DNS ゾーンファイル検証ツール

使い方

1. ゾーンファイルを貼り付けます。内容はブラウザー内にとどまり、アップロードも名前解決も行いません。
2. ファイルが $ORIGIN で始まるならオリジン欄は空のままで構いません。そうでない場合は、サーバー設定に書かれたゾーン名をそのまま入力します。同じファイルでもオリジンが違えば意味が変わります。
3. 解析に失敗したら、行番号とその下に表示される行を確認します。エラーはパーサーが諦めた位置に出るため、閉じ忘れた引用符や括弧では実際の間違いより 1 行後になることがあります。
4. SOA パネルを確認します。管理者アドレスはメールアドレスの形に直して表示され、各タイマーは秒数と読みやすい表記が並びます。
5. 指摘は上から順に片付けます。エラー・警告・参考の順に並び、それぞれの行番号から問題のレコードにすぐ戻れます。

よくある質問

CNAME がなぜ example.com.example.com. になるのですか。

宛先の末尾にドットがなかったからです。マスターファイルでは、ドットで終わらない名前はすべて現在のオリジンからの相対名であり、パーサーには "example.com" が完全修飾名のつもりなのか、ゾーン内の example.com というホストなのかを知る手立てがありません。この規則は CNAME だけでなくすべての名前フィールドに適用され、MX・NS・SRV の宛先や SOA のプライマリサーバーにも同じようにオリジンが付きます。ゾーンの外を指す名前には必ずドットを打ち、ゾーン内の名前はラベルだけで書く習慣が事故を防ぎます。

$TTL のないファイルはエラーですか。

必ずしもそうではありません。RFC 1035 には $TTL ディレクティブ自体がなく、RFC 2308 がこれを追加して必須としましたが、dnspython を含む多くのパーサーは今も TTL のないレコードに SOA の minimum を使います。SOA が最初のレコードなら SOA 自身の TTL も minimum から来ます。逆に SOA も $TTL も現れる前に TTL のないレコードが出てくると、引き継ぐ値がないので本当のエラーになります。このツールはこの代替を参考として知らせ、実際に使われた値を示します。

同じ名前・タイプのレコードで TTL が違う場合、どちらが優先されますか。

厳密にはどちらでもありません。同じ名前とタイプのレコードは 1 つの RRset を作り、RRset は 1 つの TTL で応答されます。ファイルが複数の値を与えると、ローダーは最小値を残し、ログに警告も出しません。結果として 60 秒のレコードの隣にある 86400 秒のレコードも 60 秒になり、たいていは書いた人の意図と正反対です。このツールは表に実際に効く TTL を示し、値が上書きされた行を指摘します。

ゾーン外の名前のレコードが表にないのはなぜですか。

そのレコードがゾーンに入らないからです。ローダーはオーナー名がゾーンオリジンと同じかその下にあるレコードだけを保持し、それ以外はゾーン外データとして拒否ではなく黙って捨てます。正引きゾーンに貼り付けた PTR レコードや、$ORIGIN 行のあとに残った前のオリジン基準のレコードが、ファイルは正常に読み込まれるのに消えてしまうのはこのためです。このツールは捨てられる名前を指摘として並べ、少なくとも見えるようにします。

TXT レコードは 255 文字を超えられますか。

レコード全体は超えられますが、その中の 1 つの文字列は超えられません。DNS の character-string は長さを 1 オクテットで表すため 255 が上限で、それより長い引用符付き文字列は切り詰めではなく構文エラーになります。長い DKIM や SPF の値は 1 レコードの中で "前半" "後半" のように分けて書けば、サーバーが間に何も入れずに連結します。リゾルバーは断片をそのままアプリケーションに渡すので、任意の位置で切っても復元できますが、順序が正しいことが前提です。

構文が正しければ DNS は正しく動きますか。

いいえ。解析が通ったのは構文が正しいという意味で、ここでの追加検査も内部の整合性の一部を見ているにすぎません。親ゾーンが自分のネームサーバーへ委任しているか、そのサーバーがこの版を読み込んだか、アドレスに到達できるか、上げたシリアルがセカンダリの持つ値より本当に大きいかは、ファイルからはわかりません。特にシリアルの比較は 32 ビットの巡回演算なので、日付を打ち間違えて値が小さくなると、数字が十分に一周するまでセカンダリが古いゾーンに留まることがあります。

関連ツール