请教forward

wind7788

请问如何在我的dns上禁止别人forward我呢？

網中人

不知在 /etc/named.conf 的 options 中加如下設定是否可以？

recursion no;

不過，這樣會導至你自己的 client 也不能用它來做 resolver 了哦...
小心就是了﹗要不然，再設 allow-recursion 的來源以解決。

wind7788

不加recursion  on;是不是默认就是不允许的啊？

yfhe

[quote]原帖由 "wind7788"]不加recursion  on;是不是默认就是不允许的啊？[/quote 发表：


默认是打开递归查询的。能不能把你的DNS服务器的作用描述一下啊？你的DNS服务器是权威服务器还是只缓存服务器？还有你的DNS服务器是为那些用户提供服务的？

wind7788

我的dns是电信级的省服务器，为全省用户提供服务的。

yfhe

[quote]原帖由 "wind7788"]我的dns是电信级的省服务器，为全省用户提供服务的。[/quote 发表：


这就有点麻烦了

第一，你的dns服务器所服务的用户可以很容易地进行辨别吗？如果可以的话，使用allow-query语句，使得只有省内的用户才可以访问，而拒绝从外省发来的查询。

第二，设定了日志文件吗？如果有的话，可以从中看看是不是有某些你不想对其提供服务的用户的查询。如果这样的用户不是很多的话，可以使用blackhole语句拒绝为其提供服务。

BTW：看来你的DNS服务器是只缓存的，那关键就在于辨别那些是合法的查询请求，那些是非法的查询请求。DNS服务器不能够对查询请求是否是forward进行判断的。

wind7788

这是我的设置
option{
        allow-transfer {
                a.a.a.a;
        };
        transfer-format one-answer;
        recursive-clients 8000;
};
如果是这样，我并没有指定recursion，应该是默认允许，怎么会日志中有很多类似如下这样的信息呢？
in.named[460]: [ID 866145 daemon.error] client 61.189.145.33#4389: update forwarding denied

網中人

原帖由 "yfhe" 发表：


这就有点麻烦了

第一，你的dns服务器所服务的用户可以很容易地进行辨别吗？如果可以的话，使用allow-query语句，使得只有省内的用户才可以访问，而拒绝从外省发来的查询。

第二，设定了日志文件吗？如?.........

關於第一點，請小心﹗

若這台 ns 只作 resolver 的話，那沒問題。
但若還有 authorized zones 於其上要提供全世界解析的話，
一但 allow-query 不是 any 的話，那就問題很大了....

yfhe

但若還有 authorized zones 於其上要提供全世界解析的話，
一但 allow-query 不是 any 的話，那就問題很大了....

网中人兄说的没错 。在zone语句中加上:

allow-query{any;};

就可以了