28、探索DNS与IPsec的奥秘

探索DNS与IPsec的奥秘

1. 动态DNS更新的安全性与操作问题

1.1 动态DNS更新的安全影响

动态DNS更新的潜在安全影响取决于特定环境。TSIG认证使用系统时钟来防止重放攻击，但这使得NTP服务在安全方面变得极其关键。即使NTP服务未被操纵，重放攻击的时间窗口仍有几分钟，这可能足以让一些自动化攻击得逞。此外，TSIG“证书”和 tsig.keys.conf 文件必须得到妥善保护。若普通用户拥有名称服务器的账户，那么 /var/named/keys/ 目录和 tsig.keys.conf 文件需特别小心处理。

1.2 操作工具分析

• syncrevzone程序 ：相对成熟，虽消息不够详细，且依赖 dig 和 nsupdate 作为外部程序，但仍能完成工作。可通过 cron 运行，即便出现严重问题，也仅影响反向区域，不触及正向区域，在最坏情况下仍可依靠正向区域远程清理问题。
• maketsigkey脚本 ：不太关键，因为它不会无人监管运行。
• nsautoupdate脚本 ：存在诸多不成熟之处。它使用 ifconfig 的输出来选择地址，仅添加单个地址，且根据 ifconfig 的输出，选择可能并非最优。在测试环境中可无人监管使用，但在生产环