免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
› 论坛 › IT运维 › 服务器应用 › 请问如何防止Internet上的用户随便使用我的DNS
12下一页
最近访问板块 发新帖
查看: 2843 | 回复: 15
打印 上一主题 下一主题

[DNS] 请问如何防止Internet上的用户随便使用我的DNS [复制链接]

ryuken2008

论坛徽章:
0
跳转到指定楼层
1楼 [收藏(0)] [报告]
发表于 2005-08-24 11:05 |只看该作者 |倒序浏览
我使用Bind作为DNS服务器软件。目前使用默认配置，任何Internet上的用户都可以使用我的DNS服务器。为了安全，我想限制一下。
请问是否在named.conf有什么options可以解决这个问题。谢谢
sylmdl

论坛徽章:
0
2楼 [报告]
发表于 2005-08-24 11:10 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

可以使用访问控制类表。可以先定义有效的IP地址或者要阻止的IP地址块。
然后再option中使用
allow-query
allow-recursion
blockhole
等语句适当允许或阻止DNS请求。
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
ryuken2008

论坛徽章:
0
3楼 [报告]
发表于 2005-08-24 12:47 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

原帖由 "sylmdl" 发表：
可以使用访问控制类表。可以先定义有效的IP地址或者要阻止的IP地址块。
然后再option中使用
allow-query
allow-recursion
blockhole
等语句适当允许或阻止DNS请求。


谢谢，已经搞定。
这样不会影响DNS服务器之间的正常查询吧。比如别人要访问我的WWW服务器，可能要先通过他的DNS服务器查询我的DNS服务器获得我WWW服务器IP地址。
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
網中人

论坛徽章:
1
荣誉版主 日期:2011-11-23 16:44:17
4楼 [报告]
发表于 2005-08-24 13:48 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

allow-query 要小心些...
allow-recursion 可能是樓主要的.
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
ree

论坛徽章:
3
IT运维版块每日发帖之星 日期:2016-01-18 06:20:00IT运维版块每日发帖之星 日期:2016-01-19 06:20:00IT运维版块每周发帖之星 日期:2016-03-07 16:27:44
5楼 [报告]
发表于 2005-08-26 11:29 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

如果有注册的域名在这台DNS服务器上，就不能使用allow-query，allow-recursion的效果也不好。blackhole一般用来限制一些非正常的地址。
总之，如果有注册域的话，基本上无法限制用户访问。
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
網中人

论坛徽章:
1
荣誉版主 日期:2011-11-23 16:44:17
6楼 [报告]
发表于 2005-08-26 14:40 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

能請教一下 ree 兄, 為何 allow-recursion 效果不好呢?
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
ree

论坛徽章:
3
IT运维版块每日发帖之星 日期:2016-01-18 06:20:00IT运维版块每日发帖之星 日期:2016-01-19 06:20:00IT运维版块每周发帖之星 日期:2016-03-07 16:27:44
7楼 [报告]
发表于 2005-09-03 19:23 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

我想应该出现这样的现象吧：
如果cache中已经有了纪录。被限制了recusion访问的用户应该能从cache中取道数据，而不使用第归的吧！
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
網中人

论坛徽章:
1
荣誉版主 日期:2011-11-23 16:44:17
8楼 [报告]
发表于 2005-09-05 00:24 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

嗯.... 這個等會我測測看再說....
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
網中人

论坛徽章:
1
荣誉版主 日期:2011-11-23 16:44:17
9楼 [报告]
发表于 2005-09-05 00:37 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

okay, 我測了一下.
在 namec.conf 加入如下設定:
allow-recursion { none; };

在修改之前, 連查兩下 bbs.chinaunix.net:
  1. [root@www chroot]# host -v bGbs.chinaunix.net 127.0.0.1
  2. Trying "bbs.chinaunix.net"
  3. Using domain server:
  4. Name: 127.0.0.1
  5. Address: 127.0.0.1#53
  6. Aliases:

  8. ;; ->;>;HEADER<<- opcode: QUERY, status: NOERROR, id: 30731
  9. ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

  11. ;; QUESTION SECTION:
  12. ;bbs.chinaunix.net.             IN      A

  14. ;; ANSWER SECTION:
  15. bbs.chinaunix.net.      10800   IN      A       222.36.44.5

  17. ;; AUTHORITY SECTION:
  18. chinaunix.net.          10800   IN      NS      dns2.hichina.com.
  19. chinaunix.net.          10800   IN      NS      dns1.hichina.com.

  21. ;; ADDITIONAL SECTION:
  22. dns1.hichina.com.       172798  IN      A       218.30.103.50
  23. dns1.hichina.com.       172798  IN      A       218.30.103.49
  24. dns2.hichina.com.       172798  IN      A       218.244.135.40

  26. Received 148 bytes from 127.0.0.1#53 in 3359 ms
  27. [root@www chroot]# host -v bbs.chinaunix.net 127.0.0.1
  28. Trying "bbs.chinaunix.net"
  29. Using domain server:
  30. Name: 127.0.0.1
  31. Address: 127.0.0.1#53
  32. Aliases:

  34. ;; ->;>;HEADER<<- opcode: QUERY, status: NOERROR, id: 39354
  35. ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

  37. ;; QUESTION SECTION:
  38. ;bbs.chinaunix.net.             IN      A

  40. ;; ANSWER SECTION:
  41. bbs.chinaunix.net.      10797   IN      A       222.36.44.5

  43. ;; AUTHORITY SECTION:
  44. chinaunix.net.          10797   IN      NS      dns1.hichina.com.
  45. chinaunix.net.          10797   IN      NS      dns2.hichina.com.

  47. ;; ADDITIONAL SECTION:
  48. dns1.hichina.com.       172795  IN      A       218.30.103.50
  49. dns1.hichina.com.       172795  IN      A       218.30.103.49
  50. dns2.hichina.com.       172795  IN      A       218.244.135.40

  52. Received 148 bytes from 127.0.0.1#53 in 12 ms
复制代码

從 TTL 的變化來看, 可以肯定是從 cache 得到的答案.

然後, 將 allow-recursion { none; }; 設起來之後:
  1. [root@www chroot]# host -v bbs.chinaunix.net 127.0.0.1
  2. Trying "bbs.chinaunix.net"
  3. Using domain server:
  4. Name: 127.0.0.1
  5. Address: 127.0.0.1#53
  6. Aliases:

  8. ;; ->;>;HEADER<<- opcode: QUERY, status: NOERROR, id: 25632
  9. ;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 13, ADDITIONAL: 13

  11. ;; QUESTION SECTION:
  12. ;bbs.chinaunix.net.             IN      A

  14. ;; AUTHORITY SECTION:
  15. .                       518343  IN      NS      l.root-servers.net.
  16. .                       518343  IN      NS      m.root-servers.net.
  17. .                       518343  IN      NS      a.root-servers.net.
  18. .                       518343  IN      NS      b.root-servers.net.
  19. .                       518343  IN      NS      c.root-servers.net.
  20. .                       518343  IN      NS      d.root-servers.net.
  21. .                       518343  IN      NS      e.root-servers.net.
  22. .                       518343  IN      NS      f.root-servers.net.
  23. .                       518343  IN      NS      g.root-servers.net.
  24. .                       518343  IN      NS      h.root-servers.net.
  25. .                       518343  IN      NS      i.root-servers.net.
  26. .                       518343  IN      NS      j.root-servers.net.
  27. .                       518343  IN      NS      k.root-servers.net.

  29. ;; ADDITIONAL SECTION:
  30. a.root-servers.net.     604743  IN      A       198.41.0.4
  31. b.root-servers.net.     604743  IN      A       192.228.79.201
  32. c.root-servers.net.     604743  IN      A       192.33.4.12
  33. d.root-servers.net.     604743  IN      A       128.8.10.90
  34. e.root-servers.net.     604743  IN      A       192.203.230.10
  35. f.root-servers.net.     604743  IN      A       192.5.5.241
  36. g.root-servers.net.     604743  IN      A       192.112.36.4
  37. h.root-servers.net.     604743  IN      A       128.63.2.53
  38. i.root-servers.net.     604743  IN      A       192.36.148.17
  39. j.root-servers.net.     604743  IN      A       192.58.128.30
  40. k.root-servers.net.     604743  IN      A       193.0.14.129
  41. l.root-servers.net.     604743  IN      A       198.32.64.12
  42. m.root-servers.net.     604743  IN      A       202.12.27.33

  44. Received 451 bytes from 127.0.0.1#53 in 21 ms
复制代码

看起來就不行了...

再取消這行:
  1. [root@www chroot]# host -v bbs.chinaunix.net 127.0.0.1
  2. Trying "bbs.chinaunix.net"
  3. Using domain server:
  4. Name: 127.0.0.1
  5. Address: 127.0.0.1#53
  6. Aliases:

  8. ;; ->;>;HEADER<<- opcode: QUERY, status: NOERROR, id: 41163
  9. ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

  11. ;; QUESTION SECTION:
  12. ;bbs.chinaunix.net.             IN      A

  14. ;; ANSWER SECTION:
  15. bbs.chinaunix.net.      10797   IN      A       222.36.44.5

  17. ;; AUTHORITY SECTION:
  18. chinaunix.net.          10797   IN      NS      dns2.hichina.com.
  19. chinaunix.net.          10797   IN      NS      dns1.hichina.com.

  21. ;; ADDITIONAL SECTION:
  22. dns1.hichina.com.       172797  IN      A       218.30.103.50
  23. dns1.hichina.com.       172797  IN      A       218.30.103.49
  24. dns2.hichina.com.       172797  IN      A       218.244.135.40

  26. Received 148 bytes from 127.0.0.1#53 in 12 ms
复制代码
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
網中人

论坛徽章:
1
荣誉版主 日期:2011-11-23 16:44:17
10楼 [报告]
发表于 2005-09-05 00:52 |只看该作者

请问如何防止Internet上的用户随便使用我的DNS

啊.... 我發現我的測試犯了個很"嚴重"的錯誤:

我用 restart , 當然會清掉 cache!
所以不準!
我後來改用 reload, 就行了!

果然還是可以查.
不過, 也只能查那些在 cache 的.
只要 ttl 過了, 那就不用擔心了.
因此, 我覺得用 allow-recursion 來控制, 還是個不錯的方法....
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
12下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号：11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们：huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP