【仕組み解説】DNSはどうやってドメイン名をIPアドレスに変換するのか

ひよこ

ブラウザにURLを打ち込むだけでWebサイトが表示されるけど、あれってどういう仕組みなの？

ペンギン先生

いい質問だね。実はブラウザがWebサイトに接続するには「IPアドレス」という数字の住所が必要なんだ。でも人間が覚えやすいように「example.com」みたいなドメイン名を使っているよね。このドメイン名をIPアドレスに変換する仕組みが「DNS（Domain Name System）」なんだよ。

ひよこ

ドメイン名をIPアドレスに変換するってことは、電話帳みたいなものなのかな？

ペンギン先生

まさにそのイメージだよ。電話帳で「田中さん」の名前から電話番号を調べるのと同じで、DNSは「example.com」というドメイン名から「203.0.113.10」みたいなIPアドレス（ここでは説明用の例だよ）を調べてくれるんだ。この変換のことを「名前解決」と呼ぶんだよ。

ひよこ

名前解決って具体的にはどういう流れで進むの？

ペンギン先生

まずブラウザが「DNSリゾルバ」に問い合わせるんだ。リゾルバはプロバイダが用意していることが多いね。リゾルバが答えを知らない場合は「ルートサーバー」に聞きに行く。ルートサーバーは「.comならこのTLDサーバーに聞いて」と教えてくれる。リゾルバはその案内どおりにTLDサーバーへ聞きに行き、TLDサーバーは「example.comならこの権威サーバーに聞いて」と案内する。最後にリゾルバが権威サーバーに聞くと、実際のIPアドレスが返ってくるんだよ。

ひよこ

毎回そんなにたくさんのサーバーに聞きに行ってたら遅くならないの？

ペンギン先生

そこで「キャッシュ」が活躍するんだ。一度調べた結果はリゾルバやブラウザが一時的に記憶しておくから、次に同じドメインにアクセスするときはすぐに答えが返ってくるよ。キャッシュの有効期限は「TTL（Time To Live）」で決まっていて、たとえばTTLが3600秒なら1時間はキャッシュが使われるんだよ。

ひよこ

リゾルバがルートサーバーに聞きに行くっていうのは「再帰クエリ」っていうやつかな？

ペンギン先生

惜しいけどちょっと違うんだ。ブラウザからリゾルバへの問い合わせが「再帰クエリ」で、「最終的な答えをちょうだい」というお願いだよ。一方、リゾルバがルートサーバーやTLDサーバーに聞いて回るのは「反復クエリ」で、「知ってる範囲でヒントをちょうだい」という問い合わせなんだ。リゾルバが代わりにあちこち聞いて回ってくれるから、ブラウザは1回聞くだけで済むんだよ。

ひよこ

DNSって住所を調べるだけじゃなくて、いろんな種類の情報があるって聞いたけど本当なの？

ペンギン先生

そうだよ。DNSには「レコード」という単位でいろんな情報が登録されているんだ。Aレコードはドメインに対応するIPv4アドレス、AAAAレコードはIPv6アドレスを返す。CNAMEレコードは別のドメイン名へのエイリアスで、MXレコードはメールサーバーの宛先を指定するものだよ。他にもTXTレコードはドメインの所有確認やSPF設定に使われたりするんだ。

ひよこ

DNSってセキュリティ的に大丈夫なのかな？なんだか狙われそうな気がする…

ペンギン先生

鋭いね。実は「DNSキャッシュポイズニング」という攻撃があるんだ。リゾルバのキャッシュに偽のIPアドレスを注入して、ユーザーを偽サイトに誘導する手口だよ。「DoH（DNS over HTTPS）」や「DoT（DNS over TLS）」を思い浮かべる人が多いけど、これはブラウザやOSとリゾルバの間の通信を暗号化して、盗み見や途中での改ざんを防ぐ仕組みなんだ。キャッシュに入る偽の答えを見破る役目は、あとで話すDNSSECのほうだよ。DoHは、Firefoxが米国から初期設定で有効にし始めたり、Chromeが使っているDNSプロバイダのDoHサーバーへ自動で切り替えたりして、普及してきているんだ。

ひよこ

ルートサーバーって世界に13台しかないって聞いたことがあるけど、それで足りるの？

ペンギン先生

これはよくある誤解なんだけど、正確にはA〜Mの「13の名前（ルートサーバー）」を12の組織が運営していて、実体は世界中に2,000か所以上（root-servers.orgの報告で2045拠点）あるんだ。「Anycast」という技術で同じIPアドレスを複数の場所に配置して、近い拠点が応答する仕組みになっているよ。だから1か所が止まってもすぐ別のサーバーが対応してくれるんだ。

ひよこ

DNSの信頼性を高める仕組みって他にもあるのかな？

ペンギン先生

「DNSSEC（DNS Security Extensions）」という仕組みがあるよ。これはDNSの応答に電子署名を付けて、返ってきた情報の発信元が正しく、途中で改ざんされていないことを検証できるようにするものなんだ。ルートゾーンから各ドメインまで署名が「信頼の連鎖」でつながっていて、ドメインの管理者が署名を設定し、リゾルバが検証する場合に効果を発揮するよ。ただし暗号化はしないから、通信内容を隠すのはDoHやDoTの役割で、DNSSECとは別の問題を解く補い合う技術なんだ。

参考資料

確認日：2026年9月20日。

• RFC 9499 DNS Terminology — 再帰クエリ・反復モード・スタブリゾルバ・権威サーバー・案内（referral）・TTLの定義。
• root-servers.org — ルートサーバーは13の識別子（A〜M）を12の運営組織が担当し、世界に2045のインスタンス（確認時点）。
• RFC 4033 DNSSEC Introduction and Requirements — DNSSECはデータの発信元認証と完全性を提供し、機密性は提供しないこと。信頼の連鎖と信頼アンカー。
• RFC 7858 DNS over TLS — スタブリゾルバと再帰リゾルバ間の盗聴・途中改ざんの防止。
• RFC 8484 DNS over HTTPS — DoHはDNSSECの応答完全性を代替せず、両者は独立した補完関係にあること（9章）。
• Firefox Continues Push to Bring DNS over HTTPS by Default for US Users（Mozilla Blog） — 米国ユーザーへの既定有効化の開始。
• DNS over HTTPS（Chromium） — 使用中のDNSプロバイダのDoHサーバーへ自動で切り替える方式。
• RFC 5737 IPv4 Address Blocks Reserved for Documentation — 203.0.113.0/24を文書・例示用に予約。本文のIPアドレスは説明用の例。