異なります。その場合、その構成は部分的なゾーン所有権構成と見なされます。ADCがゾーン情報のサブセットを所有していない場合、バックエンドサーバーを管理するためのNetScaler構成はゾーンレスのDNSプロキシサーバー構成と見なされます。どちらのNetScaler構成でも、基本的なDNSSEC構成タスクは同じです。ただし、NetScalerの部分ゾーンに署名するには、いくつかの追加構成手順が必要です。
注： ゾーンレスプロキシサーバー構成とパーシャルゾーンという用語は、NetScalerアプライアンスでのみ使用されます。
重要: プロキシモードに設定した場合、ADC はキャッシュを更新する前に DNSSEC 応答の署名検証を行いません。
ADC を DNS プロキシとして設定して DNSSEC 対応リゾルバー (サーバー) の負荷を分散する場合は、DNS 仮想サーバーの設定時に Recursion Available オプションを設定する必要があります。DNSSEC クエリが Checking Disabled (CD) ビットを設定して届いた場合、そのクエリは CD ビットを保持したままサーバーに渡されます。サーバーからの応答はキャッシュされません。

ゾーンレス DNS プロキシサーバー構成の DNSSEC の設定

ゾーンレス DNS プロキシサーバー構成では、バックエンドのネームサーバーでゾーン署名を実行する必要があります。NetScalerでは、ADCをゾーンのDNSプロキシサーバーとして構成します。プロトコルタイプ DNS の負荷分散仮想サーバーを作成します。ネームサーバーを表すように ADC 上のサービスを設定します。次に、サービスを負荷分散仮想サーバーにバインドします。これらの構成タスクの詳細については、「 NetScaler をDNSプロキシサーバーとして構成する」を参照してください。
クライアントが DNSSEC OK（DO）ビットが設定された DNS 要求を ADC に送信すると、ADC は要求された情報についてキャッシュをチェックします。リソースレコードがキャッシュにない場合、ADC は要求を DNS ネームサーバーの 1 つに転送します。次に、ネームサーバーからの応答をクライアントに中継します。また、ADC は RRSIG リソースレコードをネームサーバーからの応答とともにキャッシュします。DNSSEC 対応クライアントからの後続のリクエストは、有効期間 (TTL) パラメータに従って、キャッシュ (RRSIG リソースレコードを含む) から処理されます。クライアントが DO ビットを設定せずに DNS 要求を送信すると、ADC は要求されたリソースレコードのみで応答します。DNSSEC に固有の RRSIG リソースレコードは含まれていません。

部分ゾーン所有権設定用の DNSSEC の設定

ADC 構成によっては、ゾーンの権限がバックエンドのネームサーバーにある場合でも、そのゾーンに属するリソースレコードのサブセットが ADC で設定されることがあります。ADC は、このレコードのサブセットのみを所有 (または権限) しています。このようなレコードのサブセットは、 ADCの部分的なゾーンを構成していると見なすことができます 。ADCは部分ゾーンを所有しています。他のすべてのレコードは、バックエンドのネームサーバーが所有しています。
NetScalerの一般的な部分ゾーン構成は、次の場合に見られます。
  • グローバルサーバー負荷分散 (GSLB) ドメインは ADC で設定されます
  • GSLB ドメインは、バックエンドのネームサーバーが権限を持つゾーンの一部です。
ADC上の一部のゾーンのみを含むゾーンに署名するには、次のことが必要です。
  • バックエンド・ネーム・サーバー・ゾーン・ファイルへの部分的なゾーン情報の追加
  • バックエンドネームサーバー上のゾーンへの署名
  • ADC のパーシャルゾーンへの署名
ネームサーバーのゾーンとADCの部分ゾーンの署名には、同じキーセットを使用する必要があります。

バックエンドのネームサーバー上のゾーンに署名します

  1. 部分ゾーンに含まれるリソースレコードをネームサーバーのゾーンファイルに含めます。
  2. キーを作成し、そのキーを使用してバックエンドネームサーバー上のゾーンに署名します。

NetScalerの部分ゾーンに署名します

  1. バックエンドのネームサーバーが所有するゾーンの名前でゾーンを作成します。部分ゾーンを構成するときは、ProxyMode パラメーターを YES に設定します。このゾーンは、ADC が所有するリソースレコードを含む部分ゾーンです。
    たとえば、バックエンドのネームサーバーで設定されているゾーンの名前が example.com の場合、ADC に example.com という名前のゾーンを作成する必要があります。proxyModeパラメーターをYESに設定します。ゾーンの追加の詳細については、「 DNS ゾーンの構成」を参照してください。
    注
    ゾーンに SOA レコードと NS レコードを追加しないでください。これらのレコードは、ADCが権限を持つゾーンのADCに存在している必要があります。
  2. キーを（バックエンドネームサーバーの1つから）ADCにインポートしてから、 /nsconfig/dns/ ディレクトリ。キーをインポートして ADC に追加する方法の詳細については、「 ゾーンでの DNS キーの公開」を参照してください。
  3. インポートされたキーで部分ゾーンに署名します。キーを使用して部分ゾーンに署名すると、ADC はリソースレコードセットの RRSIG レコードと NSEC レコードをそれぞれ生成し、部分ゾーン内の個々のリソースレコードを生成します。ゾーンの署名の詳細については、「 DNS ゾーンの署名と署名の解除」を参照してください。