https://www.sc-siken.com/s/kakomon/24_haru/am2_14.html

上記問題についてです。
そもそも私のDNSの理解が全く足りていません。

問の意味としては｢公開DNSサーバ(8.8.8.8のやうなキャッシュDNSサーバ？)を建てる場合、DNSamp攻撃の踏み台として悪用されないようにするには？｣という意味だと捉えました。

答えのアには｢DNSサーバをキャッシュDNSサーバとコンテンツサーバ(権威DNSサーバ)に分け、NWからキャッシュDNSサーバへのアクセスを拒否する｣と捉えました。

不特定多数の人にキャッシュDNSサーバを使ってもらうのが目的なのにNWからのアクセスを遮断したら意味なくないですか？というかコンテンツサーバ(権威DNSサーバ)はどこから出てきたのですか？
書いていて意味が分からなくなってきました。

SCの学習においてDNSは基礎であり、確実に理解することが重要です。

キャッシュDNSサーバと公開DNSサーバを混同しているようです。
8.8.8.8はGoogle Public DNSです。
これはGoogleが世界中のユーザに無料で自由に利用してもらうことを目的とした
公開キャッシュDNSサーバです。

問は、一般的な企業でのキャッシュDNSサーバの取り扱いについて問うています。
一般的な企業で利用するキャッシュDNSサーバは、企業内でのみ利用することを
目的として建てられます。
一般企業のキャッシュDNSサーバは公開してはいけません。
もし設定を誤って、外部に公開してしまうと、DNSamp攻撃の踏み台として
利用されてしまいます。

>不特定多数の人にキャッシュDNSサーバを使ってもらうのが目的なのにNWからの
>アクセスを遮断したら意味なくないですか？というか
>コンテンツサーバ(権威DNSサーバ)はどこから出てきたのですか？
>書いていて意味が分からなくなってきました。
DNSサーバは
・権威DNSサーバ
    DNSに関するレコードを管理するサーバ
    外部からのDNS問い合わせに応答するために、公開されている必要がある
・キャッシュDNSサーバ（フルリゾルバ）
    PCなどのスタブリゾルバの代わりに権威DNSサーバへ問い合わせを行うサーバ
    外部に公開してしまうとDNSamp攻撃の踏み台になるので、外部に公開しては
    いけない
の2つの機能で分類されます。

DNSサーバを構築する際に権威DNSサーバとキャッシュDNSサーバを1台のサーバ内に
同居して構築することもできます。
しかし、上記の理由から、権威DNSサーバとキャッシュDNSサーバは別サーバとして
分離することが強く推奨されています。

すなわち
・権威DNSサーバは外部に公開することが必須
・キャッシュDNSサーバは外部に公開してはいけない
というのがDNSサーバの基本になります。

ありがとうございます。
権威DNSサーバって個人や企業が自分のドメインのIPを返すために立てちゃっていいものなんですね……トップレベルドメインから再帰的に問い合わせて行くものであり、最終的にたどり着く権威DNSサーバはSPI？だとかが管理しているものだけだと思っていました。

また公開キャッシュDNSサーバが特殊なだけで、基本キャッシュサーバは外部に公開しないのですね。

横入り失礼します。私もDNSサーバの定義に四苦八苦している初学者です。DNSキャッシュサーバから他社の権威サーバにドメインを問い合わせて、回答を得るということになると、そのキャッシュサーバの所在(IPアドレス？)が公開される、ということになりませんか？  初歩的な質問で申し訳ございませんが、ご教示頂けると助かります。

> 初心者ですさん(No.4) 
キャッシュサーバのIPアドレスは他所の権威サーバに知られます。それを公開というのであれば公開されています。
外部からキャッシュサーバに許可されるアクセスはDNSのリクエストに対するレスポンスだけでしょうが、どういったことが疑問ですか？

>橙色文書さん

ご教示ありがとうございます。

公開の意味合いと

>外部からキャッシュサーバに許可されるア>クセスはDNSのリクエストに対するレスポ>ンスだけ

キャッシュサーバへのアクセスは限定されるのですね。疑問がクリアになりました。まだまだ初学者ですが、これからもご指導をお願いします。

> 初心者ですさん(No.6) 
念のため、キャッシュサーバへのアクセスが限定されるケースは適切にアクセス制御されている構成のみです。
全てのキャッシュサーバが保護されているとは限りません。
アクセス制御は多くのケースでキャッシュサーバ以外の機器で行われているはずです。

>>橙色文書さん(No.7) 
ありがとうございます。キャッシュサーバには適切なアクセス制御されていることが前提なのですね。