プロンプト
HTTP/2 および HTTP/3 を提供するドメイン向けの HTTPS (SVCB) レコードの移行を設計してください。この計画は、カナリア ロールアウト、ロールバック、およびリゾルバ、クライアント、証明書の設定が一致しない場合の診断をサポートする必要があります。
シナリオと制約
権威 DNS は複数のプロバイダーによってホストされており、レガシー クライアントは A/AAAA のみをクエリします。非対応のクライアントも引き続き利用可能でなければなりません。DNS の TTL は 300 秒であり、変更中にサービスをオフラインにすることはできません。
この設問でテストされる内容
受験者は RFC 9460 の AliasMode、ServiceMode、SvcPriority、およびパラメータ処理を理解し、DNS の伝播、TLS 証明書、HTTP/3 ネゴシエーション、ロールバックを観測可能なリリース手順と結び付ける必要があります。
参考アプローチ
まず既存の A/AAAA および TLS 設定を維持し、権威サーバーがタイプ 65 に応答することを確認します。Apex エイリアスには AliasMode (ターゲットがルート以外の優先度 0) を使用し、ALPN、ポート、または代替エンドポイント パラメータには ServiceMode を使用します。低トラフィックのサブドメインで alpn=h2,h3 を公開し、名前解決の成功率、ハンドシェイク エラー、プロトコル構成比を測定してから、プライマリ ドメインに展開します。
HTTPS レコードを無視するクライアントは、引き続き A/AAAA を使用する必要があります。ロールバックでは新しいレコードを削除し、古い TTL と再帰リゾルバの保持期間を待ちます。権威サーバー側で削除しても、キャッシュがすぐに消去されるわけではありません。
重要な詳細
SvcPriority=0 は AliasMode を意味し、ServiceMode はゼロ以外の優先度を使用します。ターゲットには一致する証明書が必要であり、port と alpn はリスナーおよびファイアウォールと一致している必要があります。変更前と変更後に複数の再帰リゾルバにクエリを実行し、タイプ 65 をサポートするクライアントとサポートしないクライアントを比較します。
よくある落とし穴
HTTPS レコードが CNAME に似ているという理由で A/AAAA を削除すること。ローカル キャッシュのみをテストすること。h3 のアドバタイズを QUIC が動作している証拠として扱うこと。AliasMode ターゲットの証明書 SAN を見落とすこと。単一のリージョンをグローバルな伝播の証拠として使用すること。
評価基準
優れた回答は、権威 DNS、再帰リゾルバ、クライアント、TLS エンドポイントを追跡し、カナリア メトリクス、ロールバック ウィンドウ、互換性マトリックスを定義し、優先度やパラメータの誤りによる症状を予測します。不十分な回答は、レガシー クライアントやキャッシュについて説明せずに単一のレコードを提示するだけです。
フォローアップ質問
AliasMode のターゲットと証明書はどのように検証しますか？
ターゲットの A/AAAA レコードおよび HTTPS レコードをクエリし、クライアントによって使用されるホストが証明書の命名制約を満たしていることを確認し、TLS ログの SNI を検査します。
一部のリージョンでのみ HTTP/3 が失敗する場合、何を確認しますか？
サンプルを再帰リゾルバ、Anycast DNS サイト、アクセス ネットワークごとに細分化します。グローバル ロールバックを検討する前に、返された HTTPS レコード、UDP 443 の到達性、QUIC バージョン、証明書チェーンを比較します。
alpn=h3 の公開を避けるべきなのはどのような場合ですか？
ターゲット ネットワーク上で QUIC リスナー、証明書、パス MTU、またはファイアウォールが検証されていない場合です。エンドツーエンドのメトリクスがロールアウト ゲートの基準を満たすまでは、安定したプロトコルのみをアドバタイズしてください。