Newsgroup: it.comp.reti.locali
Titolo: DNS Telecom

La portinaia mi ha detto che sua cognata ha saputo dal salumiere di sua 
sorella che il 10 luglio i server 
dns.interbusiness.it
 e 
dns2.interbusiness.it
 non accettano piï¿œ connessioni da nodi non-TI.
 
Giustoper
 
Ciao
Luca
 
 

 
dns2.interbusiness.it
 non accettano piï¿œ connessioni da nodi non-TI.
 
Dopo 7-8 anni di DDoS via DNS reflection era anche dannatamente ora...
 
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 
 
 

 
dns2.interbusiness.it
 non accettano piï¿œ connessioni da nodi non-TI.
 
*dal* 10 luglio, ore 12 circa.
 
CIao
Luca
 
 

 *dal* 10 luglio, ore 12 circa.
 
scrivimi... ;)
 

 porcoddï¿œo si ï¿œ sparsa la voce
 
Tafano, IAT 08.09.2011
 
 

 Dopo 7-8 anni di DDoS via DNS reflection era anche dannatamente ora...
 
exactly :)
 
 

 8.8.8.8 e vaffanculo
 
può andar bene per una rete domestica, sicuramente NON va bene per una
rete aziendale, specie se sulla stessa è attestato un mailserver
 
 

 rete aziendale, specie se sulla stessa � attestato un mailserver
 
OpenDNS ?


Peggio ancora.


 Peggio ancora.
 
+1
 
certo che il fatto che ad oggi (e siamo nel 2012) ci sia ancora gente
convinta che per far funzionare un DNS resolver si debbano impostare dei
forwarders mi fa cadere le braccia
 
 


 
 
skull, unbound � una delizia per quanto � semplice e funzionale. :)
 
...e a quel paese i forwarders esterni :)
 

 forwarders mi fa cadere le braccia
 
 
 
ecco, per l'appunto..
 

 ...e a quel paese i forwarders esterni :)
 
perchè scusa, con BIND o anche con il DNS di Windows hai bisogno dei
forwarders ? Suvvia !
 
Poi ok, concordo (con alcune riserve) relativamente ad "unbound" che,
in accoppiata con "nsd" permette di fare delle cosette ... simpatiche :)
 
 


Lo ben so...


 in accoppiata con "nsd" permette di fare delle cosette ... simpatiche :)
 
Sinceramente non puoi dare l'ok al DNS di windows e poi manifestare
riserve su unbound nello stesso post... :-D


 riserve su unbound nello stesso post... :-D
 
non ho "dato l'ok", stavo semplicemente dicendo che si fa a meno dei
forwarders anche usando BIND o ... il DNS di windows, non solo usando
unbound
 
comunque Il problema è che (troppo) spesso si trovano in giro reti
configurate da gente con cognizioni che, con un eufemismo, si
potrebbero definire "limitate", gente la cui conoscenza del processo di
risoluzione DNS (e non solo di quello) si limita al massimo al file
"hosts" e che non ha la più pallida idea di cosa sia la ricorsione :P
 

 unbound
 
dimenticavo... ho diverse reti con infrastuttura AD configurate con i
clients che puntano ai DNS windows e con questi ultimi che usano
unbound (di solito una coppia in DMZ) come forwarders... è un modo come
un altro per evitarsi un tot di rogne :)
 


 
ehm... e chi ha detto che il DNS di windows o bind non vadano bene??
 
la mia esclamazione positiva era sul non utilizzare forwarders esterni 
(i vari google dns e compagnia cantante) mica nel non usare il dns 
integrato di AD o Bind! :)
 
 

 forwarders mi fa cadere le braccia
 
a me le fanno cadere quei ISP (vodafone ad es) che consentono il
traffico dns solo verso il loro dns...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 un altro per evitarsi un tot di rogne :)
 
che vantaggi ti da una configurazione del genere?


 traffico dns solo verso il loro dns...
 
beh, se hai un contratto "home" e se tale filtraggio è specificato
nelle condizioni contrattuali ... 
 
 
 

 nelle condizioni contrattuali ...
 
nel caso specifico il contratto era business... che poi fosse
specificato non ne ho idea, ma lo trovo comunque assurdo.


 che vantaggi ti da una configurazione del genere?
 
diversi, tanto per citarne alcuni; si evitano alcuni bugs del DNS di
windows, supporto pieno/reale per DNSSEC ed IPv6 full (il DNS windows
ha solo uno "stub resolver"), si evitano problemi di DNS poisoning e
menate simili, si ha maggior flessibilità nella configurazione... ed
altro ancora, ed ovviamente, la LAN (windows) funziona senza problemi e
senza dover fare i salti mortali, visto che i DNS interni sono quelli
"nativi" di windows :)
 
 

 specificato non ne ho idea, ma lo trovo comunque assurdo.
 
assurdo o meno, se è scritto nel contratto c'è poco da fare, che poi
sia una fesseria è un altro paio di maniche
 
 

 Peggio ancora.
 
Quindi, ehm, perdona l'ignoranza, ma allora su un router aziendale quali 
DNS imposteresti ?
 
Ringrazio anticipatamente per l'eventuale risposta.
 

 Ringrazio anticipatamente per l'eventuale risposta.
 
Il DNS interno dell'azienda, il quale risolverï¿œ i nomi rivolgendosi ai
root server.
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 root server.
 
Quindi sul router Pincopallo (con rete interna 
192.168.0.0/24
 ed IP 
pubblico 88.XX.XX.XX) un amministratore di rete dovrebbe inserire 
l'indirizzp del server DNS interno, diciamo 192.168.0.12, che poi 
dovrebbe contenere l'indirizzo dei root server ?
Oppure non ho "ri-capito" niente di nuovo ? :-D
 
Scusa, eh, ma sto solo cercando di capire.

 root server.
 
o meglio...
 
il router aziendale NON dovrebbe essere usato come DNS, i DNS interni
dell'azienda dovranno essere configurati per usare root-hints e
ricorsione per la risoluzione dei nomi "esterni", il firewall dovrà
essere configurato in modo da permettere il traffico DNS verso
l'esterno SOLO dagli IP dei DNS aziendali, i clients (ed i DNS servers
stessi) dovranno essere configurati per usare gli IP dei SOLI DNS
aziendali come resolvers e MAI fatti puntare a DNS esterni
 
Salvo casi particolari (e abbastanza rari per quanto riguarda gli
scenari di cui si discute) la configurazione di cui sopra è quella
corretta, qualsiasi altra config è un IMMONDO PASTROCCHIO
 
 

 corretta, qualsiasi altra config � un IMMONDO PASTROCCHIO
 
Grazie mille ad entrambi, ora ho molto piu' chiaro il discorso.

 Grazie mille ad entrambi, ora ho molto piu' chiaro il discorso.
 
 
Ossia ?
 

 dovrebbe contenere l'indirizzo dei root server ?
 
No, un tizio che lavorasse come "admin" e facesse una cosa del genere
andrebbe buttato fuori a calci dato che si presuppone che un "admin"
conosca quantomeno le basi, ed il DNS è in pratica l'ABC
 
Ad ogni modo, prova a leggere questo 
http://www.zytrax.com/books/dns/
 
spero che in tal modo riuscirai a chiarirti le idee
 
 
 

 rete aziendale, specie se sulla stessa ï¿œ attestato un mailserver
 
ma una rete di un piccolo ufficio, con 5 pc e nessun mailserver, la 
consideri alla stregua di una domestica o di una aziendale?
 
-- 
Yoghurt
 
Onore al maiale e ai suoi doni
www.novemberporc.it
 
 
 


 
infatti, cerchiamo di discernere gli scenari. con 4 pc in croce, che non 
hanno nemmeno un dominio AD (e quindi nemmeno si trovano bello e pronto 
un server DNS) e non hanno servizi pubblici da erogare, che le 
postazioni abbiano i googledns non ï¿œ che cambi la vita a nessuno.
 
differente ï¿œ se hai servizi pubblicati o un dominio AD, a quel punto il 
tuo livello di infrastruttura deve prevedere l'utilizzo di un server DNS 
interno (nel secondo caso viene tutto sommato da sï¿œ e naturale),  quindi 
tanto vale (a quel punto) configurarlo correttamente.
 
Peggio ancora se hai un mailserver interno e devi fare query... bla 
bla... rbl... bla bla... evitare i forwarders esterni come la peste.... 
bla bla... dns hijacking.... bla bla... ... ...
 
 

 bla bla... dns hijacking.... bla bla... ... ...
 
Dai ragazzi, non facciamo gli ermetici...
diamo qualche dettaglio. Cosa considerare e come configurare 
correttamente il dns di windows e come configurarlo nel caso di 
mailserver?
 
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgray...
 
L'indirizzo em@il non è da considerarsi pubblico,


 tanto vale (a quel punto) configurarlo correttamente.
 
Ma anche nel caso in cui si abbia un dominio AD utilizzare i forwarders
(sui DC) non mi sembra una bestemmia.
 
-- 
In God we trust. All others must bring data
W. E. Deming
 

 mailserver?
 
se hai il dns di windows, configuralo per escalation dalla root e fine.
 
Soprattutto se hai un mailserver, evitare sempre come la peste di avere
nella catena di lookup un forwarder, a meno che tu non abbia l'assoluta
certezza che non avviene mai alcun "rimaneggiamento" delle risposte e/o
delle query.
 
Cosa che OpenDNS fa tutto il tempo, ecco perchè usarlo come resolver per
un server (e un mailserver in particolare) è una cattiva idea.
 
Ma l'OP parlava di una rete senza un server, solo client.
In questo caso le necessità sono del tutto analoghe a quelle di una rete
casalinga, e OpenDNS va più che bene.
 
(anzi, con i tempi che corrono, è anche meglio...)


 
 
Dipende a chi forwardi


 (anzi, con i tempi che corrono, è anche meglio...)
 
+1 ... ma SOLO in un contesto di questo genere, fare una cosa simile su
una rete aziendale con i propri DNS significa non aver capito una
mazza; tornando alla "minirete", di solito su queste ultime si trova un
"box" battezzato "server" o anche un NAS (di solito basato sul
pinguino), in entrambi i casi, non è che ci voglia molto a metter su un
BIND o (meglio) un unbound ed usarlo come resolver... senza dover usare
dei DNS esterni :)
 
 
 

 Dipende a chi forwardi
 
esatto, e poi, se hai un mailserver sulla rete, usare dei forwarders
"pubblici" è una immane fesseria; tanto per capirci, basta leggere
 
http://www.spamhaus.org/organization/dnsblusage/
 
 
e considerare che la DNSBL "vede" l'indirizzo IP del DNS, non quello
del box che usa tale DNS come forwarder, il che significa che ci vuol
poco ad andare "sopra i limiti" e rendere del tutto inutili i lookups
 
 
 

 casalinga, e OpenDNS va più che bene.
 
si si concordo, ma visto che ho letto più volte quel "configurare 
correttamente" ero curioso di sapere quali erano le attività da fare 
sempre nel momento in cui si configura un dns (nello specifico windows) 
per configurarlo al meglio.
Ma mi pare di capire che la questione si limiti a non utilizzare 
forwarder oppure se vengono utilizzati che siano conosciuti (nella 
migliore delle ipotesi addirittura di proprietà come diceva Obi).


 conosca quantomeno le basi, ed il DNS è in pratica l'ABC
 
Qui non è questione di conoscere o meno il funzionamento o la
configurazione del DNS... qui si tratta solo di capire che dns
utilizzare sul router (e non come pensi tu per farci poi puntare tutti
i client, ma semplicemente per fargli risolvere il nome del server
ntp, di quello smtp, di quello snmp etc etc).
Personalmente quando possibile uso il dns interno...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey


 Personalmente quando possibile uso il dns interno...
 
esatto, il router dovrà puntare al DNS interno
 
 

 poco ad andare "sopra i limiti" e rendere del tutto inutili i lookups
 
Certo, parlavo di piccole aziende senza mailserver o altri servizi
gestiti in proprio ed esposti pubblicamente.


 gestiti in proprio ed esposti pubblicamente.
 
Per quanto riguarda quel di cui parlava Obi, la dimensione dell'azienda
non cambia alcunchč...


 non cambia alcunchč...
 
Cambia nel senso che non si fanno lookups alle DNSBL.


 Cambia nel senso che non si fanno lookups alle DNSBL.
 
Sarà...


 authoritative, non resolver.
 
bhe magari hanno anche dei DNS da utilizzare come resolver... 
In genere se ti dicono che puoi utilizzare i loro DNS č perchč sono
resolver. Se non te lo dicono invece non sono utilizzabili, e uno non
si piů inventare di usare dei dns a caso (o almeno non si dovrebbe).
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non č da considerarsi pubblico,


 si piů inventare di usare dei dns a caso (o almeno non si dovrebbe).
 
Ma anche no, a meno che non ti aprano la recursion ad-hoc e tu non abbia
un IP statico per cui farlo aprire.
 
Perché altrimenti significa che stanno eseguendo un open-resolver.
E a meno che non si tratti di Google, OpenDNS, ISC o altri che del DNS e
dei suoi problemi hanno un "controllo fine" (e non sono molti), oggi
come oggi un open-resolver č una configurazione pessima suppergiů quanto
un auth+recursor...
 
D'altra parte il thread č partito esattamente da lě.


 DNS per nulla. ;-)
 
Si giusto, mi sono spiegato male: immaginavo una situazione in cui il
dominio interno ha il suo DNS sul DC, il DC forwarda le query al
servizio DNS esterno il quale è anche, come giustamente osservi,
autoritativo per la zona pubblica.
 
Pensi che l'eliminazione del forwarding dal DC sia opportuna?


 suppergiù quanto un auth+recursor...
 
Tanto per chiarire quanto sopra
 
https://www.dns-oarc.net/wiki/mitigating-dns-denial-of-service-attacks
 
 
http://www.team-cymru.org/Services/Resolvers/
 
 
poi ok, c'è ancora gente che pubblica DNS windows come autoritativi per
una zona lasciando in piedi la ricorsione (perchè "altrimenti i box che
ospitano i DNS non riescono a risolvere" :P) e facendosi fottere la
banda da un mucchio di bots che li usano come reflectors :PPPP (senza
poi considerare quelli che mettono in piedi un resolver privato e senza
aver capito una beata, lo pubblicano, credendo che sia necessario per
farlo funzionare <GROAN>)
 
 
 

 Pensi che l'eliminazione del forwarding dal DC sia opportuna?
 
Se non hai la certezza che il forwarder faccia schifezze, assolutamente sě.


 Se non hai la certezza che il forwarder faccia schifezze, assolutamente s�.
                                         ^ NON


 Pensi che l'eliminazione del forwarding dal DC sia opportuna?
 
tu che dici ?
 

                                          ^ NON
 
Nah, era giusto prima (senza il NON), suvvia, se tutto funziona BISOGNA
trovare un modo per incasinare le cose, specie se poi il giorno dopo te
ne vai in ferie e non sei rintracciabile :D
 
 

 tu che dici ?
 
Io direi di no ma magari mi sbaglio.


 la maggior parte delle query.
 
E magari fare anche delle immani porcherie o essere configurato in modo
da forzare il TTL dei records in cache ad un valore minimale che, di
fatto, rende inutile il caching o magari vanificare il filtraggio
tramite DNSBL per i motivi già visti (vedasi altro post in questo
thread)... no, non ne vale la pena, lascia che il DNS faccia il suo
lavoro usando i root-hints e la ricorsione e senza usare forwarders,
ossia lavorando come deve lavorare.
 
 

 maggior parte delle query.
 
Vero.
Magari anche derivanti da poisoning :-D
 
Siam sempre l�: demandi una funzione abbastanza critica a qualcun altro.
Bene, se sei sicuro che questi sia pi� competente di te e te ne fidi.
 
Male in tutti gli altri casi... ;-)


 ossia lavorando come deve lavorare.
 
Rispondo qui a entrambi.
In effetti capisco le tue argomentazioni e configurare il DNS per
utilizzare i root-hints non è certo un gran lavoro. Devo dire però,
concludendo, che con il forwarding non ho mai avuto problemi di rilievo.


 concludendo, che con il forwarding non ho mai avuto problemi di rilievo.
 
Escludendo tutti i problemi posti fino ad adesso che possono impattare
su realtà un minimo complesse il forwarding molto più banalmente ti
mette a rischio di rimanere a piedi con la risoluzione internet nel
momento che il dns abbia un problema o non sia raggiungibile.
Personalmente non vedo perchè dovrei complicarmi la vita con dei
forwarder quando la risoluzione funziona meglio senza...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non è da considerarsi pubblico,


 un IP statico per cui farlo aprire.
 
Intendevo dire, che oltre agli autoritativi possono anche avere i
resolver. Poi č chiaro che saranno open (a meno che non siano limitati
alle loro subnet).


 Male in tutti gli altri casi... ;-)
 
Fammi il favore, vallo a spiegare ai miei colleghi, dove mi giro trovo
dns che interrogano i dns dei provider, e mai quelli di chi fornisce la
linea.
Non riesco a capire cosa diavolo ci trovino di brutto nel far
interrogare i root dns, che c'è, si consumano?
 
-- 
/me e il culatello di zibello negroni
Un nome, un programma!!!

 momento che il dns abbia un problema o non sia raggiungibile.
 
magari fosse solo questo il problema. sarebbe quasi nullo (difficilmente 
il google dns andr� gi� e comporter� disservizi, sicuramente il nostro 
domain controller interno o la connettivit� stessa hanno minore 
affidabilit� se non opportunamente ridondate). I problemi reali si 
riscontrano quando hai un mailserver interno (ed utilizzi RBL). Perch� 
per la sola navigazione, in realt�, poco cambia (se escludiamo 
l'argomento privacy). E' un passaggio in pi�, certo, ma funziona 
comunque senza problemi eclatanti.
 
 

 comunque senza problemi eclatanti.
 
ed ï¿œ quello che dicevo io, con l'unico svantaggio che se il DNS che 
utilizzi per qualche ragione non risponde, non si naviga.
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgray...
 
L'indirizzo em@il non ï¿œ da considerarsi pubblico,
