NSDを試してみて。unboundとは違って、NSDはプロジェクトの実際の権威あるネームサーバーだよ。

90年代半ばから家でBINDを使ってる。ISDNの頃からだね。始めたときはO'Reillyの「DNS and BIND」本が頼りだった。

DNS（ネットワーク全般もだけど）はちょっと難しいよね。ダイナミックルーティングは楽しい :)

unboundはあまり間違えようがないし、めちゃくちゃ速くて軽いよ。BINDやPowerDNSで泣く男たちもいるけど、これらのサーバーはおもちゃ箱を丸ごと持ってるからね。BINDのデーモンをたくさん立ち上げたことがあるよ。昔、MySQLのレプリケートバックエンドを持つPDNSサーバーを2台運用してた。今は、インターネットに公開されていてかなり制限されたPDNSをACME DNS-01（Lets Encrypt）用に使ってる。CAコンソーシアムは、SSL証明書の有効期限を3年以内に40日程度に短縮するように求めてる。顧客のためにかなりの数のSSL証明書を管理してるよ。とにかく、ホームラボをやってるなら、Pi Holeを考えてみるのもいいかも（Piで動かす必要はないし、VMでも大丈夫）。もう少しハードコアな選択肢としては、https://technitium.com/dns/（ウェブGUI - やった！）もある。pfSenseにはunboundが組み込まれてるし、OPNSenseもそうだと思う。どちらもルーターとしてはいい選択肢だよ。OpenWRTにもunboundが入ってるはず。unboundはあまり間違えようがないって言ったけど、本当にそう思ってる。動けば、ほぼ確実に正しく設定されてるよ。

同じく、広告ブロックも使ってるよ。

私も家でunboundを使ってる。unboundの大きな利点は、ワイルドカードに対して何でも返せることだと思う。TLDのワイルドカードも含めてね。セイシェルのDNSは完全にハイジャックされてて、マルウェアしか提供してない？.sc全体を無効化しちゃう？いや、うちではそれは解決しないよ。などなど。だからunboundは、古いRaspberry Piでも、何十万行もあるブロックリストを使っても楽に動いてる。

DNSは実際かなり簡単なんだよね。問題は、Bindのゾーンファイルが本当に使いにくいインターフェースで、実際よりも10倍難しく感じさせること。あんまり不満はないけど（だってフリーソフトだし、あまり文句は言えないと思ってるから）、他のDNSソリューションと比べると、簡単さが雲泥の差だよね。例えば、WindowsのDNSサーバーを運用するのは（家でやることではないけど）すごく簡単で、Microsoftがユーザー体験を磨いてるからね。Linuxにももっと洗練された代替があると思うけど、どれがあるかよく知らないから、具体的な例を挙げられないんだ。

自分でdns4jを使ってコードを書いたよ。自分のドメインを提供するだけなら10行のコードで済むんだ。でも、すべてのドメインを提供しようとすると問題が出てくると思う。どのデータベースがベストなんだろう？単にMySQLでintから名前のテーブルを作る感じ？DNSの問題は、ポート53が開いている固定の外部IPが必要なことだよね。安く手に入れるのは簡単じゃない。

スクリプトのアプローチはいいアイデアだね。私もあなたが言ってるようなOpenBSDのボックスを持ってるけど、ISC dhcpdとBINDを使ってる。これが古いスタイルのダイナミックDNSを実現する唯一の設定なんだ。DHCPサーバーがリースが発生したときにBINDにゾーンの更新を送るから。でも、BINDは嫌いだし、この設定はDHCPv6ともうまくいかない（理由はわからないけど、原則的にはできるはず…）だから、「リースを読み取ってゾーンファイルを生成するスクリプト」のアプローチに切り替えた方がいいかも。

Bindがデプロイされる場合、named.confはたぶんこうなってるべきだったと思う：options { allow-recursion { localhost; localnets; }; forwarders { 1.1.1.1; 8.8.8.8; 4.2.2.2 }; forward only; }; これで、求めてる仕事は同じようにできるはず。これ、すべてのインターフェースにバインドして、サイトの多くの設定行がやってるようにデフォルトパスを明示的に再指定する必要もないし、大多数の人がsyslogに記録したいことをログに残して、プライベートサブネットやローカルマシンからのリクエストを転送するよ。代わりに、ディストリビューションには、特定のカスタマイズが施されたデフォルトファイルが付属してると思うから、これにこの3行を追加するだけで済む。残りの8%の人が「本物」のDNSサーバーを運用する場合、ゾーン定義の構文はちょっと冗長かもしれないけど（特に多くのドメインや逆引きゾーンを扱う場合）、そんなに複雑ではないと思う。最後の2%は、bindのドキュメントが焦点を当ててるような、意味不明に見える構文を気にするかもしれないけど… ただ、bindがゾーンファイルのシリアル番号を手動でインクリメントすることを期待してるのは文句言いたいな… でも、こういうデプロイ（あるいはいくつかのドメインのネームサーバーとして機能するもの）には、実際にはそれが必要ないことが多い。PowerDNSを選ぶことについては文句なし。これに関しては間違えることはないよ。

piholeよりこっちの方が好きだな。なんでそう思うかもっと教えてくれる？

自分が好むのは、公開で解決可能なドメインを登録して、それを内部でだけ使うこと。そうすれば、必要な場合には公開の信頼できるTLS証明書も取得できるし、自分のプライベートCAを使うこともできるけど、少なくとも選択肢があるからね。

重要な概念は、他人の失敗から学ぶことだよ。過去数十年、誰もが使わないと100%確信していた「内部」トップレベルドメイン名を選んでしまった人たちの例がたくさんある… でも、誰かがその考え方の結果として使い始めたこともある。* https://jdebp.uk/FGA/dns-use-domain-names-that-you-own.html * https://news.ycombinator.com/item?id=45144631 dev.のケースは、ここ数年Hacker Newsでたくさん議論されてるよ。

特定のRFCで.lanが予約されているのは見なかったけど、提案された標準RFC 8375ではhome.arpaが推奨されてるね。https://datatracker.ietf.org/doc/html/rfc8375

彼がすでに持っている公開ドメインの下にサブドメインを作ればいいんじゃない？インタラクティブな使用では、正しく設定された検索リストでドメインの一部だけを使うことが多いし。外部にIPv6でホストを簡単に公開できる利点もあるよね。内部接続は特定のホストに直接行き、外部はリバースプロキシ経由で特定のサービスを公開する。全体的に、彼は典型的なシンプルな内部DNSセットアップを説明してるだけだと思った。タイトルからは、どうやって自宅で公開ドメイン用の安定した権威DNSサーバーを立ち上げたのか（「二つのネームサーバー」の要件をどうクリアしたのか）を話すのかと思ってた。プラス面としては、今の自宅の接続が三つの権威DNSサーバーの一つをホストするのに十分安定してることに気づいたから、月に約7ユーロ節約できるかも。

このHNのコメントのゴールドナゲット[0]には、公開されているルートゾーンデータを使った自己ホスト型DNSの素晴らしいレシピが載ってるよ。著者はランダムなユーザー名だけど、今日はアクティブに投稿してるみたい。もしこれを見たら、1vuio0pswjnm7、情報ありがとう！[0] https://news.ycombinator.com/item?id=31385133

SIGHUPで設定を再読み込みしてくれたらいいのに、そうならないんだよね。https://manned.org/man/dnsmasq#head6

この問題の明らかな解決策である完全管理型のDHCP6設定はdnsmasqではあまりサポートされてないみたいだけど、たとえサポートされてても、DHCP6をサポートしていないデバイスが多いから、結局はslaacだけなんだよね。関連情報: https://issuetracker.google.com/issues/36949085 Android Public Tracker - DHCPv6（RFC 3315）のサポート - ステータス: won't fix

dnsmasqのスケーリング問題がわかったのは、約2万台のブレードサーバーがdhcpでアクセスしてきたときだった。UDPトラフィックが原因で、かなり強力なサーバーでも落ちちゃったよ。Keaに切り替えたら、その問題は解決した。

先月初めて自分でルーターを作って、isc-dhcpdを選んだんだ。ソフトウェアは「完成した」と呼ぶのが正確だと思う。コードベースはかなり成熟してるし、DHCPプロトコルはそんなに変わらないからね。LANのDHCPサーバーとして必要なことは全部できるし、BINDとも簡単に統合できる。基本的なセキュリティアップデート以外はこれを更新する必要がないと思ってるんだけど、切り替える強い理由ってあるのかな？

この明らかな解決策、完全管理されたDHCP6セットアップは、私が使っているdnsmasqではあまりサポートされていないみたい。私はDHCPv6にdnsmasqを使ってるけど、結構うまく動いてるよ。"dig AAAA"でDHCPv6対応デバイスの正しいアドレスが返ってくる。 > でも、たくさんのデバイスがDHCP6をサポートしていないから、たとえそうでも関係ないよね、slaacだけだし。理論的には"--dhcp-range=slaac,ra-names"で動くはずなんだけど、実際には私には何も効果がないみたい。[0]: https://thekelleys.org.uk/dnsmasq/docs/dnsmasq-man.html#:~:t...

powerdnsも同じことをしてると思う。三つのデーモンに分かれてるんだ：キャッシュとルーター、権威サーバー、再帰的リゾルバー。