21、FQDN与IP地址在网络安全中的应用及NTP安全解析

FQDN与IP地址在网络安全中的应用及NTP安全解析

1. FQDN与IP地址的选择

传统上，防火墙和服务器在规则设置、内外服务器寻址以及应用配置文件中多使用IP地址。不过，现在也有趋势开始在部分应用配置文件和防火墙规则中采用完全限定域名（FQDN）。从CISO和网络安全专家的角度看，对于在防火墙规则中使用FQDN仍存在疑虑；但从CTO的角度出发，在配置文件甚至防火墙中使用FQDN可能是个不错的选择，因为它可以减少因负载均衡器和防火墙中主机IP地址变化（动态）而导致的停机时间。这种争论的本质是风险问题，如果能够减轻使用基于域名系统（DNS）功能带来的已知风险，那么在某些用例中完全可以使用FQDN。

2. FQDN与IP地址的优缺点分析

类型	优点	缺点
FQDN	1. 可减少或消除因IP地址变化导致的停机时间，只需修改DNS记录。 2. 对基于名称的虚拟主机很有帮助。 3. 静态IP地址昂贵且可能无法支持所有自动扩展场景，FQDN可弥补这一不足。	1. 依赖DNS服务器，增加单点故障风险，可能引发性能和安全问题。 2. 涉及关键服务时，DNS问题难以调试。 3. 易受DNS攻击，如DNS欺骗、投毒和劫持。 4. 对于私有IP地址范围的机器连接，不如IP地址合适。 5. 不适合用于路由表。 6. 若仅因IP地址频繁变化使用FQDN，可采用静态IP地址