21、域名系统（DNS）安全指南

域名系统（DNS）安全指南

1. DNS 简介

域名系统（DNS）是互联网最基础且必要的服务之一。没有 DNS，用户和应用程序就得使用互联网协议（IP）地址来访问互联网主机，而不是使用更容易记忆的人类语言名称。可以说，没有 DNS，互联网可能仍然只是学术和军事领域的研究对象，而不会成为主流社会和文化的一部分。

然而，在 SANS 研究所的“二十个最关键的互联网安全漏洞”共识文档中，Unix 漏洞的首要类别就是 BIND 弱点。BIND 是为大多数互联网 DNS 服务器提供支持的开源软件包。很多 BIND 安装都容易受到已知的（而且很多是旧的）攻击。不过，掌握一些简单的概念和技术，就能大大增强 Linux（或其他 Unix）DNS 服务器上 BIND 的安全性。

2. DNS 基础知识

• 递归查询 ：假设有人（myhost.someisp.com）浏览网页，想访问 http://www.dogpeople.org。此人的机器配置为使用 ns.someisp.com 进行 DNS 查找。由于“www.dogpeople.org”对路由器没有意义，用户的浏览器需要先获取该网站的 IP 地址。
  1. myhost 询问 ns 是否知道 IP 地址。
  2. ns.someisp.com 开始递归查询，向根名称服务器询问 .org 顶级域名的权威主机 IP 地址。
  3. ns 询问 E.ROOT - SERVERS.NET，得到 .org 的 DNS 由 TLD1.ULTRADNS.NET 处理。
  4. ns 询问 TLD1.U