Вопросы Теги

Правильная ли конфигурация BIND9 для моей внешней зоны DNS?

Мой файл с зоной

Мой /etc/bind/db.piduna.org 

;
; BIND data file for local loopback interface
;
$TTL    604800
$ORIGIN piduna.org.
@       IN      SOA     ns1.piduna.org. root.piduna.org. (
                     2018031701         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      ns1.piduna.org.
@       IN      NS      ns2.piduna.org.
@       IN      A       192.168.110.15

ns1     IN      A       192.168.110.15
ns2     IN      A       192.168.110.14

abc100  IN      A       192.168.110.1
abc101  IN      A       192.168.110.2
abc102  IN      A       192.168.110.3
abc103  IN      A       192.168.110.4
abc104  IN      A       192.168.110.5
abc105  IN      A       192.168.110.6
abc106  IN      A       192.168.110.7
abc107  IN      A       192.168.110.8
abc108  IN      A       192.168.110.9
abc109  IN      A       192.168.110.10
abc110  IN      A       192.168.110.11
abc111  IN      A       192.168.110.12
abc112  IN      A       192.168.110.13
abc113  IN      A       192.168.110.14
abc114  IN      A       192.168.110.15

gitlab  IN      A       192.168.110.14
redmine IN      A       192.168.110.14

*       IN      CNAME   piduna.org.

192.168.110. * конечно не настоящие IP-адреса. Вместо них я я использую реальные IP-адреса vps-s.

Мой /etc/bind/ named.conf.local : 

//
// Do any local configuration here
//

// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";

zone "abchosting.org" {
     type master;
     file "/etc/bind/db.piduna.org";
};

Мой /etc/bind/ named.conf.options : 

options {
        directory "/var/cache/bind";

        // If there is a firewall between you and nameservers you want
        // to talk to, you may need to fix the firewall to allow multiple
        // ports to talk.  See http://www.kb.cert.org/vuls/id/800113

        // If your ISP provided one or more IP addresses for stable
        // nameservers, you probably want to use them as forwarders.
        // Uncomment the following block, and insert the addresses replacing
        // the all-0's placeholder.

        listen-on port 53 {
        127.0.0.1;
        192.168.110.15;
        };

        forwarders {
        8.8.8.8;
        8.8.4.4;
        };

        //========================================================================
        // If BIND logs error messages about the root key being expired,
        // you will need to update your keys.  See https://www.isc.org/bind-keys
        //========================================================================
        dnssec-validation auto;

        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { none; };
};

Итак, я протестировал. Все в порядке. Работает. Но у меня есть сомнения по поводу моей конфигурации /etc/bind/db.piduna.org . Все в порядке. Может быть, некоторые Советы по безопасности? Повторяю, я сделал это для внешнего домена. Мне нужно:
- 15 A-записей для моих vps-s;
- две A-записи для моих сервисов, таких как gitlab и redmine;
- поддомен ping из 192.168.110.15
Спасибо за понимание и помощь.

0
задан 17 March 2018 в 21:16
1 ответ

Вы говорите, что протестировали его, и что именно вы сделали? именованная контрольная зона ? Какой-нибудь онлайн-инструмент для устранения неполадок?

В чем вы сомневаетесь? Ваш вопрос слишком общий. О какой безопасности вы говорите?

Однако я вижу различные проблемы:

  • вы используете запись с подстановочными знаками. Вам это действительно нужно? Если нет, я рекомендую удалить его, поскольку он создает гораздо больше проблем, чем решения
  • , поэтому у вас, похоже, есть авторитетный сервер имен, поскольку вы определяете зону, но он прослушивает только локальные / внутренние IP-адреса. Означает ли это, что он недоступен глобально (что было бы плохой идеей для авторитетного сервера имен) или у вас есть какая-то настройка NAT перед ним, что также очень плохая идея для сервера имен?
  • так что, похоже, у вас есть авторитетный сервер имен, но вы перенаправляете запросы извне. Кажется, вы смешиваете рекурсивные и авторитетные функции на одном сервере, что является очень плохой идеей с точки зрения безопасности (и можно также сказать, что в любом случае пересылка в Google Public DNS не является хорошей идеей с точки зрения безопасности, вы должны иметь собственный локальный рекурсивный сервер имен)
0
ответ дан 5 December 2019 в 06:22

Теги

Похожие вопросы