DNS zone template

[bbytes]

Heren,

Zien jullie enige security issues bij de volgende feature?

Iedereen wil niet graag een opendns server zijn, dus ga ik er vanuit dat men de optie "query-source address * port 53;" geexclude heeft van zijn named.coonf. Het nadeel hierbij is, is dat de domeinnamen op jou host ook niet meer te querien zijn. Wij gebruiken de volgende regel voor onze zone template:

allow-query { any; }; allow-update { none; };

De domain zonefile toevoeging in /etc/named.conf komt er dan als volgt uit te zien:

zone "<mijndomein>.nl" { type master; file "/var/named/<mijndomein>.nl.db"; allow-query { any; }; allow-update { none; }; };

Nu is mijn vraag:
Zien jullie hier security problemen in?

[Cakkie]

Ik heb gewoon recursion af staan. Zo kan die server enkel gebruikt worden om domains te resolven waarvoor hij authorative is.

[bbytes]

Dat dacht ik dus ook. Ik heb allow-recursion erin staan, maar een nslookup/dig geven geen resultaten, behalve de root dns servers.
Door de toevoeging allow-query voor elke zone file, kan je de inhoud van de zone querien.

[The-BosS]

Volgende optie bij "options" toevoegen:



allow-recursion {
"recurseallow";
};

en dan een nieuwe acl regel aanmaken, dit staat buiten options.


acl recurseallow {
127.0.0.1;
xxx.xxx.xxx.xxx;
};

De xxx.xxx.xxx.xxx vervang je door ip adressen die je wel recursive wil toekennen.