22、保障域名服务（DNS）安全指南

保障域名服务（DNS）安全指南

在网络世界中，域名服务（DNS）是至关重要的基础设施，它将易于记忆的域名转换为计算机可识别的 IP 地址。然而，由于 DNS 系统曾经存在一些安全问题，因此保障其安全性显得尤为重要。本文将详细介绍如何保障 DNS 服务的安全，包括 BIND 的安装、配置以及 named.conf 文件的安全设置等方面。

1. BIND 的安装与准备

若打算使用事务签名（Transaction Signatures）或 DNSSEC，需在配置时添加 --with-openssl=yes 选项。配置脚本完成后，依次执行 make 和 make install 命令，将 BIND 二进制文件和支持文件安装到指定位置。

安装完成后，还不能立即启动 named 服务。鉴于 BIND 过往存在安全问题，为降低被攻击的风险，将其与运行系统的其他部分隔离开是个不错的选择。在 BIND 8 和 9 版本中，可通过更改 named 的根目录来实现这一目的。

例如，若将 named 的根目录更改为 /var/named ，当攻击者利用缓冲区溢出漏洞控制 named 时，他只能访问 /var/named 及其子目录下的文件，而无法获取整个系统的配置文件。

通常，我们使用 chroot 工具来创建一个改变根目录的环境，这种环境被称为 chro