IT用語集 2023/10/20

DDNSとは？わかりやすく10分で解説

コラム

DDNS（Dynamic DNS／ダイナミックDNS）は、接続先のIPアドレスが変わっても、同じ名前（ドメイン名）で到達できる状態を維持するための仕組みです。自宅回線や小規模拠点など、グローバルIPが固定されない環境で「外から自分のネットワークに入りたい」「監視カメラやNASにアクセスしたい」といった用途でよく使われます。本記事では、DNSの基本からDDNSの動作、設定時の要点、セキュリティ上の注意点、そしてAWS環境で“DDNS的”に運用する考え方までを整理します。

DDNS（ダイナミックDNS）とは何か

DDNSの定義

DDNS（Dynamic DNS）は、あるドメイン名（例：example.ddns.net）に紐づくDNSレコード（主にA/AAAA）を、IPアドレスの変化に合わせて自動更新する運用・サービスの総称です。IPが変わりやすい環境でも、利用者は「名前」で接続できるため、接続先を毎回探し直す必要がなくなります。

ここで大事なのは、DDNSは“魔法の通信方式”ではなく、DNSレコードを更新し続ける運用だという点です。通信の可否は、ルータのポート開放、NAT越え、FW設定、VPN設計など別要素に左右されます。DDNSは「到達先を名前で追従する」部分を担います。

DNSの役割

DNS（Domain Name System）は、ドメイン名をIPアドレスに変換する仕組みです。ユーザーは数字のIPを覚えずに、ドメイン名でサービスにアクセスできます。

ただし「DNSは静的だから更新できない」という理解は不正確です。DNSレコードは運用上ふつうに更新できます。問題は、IPが変わるたびに人手で更新するのは現実的ではない場面があることです。そこで、更新を自動化する発想がDDNSです。

DNSとDDNSの違い

DNSとDDNSの違いは、「仕組みそのもの」よりも更新の頻度と自動化にあります。

通常のDNS運用：レコード更新は行うが、頻繁ではない。更新は管理者の作業（手動・運用フロー）になりがち。
DDNS運用：IP変動を検知し、レコード更新を自動で回す。IPが変わっても名前で追従できる。

つまり、DDNSは「DNSを動的に使う運用（またはそれを提供するサービス）」だと捉えると誤解が減ります。

DDNSが必要になる典型パターン

DDNSが必要になる背景は、IPv4アドレス不足だけに限定されません。現実には、次のような理由で「外から見えるグローバルIPが変わる」ことが起こります。

ISPが固定IPを提供していない（またはオプションで高価）
回線の再接続や機器再起動でグローバルIPが変わる
拠点回線が冗長化され、切替時に出口IPが変わる

このとき、DNSレコードを追従させないと「昨日までつながっていた名前が、今日つながらない」という状態になります。DDNSはこのズレを自動で埋めます。

DDNSの仕組み

基本の流れ

DDNSの流れはシンプルです。

対象拠点（自宅・小規模オフィス等）の現在のグローバルIPを把握する
IPが変わったら、DDNSプロバイダー（またはDNS管理先）へ更新要求を送る
DNSレコード（A/AAAA）が更新され、以後その名前は新しいIPに解決される

更新要求を送る主体は、PCに入れたクライアントであることもあれば、ルータに組み込まれたDDNS機能であることもあります。

「IPアドレスの変化」をどう検知するか

DDNSクライアントは、一般に次のどちらか（または両方）でIP変化を検知します。

外部確認型：外部サービス（現在のグローバルIPを返すAPI等）を参照し、前回値と比較する
回線イベント型：ルータや回線の状態変化（再接続など）をトリガーに更新する

「DHCPでIPが動的割当だからDDNSが必要」という説明も見かけますが、家庭・小規模拠点で問題になるのは、LAN内DHCPよりもインターネット側のグローバルIPが変動することです。ここを混同すると、導入判断を誤ります。

DNSレコード更新の実務ポイント

DDNS運用で現場がハマりやすいのは、更新自体ではなく“反映されているように見えない”問題です。原因として多いのは次の通りです。

TTLとキャッシュ：更新後もしばらく古いIPが参照される（リゾルバや端末のキャッシュ）
更新先レコードの取り違え：A/AAAAやホスト名を間違えて更新している
NAT/ポート開放未設定：DNSが正しくてもサービスに到達できない（DDNSのせいに見える）
CGNAT：そもそもグローバルIPが割り当てられず、外部から到達できない（DDNSでは解決しない）

DDNSの設定と利用

DDNSクライアントの配置パターン

DDNSクライアントは、次のいずれかに置くのが一般的です。

ルータ内蔵：設定が最も簡単。IP変化に追従しやすい。
常時稼働の端末：小型PC/NASなどで更新を回す。柔軟だが管理対象が増える。
クラウド側から更新：後述のAWSのように、APIでDNSを書き換える（仕組みはDDNS的）

利用シーン（現実的な例）

DDNSが効く用途は「外部からの到達先が固定できない」場面です。

VPNサーバへの到達：外から拠点VPNへ入るための“入口名”を固定する
監視カメラ／センサーの確認：外出先から映像・データを参照する
小規模サーバの公開：検証用のWeb/NASなど（ただし公開設計は慎重に）

「DDNSを入れればリモートアクセスが安全になる」という理解は危険です。DDNSは便利にするだけで、安全性は別途設計が必要です。

DDNSの利点と限界

利点は、固定IP契約なしでも名前で追従でき、運用の手間を減らせる点です。一方、限界として、次の点はDDNSだけでは解決しません。

到達性の問題（CGNAT、閉域、ポート制限、FW）
認証・暗号・アクセス制御（公開した時点で攻撃面が増える）
更新の反映遅延（TTLやキャッシュ）

DDNSとセキュリティ

DDNSが増やすリスク

DDNSは「いつも同じ名前で到達できる」状態を作るため、公開サービスの入口が見つけやすくなります。つまり、適切に守っていない公開（ポート開放）と組み合わさるとリスクが増えます。

弱いパスワードや古い機器が露出すると、総当たりや脆弱性攻撃の対象になりやすい
DDNSアカウントが乗っ取られると、名前の向き先を改ざんされる恐れがある

よくある誤解（IPが変われば安全？）

「IPが頻繁に変わると不正アクセスが難しくなる」という説明は、基本的には期待しない方がよいです。攻撃者はドメイン名で追跡できますし、むしろ運用側はIP許可リストの管理が難しくなる場合があります。守るべきはIPの変動ではなく、認証、暗号化、公開面の最小化、更新と監視です。

現実的な対策

公開するならVPN優先：RDP/管理画面等を直接公開しない
MFAと強固な認証：DDNSアカウント、管理画面、VPNの入口に適用
最小公開：必要なポートだけ、可能なら送信元制限
更新監視：想定外のIPに向いていないか（DNS改ざん検知）

AWSとDDNSの関係（誤解しやすい点を整理）

AWSでは「DDNSサービス」を使うというより「DNS更新を自動化する」

AWS環境では、一般に固定IP（Elastic IP）やロードバランサ、名前解決（Route 53）で設計するため、「家庭用DDNSサービスを使う」発想は主流ではありません。ただし、Route 53のDNSレコードをAPIで更新することで、“DDNS的な運用”を実現することは可能です。

Route 53で“DDNS的”に使う典型例

EC2の入替やDR切替などで、向き先（IPやターゲット）を自動で更新する
オンプレ拠点の出口IPが変動する前提で、外部からの到達先名をRoute 53で管理し、スクリプト/Lambdaで更新する

ここでも本質は「DNSレコード更新の自動化」です。DDNSという単語に引きずられて、AWSで“IPが頻繁に変わる前提の設計”を正当化してしまうと、構成として不利になることがあります。AWS側は可能なら変動しにくい入口（ELB/EIP/PrivateLink等）を優先し、どうしても必要な場合にDNS更新の自動化を使う、という順番が安全です。

DDNSに関するまとめ

DDNSは、IPが変動する環境でも「同じ名前で到達できる」状態を維持するために、DNSレコード更新を自動化する運用です。便利ですが、到達性（NAT/CGNAT）や安全性（認証・公開面の管理）を代替するものではありません。導入時は「何のIPが変わるのか（LAN内ではなく出口のグローバルIPか）」「そもそも外から到達できる回線か」「公開ではなくVPN等で守れるか」を先に確認するのが、失敗しない順序です。