23、深入解析 BIND 安全配置与实践

深入解析 BIND 安全配置与实践

1. BIND 全局选项设置

在 BIND 配置中，有两个重要的全局选项需要关注：
- recursion [yes | no]; ：用于全局开启或关闭递归查询功能。若关闭递归查询，建议同时将 fetch-glue 设置为 no 。
- fetch-glue [yes | no]; ：在 BIND v9 中，此设置虽被允许但并非必要。将其设置为 no 可防止名称服务器解析和缓存其所遇到的其他名称服务器的 IP 地址。尽管获取胶水记录能使日志更易读，但多年来也引发了一些巧妙的缓存投毒攻击。在 BIND v8 中，除非在此处禁用，否则在正常查询过程中会获取胶水记录；而在 BIND v9 中，无论是否设置此选项，都不会获取胶水记录。

2. 日志记录配置

除了全局选项，还需要设置一些日志记录规则。默认情况下， named 仅记录少量启动消息（如错误和加载的区域），这些消息会发送到 syslog 守护进程（该进程会将其写入 /var/log/messages 或其他文件）。若要记录安全事件、区域传输等信息，需在 named.conf 中添加 logging{} 部分。

logging{} 部分由两部分组成：
- channel{} 定义