21、域名服务（DNS）安全保障指南

域名服务（DNS）安全保障指南

1. DNS 简介

域名服务（DNS）是互联网最基础且必要的服务之一。没有 DNS，用户和应用程序就只能通过互联网协议（IP）地址来访问互联网主机，而不是使用更容易记住的人类语言名称。可以说，若没有 DNS，互联网可能仍只是学术和军事领域的研究对象，而不会成为主流社会和文化的一部分。

然而，在 SANS 研究所的最新共识文档《二十个最关键的互联网安全漏洞》（版本 4.0，2003 年 10 月 8 日）中，调查参与者报告的 Unix 漏洞的首要类别是 BIND 漏洞。伯克利互联网名称域（BIND）是为大多数互联网 DNS 服务器提供支持的开源软件包。根据 SANS 的说法，“大量”的 BIND 安装容易受到已知（且在很多情况下是旧的）攻击。不过，掌握一些简单的概念和技术，就可以大大增强 Linux（或其他 Unix）DNS 服务器上 BIND 的安全性。

2. DNS 基础知识

下面通过一个例子来阐明一些重要的 DNS 术语和概念。假设有人（myhost.someisp.com）正在浏览网页，想要访问 http://www.dogpeople.org 网站，且其机器配置为使用名称服务器 ns.someisp.com 进行 DNS 查找。由于“www.dogpeople.org”这个名称对网络查询及其响应所经过的路由器没有意义，因此用户的 Web 浏览器在尝试进行网页查询之前，需要先了解与 http://www.dogpeople.org 关联的 IP 地址。

具体流程如下：
1. myhost 询问 ns 是否知道该 IP 地址。由于 ns.someisp.com 不是 dogpeople.or