22、保障域名服务（DNS）安全指南

保障域名服务（DNS）安全指南

1. 安装BIND

若打算使用事务签名或DNSSEC，需在配置时添加选项 --with-openssl=yes 。配置脚本完成后，依次执行以下命令：

make
make install

执行上述命令后，所有BIND二进制文件和支持文件将安装到指定位置。

2. 运行BIND前的准备

虽然BIND已安装，但还不能立即启动 named 服务。由于BIND在安全方面有过不良记录，为降低被攻击风险，将其与运行系统的其他部分隔离是个不错的选择。在BIND 8和9版本中，可通过更改 named 的根目录来实现这一目的。

若将 named 的根目录更改为 /var/named ，当攻击者利用缓冲区溢出漏洞控制 named 时，他只能访问 /var/named 及其子目录下的文件，而无法获取整个系统的配置文件。

通常使用 chroot 工具在更改根目录的环境中执行进程。尽管BIND本身已集成此功能，但指定给 named 的更改后的根目录仍被称为 chroot jail 。

为进一步降低攻击者逃离 chroot jail 的可能性，应将 named </