如何关闭开放的DNS解析器?
开放的DNS解析器并不过滤任何入站请求，可以接受来自任何源IP地址的查询。因此，开放的解析器可能很容易成为攻击者下手的目标。比如说，攻击者可以对开放的DNS服务器发动拒绝服务(DoS)攻击;或者更严重的是，发动分布式拒绝服务(DDoS)攻击。这些攻击还可能结合IP欺诈手法，即所有应答数据包都将被引导到受害者被欺诈的IP地址。在另一种名为DNS放大攻击的攻击场景下，开放的DNS服务器可能积极参与攻击。
成都创新互联服务项目包括石楼网站建设、石楼网站制作、石楼网页制作以及石楼网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，石楼网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到石楼省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
据openresolverproject.org网站声称，除非确有必要，否则不建议运行开放的解析器。大多数公司只允许客户访问其DNS服务器。本教程将主要介绍如何配置一台DNS服务器，以便它不再是开放的DNS解析器，只应答有效的客户。
调整防火墙
由于DNS在UDP端口53上运行，系统管理员们可能试图允许端口53仅用于客户机IP地址访问，阻止互联网的其他机器访问该端口。虽然这一招很管用，但还是会有一些问题。由于根服务器与DNS服务器之间的通信也使用端口53，我们不得不确保：在防火墙中还允许根服务器的IP地址可以使用UDP端口53。
下面提供了一个示例性的防火墙脚本。如果是生产环境下的服务器，就要确保规则符合你的需求，而且还要遵守贵公司的安全政策。
# vim firewall-script
## 现有的规则被清除，以便由一组新的规则开始 ## iptables -F
iptables -A INPUT -s A.A.A.A/X -p udp --dport 53 -j ACCEPT
iptables -A INPUT -s B.B.B.B/Y -p udp --dport 53 -j ACCEPT
iptables -A INPUT -s C.C.C.C/Z -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
## 让规则具有持久性 ## service iptables save
让脚本成为可执行脚本，并运行它。
# chmod +x firewall-script
# ./firewall-script
阻止递归查询
DNS查询可以主要分为两类：递归查询和迭代查询。如果是递归查询，服务器使用应答或错误信息回应客户机。如果服务器缓存中没有该应答，服务器就与根服务器进行联系，以获得授权域名服务器。服务器不断查询，直到它获得应答，或者直到查询超时。另一方面，如果是迭代查询，服务器只是将客户机转到能够处理的另一台服务器，因而导致在该服务器上面的处理工作量比较少。
我们可以控制允许递归查询的IP地址。我们只要改动配置文件/etc/named.conf，并添加/修改下列参数。
# vim /etc/named.conf
## 我们定义访问控制列表（ACL），以指定一个或多个源地址
##
acl customer-a{ A.A.A.A/X; };
acl customer-b { B.B.B.B/Y; C.C.C.C/Z; };## 我们根据选项指令调用ACL ##
options {
directory "/var/named";
allow-recursion { customer-a; customer-b; }
;
};
针对开放的解析器调整防火墙
如果你非得运行开放的解析器，那么我们建议你合理调整防火墙，以便服务器无法被不法分子钻空子。Smurfmonitor规则库(https://github.com/smurfmonitor/dns-iptables-rules)提供了一组功能强大的iptables规则，这些规则可以用在开放的解析器中，比如阻止对参与DNS放大攻击的域提出查询请求。该规则库定期更新，我们强烈建议DNS服务器管理员们使用它。
总而言之，针对开放的DNS解析器的攻击很常见，对没有采用合理安全措施的DNS服务器而言更是如此。本教程演示了如何禁用开放的DNS服务器。我们还看到了iptables如何可以用来为开放的DNS服务器增添另一层安全机制。
原文地址：http://xmodulo.com/2014/04/close-open-dns-resolver.html
本文标题：如何关闭开放的DNS解析器?
转载注明：http://www.shufengxianlan.com/qtweb/news7/54007.html
网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等
声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联