DNS Server Does Not Use Random Ports When Making Queries

[ccchosting]

Hoi,

Wat betekend onderstaande melding nou precies en is dit aan te passen op een shared DA productie server?

Description
The Domain Name System (DNS) is responsible for translating host names to IP addresses (and vice versa) and is critical for the normal operation of internet-connected systems. The remote DNS resolver does not use random ports when making queries to third party DNS servers. This problem might be exploited by an attacker to cache poison the remote DNS server more easily, and therefore divert legitimate traffic to arbitrary sites. Multiple security researchers have started focusing on this type of vulnerability to raise awareness of the problem. This vulnerability should be resolved as soon as possible.

[Randy]

Kees, Marcel,

Over de melding hoef je je niet zoveel zorgen te maken. Hoe heb je deze gekregen op de server, ik heb hem namelijk nog niet eerder gezien.

[ccchosting]

Hoi Randy,

Nee een klant wil een mcfee certificaat aanvragen voor zijn domeinnaam en die zeiken hierom.
Inmiddels heb ik wel wat meer info gevonden op de site: http://www.evilcoder.org/2008/07/13/securing-your-dns-server/

Komt er op neer dat er dus maar het best een aparte DNS servers moet opzetten zodat je geen moeilijk gedoe krijg met je firewall.
(dat vermoede ik zelf ook al, hoe kan ik nou random poorten gebruiken op een DA server, zou ik ale poorten moeten openzetten ervoor)

Mijn oplossing is dus op zoek gaan naar een DNS server die dit wel heeft, geen idee of enom, transip zoneedit, of andere dns aanbieders dit ondersteunen maar dit zou voor ons de makkelijkste oplossing zijn.
Enige nadeel is dat de klant dan niet zijn dns kan wijzigen via DA, maar ach, wil je nu wel of geen certificaat?

[Randy]

Recursion even aanpassen. Een goede named.conf staat hier (https://www.ispi.nl/dump/named.conf). Let er even op dat je het hele bestand niet vervangt, enkel de bovenste regels tot alle includes. De onderste 4 regels van dit voorbeeld dus vervangen door al je eigen includes/domeinen.
Mocht het niet lukken, wil ik het wel even doen.

[ju5t]

// ... hier je eigen zondes neerzetten. Enkel alles hierboven dus aanpassen ...

Daar is named.conf niet voor, Randy.

[Mark17]

Al naar PowerDNS gekeken (met zonetransfers/axfr)? Dan kan de zone gewoon in DA aangepast worden en wordt de PowerDNS server verder gebruikt. Dit alles met een minimale vertraging. Tip: doe het gelijk voor alle servers en plaats ns2 in een ander netwerk/DC voor zover dat nu niet het geval is.

Iets dergelijks hebben wij ook draaien en in een ander forum onderdeel kan ik hiervoor een aanbieding doen.

[ccchosting]

Ik kan onze dns server wel aanpassen maar dan krijg ik toch problemen met de firewall?

[Geert-Jan]

Ik kan onze dns server wel aanpassen maar dan krijg ik toch problemen met de firewall?

Hoe bedoel je dat Marcel, en hoe heb jij het nu dan?
Heb zelf met PowerDNS in de externe netwerken geen enkel probleem....