Newsgroup: it.comp.os.linux.sys
Titolo: BIND8/9: configurazione & sicurezza

Ciao!
Sto installando un DNS server (BIND9) su Linux GNU Debian e avrei
alcune domande sui DNS (a cui non sono riuscito a rispondermi da solo
consultando il Web):
1) Come viene usato *nella pratica* lo statement "auth-nxdomain"?
2) A cosa serve il type "delegation-only"?
3) La clausola "allow-update" permette di definire, ad esempio,
l'aggiornamento dinamico delle zone da parte di un DHCP server. Mi
domandavo se, in questo caso, il DHCP server deve aggiornare anche le
zone inverse. Inoltre, come faccio a capire se un certo DHCP server
permette tali aggiornamenti al DNS?
4) Non riesco ad amministrare "named" (Bind 9.2) attraverso il comando
"rndc" che mi da come errore la mancanza di una key condivisa (che ho
definito) o di una versione non corrispondente a quella di Bind. Come
faccio a capire se le versioni sono compatibili (le ha installate il
setup di Knoppix 3.3 /Debian)? Possibili altri motivi del non
funzionamento?
5) Ma un DNS server accetta sempre i forward da parte di altri DNS
server che a lui puntano (magari gestiti da organizzazioni diverse)? Mi
viene da pensare che sia un potenziale problema di sicurezza...
6) Perche' si dice che impostare un DNS server con la possibilita' di
effettuare query ricorsive possa essere un problema di sicurezza?
Vi ringrazio molto ^__^
-- 
Roar! By Polar 
Dedicato a chi insegue un sogno nella vita.
Ai tenaci, ai testardi e agli ostinati.   
A chi cade e si rialza, a chi ci prova sempre e a chi non molla mai.

 effettuare query ricorsive possa essere un problema di sicurezza?
Perche` si puo` indurre direttamente o indirettamente, ad interrogare un
tuo nameserver malicious, per favorire il caching di un record
sbagliato/malizioso/alterato.
E visto che la maggior parte del traffico dns viaggia su udp, questo si
puo` fare in tanti modi.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Lottery: a tax on people who are bad at math.

richiesta se io non so rispondere", e non viceversa.
Intendevo la stessa cosa. Il mio dubbio era: ma se molti DNS vengono
malconfigurati o compromessi in modo da fare il forward di tutte le
query verso un certo DNS server "nemico", quest'ultimo rischierebbe un
Denial of Service.
In conclusione: se riusciro' a configurare *come si deve* un DNS server
molto del merito sara' tuo ^___^
Grazie ancora :)


 interessante e/o poco coerente con le logiche del dns.
Il dhcp aggiorna entrambe le zone (almeno dhcp3 di isc), ovviamente il
dhcp deve essere autorizzato a scrivere sulle due zone diretta ed
inversa.
Questo e' un'pezzo di named.conf, per un dns di una rete locale che 
viene aggiornato dal dhcp3.
In questo caso il dhcp e' installato nella stessa macchina che fa anche
da dns e che e' 192.168.0.10
zone "sogood" {
        type master;
        allow-update { 192.168.0.10; localhost; };
        allow-transfer { 192.168.0.10; localhost; };
        allow-query {any;};
        file "db.sogood";
};
zone "0.168.192.in-addr.arpa" {
        type master;
        allow-update { 	192.168.0.10; localhost; };
        allow-transfer { 192.168.0.10; 	localhost; };
        allow-query {any;};
        file "db.0.168.192";
};
 
Nel dhcpd.conf devi specificare "ddns-update-style interim;"
Dhcp3 di isc permette di aggiornare anche quella ciofeca del dns di
findus 2miglia, l'ho provato da un cliente.
CYA
Banana

 roars:
[cut]
Grazie mille :)


 molto del merito sara' tuo ^___^
Maffigurati.
Piuttosto, oltre al gia` prezioso dlint, ho trovato utile in taluni
casi, questa risorsa web, per controllare il mio operato:
http://www.dnsreport.com/
E` un check molto esaustivo del tuo dominio.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Lusers: can't live with them, don't get paid without them.

Maffigurati.
Non so che dire: grazie di cuore. Sei stato davvero disponibile, chiaro,
completo, preciso, professionale ^__________^
Ciao!
