権威DNSサーバ

読み：けんいでぃーえぬえすさーば　／　英語表記：authoritative DNS server

自分が管理するドメイン（ゾーン）の情報を持ち、そのドメインについての問合せに、正式な答えとして応答するDNSサーバ。

イマシルちゃんの解説

DNSの電話帳は、世界中で担当を分け合っているって話をしたよね。
権威DNSサーバは、その担当者のこと。「example.co.jpのことなら、私が正式に答えます！」っていうサーバなんだ。

担当以外のことを聞かれたら、自分では調べに行かずに「それは担当外です」って答えるのが本来の姿なんだよ。

権威DNSサーバは、特定のゾーン（自分が管理を任されたドメインの範囲）の情報（リソースレコード）を保持し、そのゾーンについての問合せに答えるDNSサーバである。コンテンツサーバとも呼ばれる。応答には、正式な答えであることを示すAA（Authoritative Answer）フラグが付く。

上位のゾーンの権威DNSサーバは、下位のゾーンのNSレコード（担当する権威DNSサーバの名前）を持っていて、問合せが来るとそのサーバを紹介する。これを委任という。ルートからこの紹介をたどることで、目的のゾーンの権威DNSサーバにたどり着ける。

種類	役割
プライマリ（マスター）	ゾーンの情報の元データを持つ。管理者はここでデータを変更する
セカンダリ（スレーブ）	プライマリからゾーンの情報を複製して持つ。プライマリが止まっても答えられる

複製はゾーン転送で行う。セカンダリは、SOAレコードのシリアル番号が増えていれば、変更があったと判断してゾーン転送を要求する。ゾーン転送にはTCPを使い、全体を転送するAXFRと、差分だけを転送するIXFRがある。

セカンダリを、プライマリとは別のネットワーク（ISPなど）に置くと、ネットワークの障害に対する可用性が高まる。

注意点	理由
ゾーン転送を許可する相手を、セカンダリに限る	誰にでも許可すると、ゾーンの情報がすべて取得され、内部の機器の名前などが漏れる
再帰的問合せに応じない（キャッシュの機能と分ける）	権威DNSサーバがフルサービスリゾルバの機能も持つと、キャッシュポイズニングやDRDoS攻撃の反射に悪用されるおそれがある
外部向けと内部向けを分ける	外部に公開する必要のない内部の機器の情報を、外部向けのサーバに載せない