DNS ワイヤーフォーマット

DNS のクエリと応答は、12 バイトのヘッダーに続いて Question、Answer、 Authority、Additional の各セクションで構成されます。複数オクテットの整数フィールドはすべてネットワークバイトオーダーを使用します。RFC 1035 は基本フォーマットを定義しており、EDNS、DNSSEC、および後続の拡張は、基本ヘッダーを変更せずにレコードとヘッダーのセマンティクスを追加します。

ヘッダー #

フィールド	ビット数	目的
ID	16	クライアントが選択し、応答でエコーバックされる識別子
QR	1	クエリ（`0`）または応答（`1`）
Opcode	4	操作。`QUERY` はゼロ
AA	1	応答における権威ある回答の指示
TC	1	メッセージが切り詰められたことを示す
RD	1	クライアントが再帰処理を要求
RA	1	サーバーが再帰処理を提供
Z	3	予約済みの基本ビット。拡張では AD と CD を使用
RCODE	4	基本応答コード
QDCOUNT	16	Question の数
ANCOUNT	16	Answer レコード数
NSCOUNT	16	Authority レコード数
ARCOUNT	16	Additional レコード数

RD は、受信サーバーに再帰処理を実行するよう要求します。RA は、サーバーが再帰処理を実行できることを通知します。AA は、応答サーバーが回答に対して権威を持つことを示しますが、メッセージ内のすべてのレコードが権威あるものだという意味ではありません。TC は、切り詰められた応答では不十分な場合に、クライアントが TCP または別のサポートされているトランスポートで再試行する必要があることを通知します。

名前と Question #

ドメイン名はラベルの並びです。通常の各ラベルは 0 から 63 までのオクテット長で始まり、長さ 0 のルートラベルが名前を終端します。

text

03 www 07 example 03 com 00

長さオクテットとルートラベルを含む完全なエンコード済みの名前は、255 オクテットに制限されます。Question には QNAME、16 ビットの QTYPE、16 ビットの QCLASS が含まれます。インターネットクラス（IN）の値は 1 です。

繰り返し現れるサフィックスを避けるため、名前では圧縮ポインターを使用できます。ポインターの最初の 2 ビットは 11 で、残りの 14 ビットはメッセージ開始位置からのオフセットです。ポインターは前方の位置だけを指せます。DNS メッセージは信頼できない入力であるため、パーサーはポインターの深さに上限を設け、オフセットを検証し、ループを検出しなければなりません。

Resource Record #

Answer、Authority、Additional の各セクションには Resource Record が格納されます。

text

NAME | TYPE | CLASS | TTL | RDLENGTH | RDATA

TTL は 32 ビットフィールドとしてエンコードされ、RFC 2181 に基づき、実効範囲が 0 から \(2^{31}-1\) までの非負のキャッシュ存続期間として扱われます。 RDLENGTH は、タイプ固有の RDATA バイト列の範囲を定めます。RRset は、同じ owner name、class、type を持つレコードの集合です。DNSSEC は個々のレコードではなく RRset に署名します。

一般的な RDATA には、4 バイトの IPv4 アドレス（A）、16 バイトの IPv6 アドレス（AAAA）、ドメイン名（NS、CNAME、PTR）、および MX の preference と exchange name の組み合わせや SOA のタイマーなどの構造化された値が含まれます。RDATA 内の名前も、適用される RFC が許可している場合は圧縮を使用できます。

EDNS は Additional セクション内の OPT pseudo-record を使用して、UDP ペイロードサイズ、拡張 RCODE ビット、フラグ、およびオプションを通知します。EDNS がネゴシエーション済みの場合、サーバーは UDP DNS が 512 バイトに制限されていると仮定してはなりません。ただし、クライアントは引き続き切り詰めに対応し、再試行しなければなりません。

安全な解析 #

受信したデータグラムまたはストリームフレームだけを有効なバイト範囲として扱います。各固定幅フィールド、ラベル、ポインター、または RDATA 値を読み取る前に、そのフィールド全体が範囲内に収まることを検証します。セクションのカウントは信頼できないため、指定されたレコード数を格納できない場合は停止します。

名前の伸長には 2 つの位置が必要です。1 つは呼び出し元が次に読み取るオフセット、もう 1 つは名前の再構成に使用するポインター追跡後のオフセットです。ポインターのホップ数を数えるか、訪問済みオフセットを追跡してサイクルを拒否し、予約済みのラベルプレフィックスを拒否し、63 オクテットのラベル制限と 255 オクテットの伸長後の名前制限を適用します。また、メッセージ外部のポインター先を決して解釈してはなりません。

TCP および TLS トランスポートでは、2 オクテットの長さプレフィックスが各 DNS メッセージをフレーム化しますが、DNS ヘッダーの一部ではありません。解析する前に、その長さのバイトを正確に読み取ります。OPT レコードでは、TTL フィールドの拡張 RCODE と基本ヘッダーの RCODE を組み合わせ、各オプションを RDLENGTH とメッセージ範囲の両方の内部で解析します。