如何关闭开放的DNS解析器?

开放的DNS解析器并不过滤任何入站请求,可以接受来自任何源IP地址的查询。因此,开放的解析器可能很容易成为攻击者下手的目标。比如说,攻击者可以对开放的DNS服务器发动拒绝服务(DoS)攻击;或者更严重的是,发动分布式拒绝服务(DDoS)攻击。这些攻击还可能结合IP欺诈手法,即所有应答数据包都将被引导到受害者被欺诈的IP地址。在另一种名为DNS放大攻击的攻击场景下,开放的DNS服务器可能积极参与攻击。

成都创新互联服务项目包括石楼网站建设、石楼网站制作、石楼网页制作以及石楼网络营销策划等。多年来,我们专注于互联网行业,利用自身积累的技术优势、行业经验、深度合作伙伴关系等,向广大中小型企业、政府机构等提供互联网行业的解决方案,石楼网站推广取得了明显的社会效益与经济效益。目前,我们服务的客户以成都为中心已经辐射到石楼省份的部分城市,未来相信会继续扩大服务区域并继续获得客户的支持与信任!

据openresolverproject.org网站声称,除非确有必要,否则不建议运行开放的解析器。大多数公司只允许客户访问其DNS服务器。本教程将主要介绍如何配置一台DNS服务器,以便它不再是开放的DNS解析器,只应答有效的客户。

调整防火墙

由于DNS在UDP端口53上运行,系统管理员们可能试图允许端口53仅用于客户机IP地址访问,阻止互联网的其他机器访问该端口。虽然这一招很管用,但还是会有一些问题。由于根服务器与DNS服务器之间的通信也使用端口53,我们不得不确保:在防火墙中还允许根服务器的IP地址可以使用UDP端口53。

下面提供了一个示例性的防火墙脚本。如果是生产环境下的服务器,就要确保规则符合你的需求,而且还要遵守贵公司的安全政策。

# vim firewall-script 
## 现有的规则被清除,以便由一组新的规则开始 ## iptables -F
iptables -A INPUT -s A.A.A.A/X -p udp --dport 53 -j ACCEPT
iptables -A INPUT -s B.B.B.B/Y -p udp --dport 53 -j ACCEPT
iptables -A INPUT -s C.C.C.C/Z -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
## 让规则具有持久性 ## service iptables save
让脚本成为可执行脚本,并运行它。
# chmod +x firewall-script
# ./firewall-script

阻止递归查询

DNS查询可以主要分为两类:递归查询和迭代查询。如果是递归查询,服务器使用应答或错误信息回应客户机。如果服务器缓存中没有该应答,服务器就与根服务器进行联系,以获得授权域名服务器。服务器不断查询,直到它获得应答,或者直到查询超时。另一方面,如果是迭代查询,服务器只是将客户机转到能够处理的另一台服务器,因而导致在该服务器上面的处理工作量比较少。

我们可以控制允许递归查询的IP地址。我们只要改动配置文件/etc/named.conf,并添加/修改下列参数。

# vim /etc/named.conf

## 我们定义访问控制列表(ACL),以指定一个或多个源地址
##
acl customer-a{ A.A.A.A/X; };
acl customer-b { B.B.B.B/Y; C.C.C.C/Z; };

## 我们根据选项指令调用ACL ##
options {
        directory "/var/named";
        allow-recursion { customer-a; customer-b; }
;
};

针对开放的解析器调整防火墙

如果你非得运行开放的解析器,那么我们建议你合理调整防火墙,以便服务器无法被不法分子钻空子。Smurfmonitor规则库(https://github.com/smurfmonitor/dns-iptables-rules)提供了一组功能强大的iptables规则,这些规则可以用在开放的解析器中,比如阻止对参与DNS放大攻击的域提出查询请求。该规则库定期更新,我们强烈建议DNS服务器管理员们使用它。

总而言之,针对开放的DNS解析器的攻击很常见,对没有采用合理安全措施的DNS服务器而言更是如此。本教程演示了如何禁用开放的DNS服务器。我们还看到了iptables如何可以用来为开放的DNS服务器增添另一层安全机制。

原文地址:http://xmodulo.com/2014/04/close-open-dns-resolver.html

本文标题:如何关闭开放的DNS解析器?
转载注明:http://www.shufengxianlan.com/qtweb/news7/54007.html

网站建设、网络推广公司-创新互联,是专注品牌与效果的网站制作,网络营销seo公司;服务项目有等

广告

声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联