搜索

[22630] 2014-05-05_如何关闭一个开放的DNS解析器

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2014-05-05_如何关闭一个开放的DNS解析器 如 何 关 闭 一 个 开 放 的 D N S 解 析 器 L i n u x 中 国   2 0 1 4 - 0 5 - 0 5 我 们 在 之 前 的 教 程 中 创 建 的 D N S 服 务 器 是 一 个 开 放 D N S 解 析 器 。 开 放 解 析 器 不 会 过 滤 任 何 来 源 请 求 ， 并 会 接 受 来 自 所 有 I P 的 查 询 。 不 幸 的 是 ， 开 放 解 析 器 很 容 易 成 为 一 个 攻 击 目 标 。 比 如 ， 攻 击 者 可 以 对 开 放 D N S 服 务 器 发 起 一 个 拒 绝 服 务 攻 击 ( D o S ) 或 者 更 糟 的 分 布 式 拒 绝 服 务 攻 击 ( D D o S ) 。 这 些 也 可 与 I P 欺 骗 结 合 ， 将 应 答 包 指 向 受 害 者 被 欺 骗 的 I P 地 址 。 在 另 外 的 场 合 下 称 作 D N S 放 大 攻 击 ， 开 放 的 D N S 服 务 器 很 容 易 就 会 成 为 攻 击 的 对 象 。 根 据 o p e n r e s o l v e r p r o j e c t . o r g ， 除 非 有 必 要 ， 运 行 一 个 开 放 解 析 器 是 不 明 智 的 。 大 多 数 公 司 要 让 它 们 的 D N S 服 务 器 仅 对 他 们 的 客 户 开 放 。 本 篇 教 程 会 只 要 集 中 于 如 何 配 置 一 个 D N S 服 务 器 来 使 它 停 止 开 放 解 析 且 仅 对 有 效 的 客 户 响 应 。 调 整 防 火 墙 由 于 D N S 运 行 在 U D P 的 5 3 端 口 上 ， 系 统 管 理 可 能 试 图 仅 允 许 来 自 5 3 端 口 的 客 户 端 I P 地 址 ， 并 阻 止 剩 余 的 因 特 网 端 口 。 虽 然 这 可 以 工 作 ， 但 是 也 会 有 一 些 问 题 。 既 然 根 服 务 器 与 D N S 服 务 器 的 通 信 也 用 5 3 端 口 ， 我 们 不 得 不 在 防 火 墙 内 也 确 保 U D P   5 3 端 口 被 允 许 。 一 个 防 火 墙 示 例 如 下 所 示 。 对 于 生 产 服 务 器 ， 确 保 你 的 规 则 匹 配 你 的 要 求 并 遵 守 与 公 司 安 全 制 度 。 #   v i m   f i r e w a l l - s c r i p t 让 脚 本 可 执 行 并 运 行 它 。
#   c h m o d   + x   f i r e w a l l - s c r i p t #   . / f i r e w a l l - s c r i p t 阻 止 递 归 查 询 D N S 查 询 主 要 可 以 分 为 递 归 查 询 和 迭 代 查 询 。 对 于 递 归 查 询 , 服 务 器 会 响 应 客 户 端 应 答 或 者 错 误 信 息 。 如 果 应 答 不 在 服 务 器 的 缓 存 中 ， 服 务 器 会 与 根 服 务 器 通 信 并 获 得 授 权 域 名 服 务 器 。 服 务 器 会 不 停 查 询 知 道 获 得 结 果 ， 或 者 请 求 超 时 。 对 于 迭 代 查 询 ， 另 一 个 方 面 讲 ， 服 务 器 会 将 客 户 端 指 向 另 外 一 个 可 能 可 以 处 理 的 服 务 器 上 ， 那 么 就 会 减 少 服 务 器 自 身 的 处 理 。 我 们 可 以 控 制 运 行 递 归 查 询 的 I P 地 址 。 我 们 修 改 位 于 / e t c / n a m e d . c o n f 的 配 置 文 件 并 增 加 / 修 改 下 面 的 参 数 。 #   v i m   / e t c / n a m e d . c o n f 调 整 用 于 开 放 解 析 器 的 防 火 墙 如 果 你 必 须 运 行 一 个 开 放 解 析 器 ， 建 议 你 适 当 调 节 一 下 你 的 服 务 器 ， 这 样 就 不 会 被 利 用 了 。 s m u r f m o n i t o r   仓 库 提 供 了 强 大 的 一 组 可 以 用 于 开 放 解 析 器 的 i p t a b l e s 规 则 ， 比 如 阻 止 来 自 D N S 放 大 攻 击 的 域 名 解 析 请 求 。 这 个 仓 库 会 定 期 地 更 新 ， 强 烈 建 议 D N S 服 务 器 管 理 员 使 用 它 。 总 的 来 说 ， 对 于 开 放 D N S 解 析 器 的 攻 击 是 很 常 见 的 ， 特 别 是 对 于 没 有 适 当 安 全 防 护 的 D N S 服 务 器 而 言 。 这 个 教 程 延 时 了 如 何 禁 止 一 个 开 放 D N S 服 务 器 。 我 们 同 样 看 到 了 如 何 使 用 i p t a b l e s 在 一 个 开 放 D N S 服 务 器 上 加 上 一 层 安 全 防 护 。 希 望 这 对 你 有 用 。 v i a :   h t t p : / / x m o d u l o . c o m / 2 0 1 4 / 0 4 / c l o s e - o p e n - d n s - r e s o l v e r . h t m l 译 者 ： g e e k p i   校 对 ： 校 对 者 I D 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 本 文 地 址 ： h t t p : / / l i n u x . c n / a r t i c l e - 2 9 6 9 - 1 . h t m l
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理