こういう時ありませんか？

これを考えたので説明してみます。

やりかた

以下のようなサービスがありプライベート IP で通信しているとする。

そして、分かりやすい名前で解決したい。ベースのドメインは共通で、TLS 証明書も発行したい。

このブログの burion.net を利用して愚直にサブドメイン設定をすると...

DNS レコード
- payment.burion.net -> 127.0.0.10
- mail.burion.net -> 127.0.0.20
TLS 証明書（それぞれ取得）
- Common Name = payment.burion.net
- Common Name = mail.burion.net

burion.net を知っている際に、これらのドメイン名を探そうとすると。

...のような方法がある。例えば Amass というツールがありますが、上記のようなドメインの偵察を自動で行ってくれるようです。

また、TLS 証明書を発行している場合は一瞬でバレることになるので、隠したい場合は注意が必要です。ちなみにこれは一般的な認証局を使う場合、プライベートDNSでも同様の問題が発生すると思います。

恐らく、AWS の ALB や Lattice などが発行するデフォルトのドメインや TLS 証明書もこの方針をとってると思います。

DNS レコード（サフィックスに乱数を入れる）
- payment-x2tqyr56axzm.burion.net -> 127.0.0.10
- mail-ta8ndyt6fbad.burion.net -> 127.0.0.20
TLS 証明書（両方ともこちらを使う）
- Common Name = *.burion.net

乱数を含めることで、DNS レコードの総当たりは現実的な時間で終わらなくなります（オンライン攻撃しかできないので）。
また、TLS 証明書に関してもワイルドカードで取得するため実際のサブドメインが世界に公開されない状態になります。

これである程度世界からパブリック DNS レコードを隠蔽できる！たぶん