DNSの仕組み：インターネットの電話帳がドメイン名をIPアドレスに変換する方法

ウェブサイトを訪問する時、皆さんはアドレスバーに「google.com」や「wikipedia.org」といった人間が読める名前を入力します。しかし、コンピュータがインターネット上でサーバーを探すときに使うのは、実は「192.0.2.1」のような数字の並び（IPアドレスと呼ばれます）です。では、ブラウザはどのようにして「google.com」という文字列を正しいIPアドレスに変換するのでしょうか。その答えがDNS（ドメイン ネーム システム）です。DNSはインターネットの電話帳のようなものであり、インターネットが日々機能するために不可欠な仕組みです。そして、このシステムの詳細を理解することは、なぜサイバーセキュリティ、プライバシー、検閲対策が重要なのかを理解する第一歩になります。

DNSを電話帳として考える

DNSの最も簡単な説明は、それが巨大な分散型の電話帳だということです。従来の電話帳では、人の名前を調べるとその電話番号が出てきます。DNSも同じで、ドメイン名（google.comなど）を調べるとIPアドレスが返されます。ただし、このシステムは単一の場所に置かれた本ではなく、世界中に分散された多くのサーバーが協力して動いています。これは意図的な設計で、一つのサーバーが全インターネットのドメイン情報を保持するとしたら、その負荷は耐え難いものになるでしょう。代わりに、責任は階層構造に分割されています。

DNS問い合わせの旅：4つのステップ

あなたがブラウザでウェブサイトを訪れるたびに、背景では複雑なプロセスが動作しています。このプロセスを追跡することで、DNSがどのように機能するかが明確になります。

まず、スタブリゾルバー（stub resolver）があります。これはあなたのコンピュータやスマートフォンに組み込まれたシンプルなDNS問い合わせツールです。スタブリゾルバーがドメイン名の解決を要求されると、自分では答えを知らないため、別のサーバーに問い合わせます。それは通常、インターネット サービス プロバイダ（ISP）が提供するリカーシブ リゾルバーです。

次に、このリカーシブ リゾルバーが登場します。このサーバーは、あたかも図書館の司書のように、正しい答えを見つけるまで他のサーバーに何度も問い合わせます。それはまず、ルート ネームサーバー（root nameserver）に連絡します。世界には13のルート ネームサーバーの論理的なグループがあり、インターネット全体の最上位の参照ポイントとして機能しています。ルート ネームサーバーはドメインの正確なIPアドレスを知りませんが、次に連絡すべきサーバーを教えてくれます。それはTLD（トップ レベル ドメイン）ネームサーバーです。

TLDネームサーバーは、.com、.org、.jp といった最上位ドメイン全体の情報を保有しています。例えば、google.comを探している場合、TLDネームサーバーは全ての.comドメインの登録情報を持っており、google.comの情報がどこにあるかを知っています。そして次に連絡すべきサーバー（その場合は、Googleが運用する権威あるネームサーバー）を指摘します。

最後に、権威あるネームサーバー（authoritative nameserver）があります。これはドメイン所有者によって直接運用されている（または運用させられている）サーバーで、その特定のドメインの実際のIPアドレスを知っています。権威あるネームサーバーがリカーシブ リゾルバーに「google.comは142.250.185.46です」と答えると、その情報は追跡元のスタブリゾルバーに戻され、最終的にあなたのブラウザに届きます。すると、ブラウザはそのIPアドレスに接続して、ウェブサイトをロードできるようになります。

このプロセス全体は、通常は数百ミリ秒で完了します。ただし、高い負荷がかかっているときや、リゾルバーが前のリクエストの答えをキャッシュ（一時保存）していない場合は、より長くかかることがあります。

プライバシーと可視性の問題

DNSには重大な弱点があります。デフォルトでは、DNS通信は暗号化されていません。つまり、あなたが「wikipedia.org」を調べるたびに、ISPのサーバーはその情報を平文（暗号化されていないテキスト）で見ることができます。ISP、政府機関、またはあなたのネットワークを監視できる誰もが、あなたがどのドメインを訪問しようとしているかを知ることができます。VPN通信のコンテンツは暗号化されていても、あなたがそれが何のドメインに接続しているのかは、DNS問い合わせを見れば分かります。

この問題に対応するため、DNSHoE（DNS over HTTPS）とDoT（DNS over TLS）という暗号化されたDNSプロトコルが開発されました。これらは、DNS問い合わせをHTTPSやTLSなどの暗号化チャネルを通じて送信し、誰もあなたが何のドメイン名を調べているのかを見ることができないようにします。しかし、これらにも限界があります。メタデータの問題（あなたが暗号化されたサーバーに接続していることは見える）は残りますし、採用率はまだ比較的低いです。

DNS検閲：最も安価な検閲の形態

DNS検閲は、特定のドメイン名をブロックしたい政府や組織にとって、極めて効率的で安価な方法です。ウェブサイトそのものをブロックするのではなく、単にそのドメイン名をIPアドレスに解決しないようにするだけで済みます。これは、ネットワーク層で通信内容を検査する（この手段ははるかに複雑で高い計算能力を要します）よりもずっと簡単です。多くの国では、ISPに対して特定のドメインへの問い合わせに応答しないよう、またはニセのIPアドレスを返すよう強制しています。これが多くの形態の検閲が起こる場所です。

次に学ぶべきこと

DNSの仕組みを理解することで、インターネットのプライバシーと検閲の問題の根本が見えてきます。次のステップは、トランスポート層セキュリティ（TLS/SSL）がどのように通信内容を保護するのか、そしてなぜ暗号化は検閲対策の第一層であるのかを探索することです。同様に、インターネット ルーティングと境界ゲートウェイ プロトコル（BGP）を学ぶことも価値があります。これらの仕組みが、より包括的で正確なネットワークの理解へと導きます。