DNS Recursion öffentlich

[enoy]

Hallo, ich habe von einer Domainregistry die Meldung/Warnung erhalten, dass mein Server DNS Recursion öffentlich anbietet.

Wie kann ich dies prüfen und ggf. ändern?

 

[Firewire2002]

In dem du deinen DNS Server mit einem DNS Client (nslookup, host, dig, ...) nach ihm unbekannten Zonen fragst. google.de zum Beispiel.
Löst er die auf, obwohl das nicht gewollt ist, hast du ein Problem.

Wie du das behebst, kommt drauf an welchen DNS Server du einsetzt.

 

[skama]

Wie kann ich dies prüfen und ggf. ändern?

Prüfen: Der Command (Mac / UNIX / Windows)

nslookup 
> server 1.2.3.4     # 1.2.3.4 = dein Server
> www.google.com

Ändern: welche DNS Software? Wenn BIND, schreib dies in der Global Section:

allow-recursion {“none”;};

 

[Whistler]

Je nach Server-Konfiguration kann es sein, daß localhost die Recursion braucht (falls er sein eigener Resolver ist).

Ansonsten ist erstmal nichts schlimmes dabei, Recursion öffentlich anzubieten.
Jeder Provider tut das für seine Kunden und z.B. Google auch für die ganze Welt (Server 8.8.8.8 umd 8.8.4.4).
Es kostet natürlich CPU-Last und Bandbreite - insbesondere falls von vielen Leuten genutzt.

Falls Deine Software Bugs hat, könnten die allerdings auch von Angreifern ausgenutzt werden, z.B. zum Cache Poisoning oder einer DNS Amplification Attack.