権威DNSサーバとキャッシュDNSサーバ（authoritative DNS server / cache DNS server）
答えそのものを持っているのが権威DNSサーバ。利用者の代わりに聞きに行き、覚えておくのがキャッシュDNSサーバ。
もう少し詳しい説明
DNS（Domain Name System。www.example.com のような名前から、203.0.113.10 のようなIPアドレス（機器1台1台に割り当てられる番号）を引き当てる仕組み）のサーバ（要求を受け取って、応えを返す側の機械）は、役割の違う2種類に分かれます。名前が似ていて混同しやすいところです。
| 何をするか | 言いかえ | |
|---|---|---|
| 権威DNSサーバ | 自分の範囲の正式な答えを持っている | コンテンツサーバ |
| キャッシュDNSサーバ | 利用者の代わりに聞きに行き、覚えておく | フルサービスリゾルバ |
答えを持っているか、聞きに行くか。これが違いのすべてです。
権威DNSサーバ
自分が管理する範囲について、正式な答えを返すサーバ（応えを返す側の機械）です。管理する範囲をゾーン（1つの権威DNSサーバが責任を持って答える、名前の範囲）といいます。
example.com の権威DNSサーバなら、www.example.com がどのIPアドレス（機器1台1台の番号）かを自分のファイルに持っています。問い合わせが来たら、それをそのまま返します。
ほかのサーバへ聞きに行くことはありません。 自分の範囲外を聞かれたら、「知らない」と答えるか、上位を案内するだけです。
ドメイン名（example.com のような、インターネット上の住所にあたる名前）を取得した人が設定するのは、こちらのサーバです。
SPF（Sender Policy Framework。日本語では送信ドメイン認証（認証とは、相手が名乗っているとおりの本人かを確かめること）。そのドメイン名からメールを送ってよいサーバの一覧をあらかじめ公開しておき、なりすましを見破る仕組みです）のレコード（DNSに登録する1行ぶんの情報）を書くのも、ここになります。
キャッシュDNSサーバ
利用者の代わりに、あちこちへ聞きに回るサーバ（応えを返す側の機械）です。プロバイダ（NTTドコモ、ソフトバンク、ニフティなど、家庭や会社をインターネットにつなぐ事業者）や社内に置かれます。
パソコンが www.example.com のIPアドレス（機器1台1台の番号）を知りたいとき、聞きに行く先がこれです。
聞かれたキャッシュDNSサーバは、根元から順にたどります。
| 聞く相手 | 返ってくるもの | |
|---|---|---|
| 1 | ルートDNSサーバ（com や jp の担当を知っている、出発点のサーバ） | 「com はこのサーバが知っている」 |
| 2 | com の権威DNSサーバ | 「example.com はこのサーバが知っている」 |
| 3 | example.com の権威DNSサーバ | 「www は 203.0.113.10」 |
3回も聞きに行っています。 毎回これをやると遅いので、答えを一定時間覚えておきます。これがキャッシュです。
覚えておく時間は、権威DNSサーバ側がTTL（Time To Live。「生存時間」。この答えを何秒間覚えておいてよいか、を表す値）で指定します。TTLが過ぎるまでは、同じ問い合わせに対して覚えた答えを返します。
ドメイン名の設定を変えても、すぐには行き渡らないのは、このためです。古い答えを覚えているキャッシュDNSサーバが、TTLが切れるまで古いほうを返し続けます。
2つの問い合わせ方
名前が付いていて、試験に出ます。
| 誰が聞くか | どう聞くか | |
|---|---|---|
| 再帰問合せ | パソコン → キャッシュDNSサーバ | 「最終的な答えを持ってきて」 |
| 反復問合せ | キャッシュDNSサーバ → 各権威DNSサーバ | 「知っていることだけ教えて」 |
再帰（さいき）は、同じことを繰り返しながら、答えが出るまで先へ進んでいくやり方を指す言葉です。ここでは「答えが出るまで、必要なだけ聞き回ってきて」という意味で使われています。
パソコンは一度聞くだけで、答えが返ってくるのを待ちます。たらい回しの手間は、キャッシュDNSサーバが引き受けています。
分けるべき、という考え方
1台で両方を兼ねることもできます。けれども、分けるのが安全とされています。
理由は2つです。
1つめは、攻撃の的が違うこと。 権威DNSサーバは世界中から問い合わせを受けます。キャッシュDNSサーバは、社内や契約者だけが使うものです。
兼ねていると、外部から自分のキャッシュに偽の情報を入れられる隙ができます。これをDNSキャッシュポイズニング（キャッシュDNSサーバに嘘の対応表を覚え込ませ、利用者を偽のサイトへ誘い込む攻撃）と呼びます。
2つめは、踏み台にされること。 誰でも使えるキャッシュDNSサーバをオープンリゾルバ（だれからの問い合わせにも答えてしまう状態のキャッシュDNSサーバ）といいます。
これはDNSリフレクタ攻撃の踏み台（攻撃者が自分の正体を隠すために、間に挟んで悪用する他人の機械）に使われます。
手口はこうです。攻撃者は、送信元を攻撃先のIPアドレスに偽って問い合わせを送ります。オープンリゾルバは、偽られた送信元へ答えを返します。小さな問い合わせに対して大きな応答が返るので、何台にも同時にやらせれば、攻撃先は大量のデータで埋まります。
キャッシュDNSサーバは、使わせる相手を限定する。
これが実務でも試験でも答えになります。
プライマリとセカンダリ
もうひとつの分け方があります。こちらは権威DNSサーバの中での役割です。
| 何か | |
|---|---|
| プライマリ（マスタ） | 設定のおおもと。ここを書き換える |
| セカンダリ（スレーブ） | プライマリから写しを受け取る。同じ答えを返す |
写しを受け取ることをゾーン転送（プライマリが持っているゾーンの情報を、まるごとセカンダリへ渡すこと）といいます。1台が止まっても答えられるように、複数台で持ちます。
ゾーン転送を誰にでも許すと、ドメイン内の機器の一覧が丸ごと見られます。 許す相手をセカンダリに限定する、というのが対策です。
試験ではこう出る
科目A（旧・午前）では、2つのサーバの役割の区別が出ます。「自分が管理するゾーン（責任を持って答える名前の範囲）の情報を回答する」＝権威DNSサーバ、「問い合わせを代行して結果をキャッシュ（手近に取っておくこと）する」＝キャッシュDNSサーバです。
再帰問合せと反復問合せの区別も出ます。最終的な答えを求めるのが再帰です。
オープンリゾルバは、セキュリティの問題として頻出です。「外部から利用できる状態になっているキャッシュDNSサーバ」で、対策は利用範囲の限定です。
応用情報では、ゾーン転送の制限や、権威とキャッシュを分ける構成の理由が問われます。
関連する用語
- DNS
- 名前とIPアドレスの対応を答える仕組み。その中の役割分担がこのページ
- DNSキャッシュポイズニングとDNSSEC
- キャッシュに偽の答えを覚えさせる攻撃と、その対策
- IPアドレス
- DNSが答えるのはこの値
- SPF（送信ドメイン認証）
- 送ってよいサーバの一覧も、権威DNSサーバに置く
ミニクイズ
権威DNSサーバ（コンテンツサーバ）の役割として、適切なものはどれか。
正解は 4番：自分が管理するゾーンの情報について、正式な答えを返す
権威DNSサーバは、自分が管理する範囲（ゾーン）について、正式な答えを持っているサーバです。問い合わせが来たら、自分の持っている情報をそのまま返します。利用者に代わって問い合わせ、結果を一定時間覚えておくのはキャッシュDNSサーバ（フルサービスリゾルバ）の役割です。ドメイン名（インターネット上の住所にあたる名前）の登録を受け付けるのはレジストラ（ドメイン名の登録を取り次ぐ事業者）の仕事で、サーバの機能ではありません。IPアドレスを自動で割り当てるのはDHCP（Dynamic Host Configuration Protocol。IPアドレスなどの設定を自動で配る仕組み）です。
この分野をまとめて解く → ネットワークのミニテスト（全36問）
最終更新：2026-10-20