コンテンツにスキップ
AegisMesh ドキュメント

スプリットDNS (Match Domains)

スプリットDNS（Match Domains） は、DNSクエリのうち「特定の社内ドメイン」のみを選択的に社内ネームサーバーへ転送し、それ以外の一般Web通信（Google, YouTube, SaaS等）は端末が元々接続しているローカルWi-FiやプロバイダーのDNSを利用させる仕組みです。

全DNSトラフィックを社内に引き込む従来型VPNとは異なり、社内DNSサーバーの過負荷を防ぎ、テレワークPCの高速なWebブラウジング環境を維持します。

画面での Match Domains 設定

管理コンソールの 「DNS Management」>「Nameservers」 の詳細設定から設定します。

DNS Nameservers 設定一覧

設定項目マトリクス

項目推奨設定例動作解説
Match Domainscorp.internal, *.dev.kusa-cloud.jp指定したサフィックスに合致するドメインのみ社内ネームサーバーへフォワードされます。
Search Domainscorp.internal短縮名（例: ping file-server）を入力した際、自動的に file-server.corp.internal として名前解決を試行します。

スプリットDNSの動作シーケンス

sequenceDiagram
    autonumber
    participant PC as 社外テレワークPC
    participant Aegis as AegisMesh DNSリゾルバ (100.64.0.1)
    participant LocalDNS as 自宅/公衆Wi-Fiルーター (192.168.1.1)
    participant CorpDNS as 本社AD-DNS (192.168.1.10)

    PC->>Aegis: 宛先: salesforce.com (一般SaaS)
    Note over Aegis: Match Domains外のためローカルへ転送
    Aegis->>LocalDNS: 外部DNS問い合わせ
    LocalDNS-->>PC: 高速に直接IP返却 (低遅延)

    PC->>Aegis: 宛先: db01.corp.internal (社内リソース)
    Note over Aegis: Match Domains合致 ➔ 暗号化トンネル経由
    Aegis->>CorpDNS: WireGuard経由で社内DNSへ転送
    CorpDNS-->>PC: 社内IP (192.168.10.50) 返却

設計上のベストプラクティス

  1. ワイルドカードの活用: 複数のサブドメインが存在する場合、*.internal.example.co.jp のようにワイルドカード形式で指定することで、登録漏れを防ぎます。
  2. 逆引き（PTR）レコードの対応: 社内プライベートIPレンジの逆引きが必要な場合（例: 内部ログ解析用）、Match Domains に 10.in-addr.arpa や 168.192.in-addr.arpa を追加します。