23、BIND DNS服务器安全配置全解析

BIND DNS服务器安全配置全解析

1. 全局选项配置

在配置BIND DNS服务器时，有几个重要的全局选项需要关注。
- recursion ：用于全局开启或关闭递归查询功能。如果关闭递归查询，建议将 fetch-glue 也设置为 no 。示例配置如下：

recursion [yes | no];

• fetch-glue ：在BIND v9中，此选项虽被允许但并非必需。将其设置为 no 可防止名称服务器解析和缓存遇到的其他名称服务器的IP地址。尽管获取胶水记录能使日志更易读，但多年来也引发了一些巧妙的缓存投毒攻击。在BIND v8中，除非在此禁用，否则在正常查询过程中会获取胶水记录；而在BIND v9中，无论是否设置此选项，都不会获取胶水记录。示例配置如下：

fetch-glue [yes | no];

2. 日志记录配置

除了全局选项，还需要设置一些日志记录规则。默认情况下， named 仅记录少量启动消息（如错误和加载的区域），这些消息会发送到 syslog 守护进程，然后写入 /var/log/messages 或其他文件。要记录安全事件、区域传输等