Newsgroup: it.comp.reti.ip-admin
Titolo: OT-Domini .COM

Ho richiesto al maintainer di un dominio .com di effettuare la variazione
per mantenerlo io sul mio web server.
Vorrei sapere come settare i parametri del record SOA nel DNS, se ci sono
server DNS Secondari, e a quale DNS (indirizzo IP) consentire di scaricare
la zona dal mio DNS Server.
Grazie.

 wrote in message
news:8qiptu$7o4$1...@news.mclink.it...


 puoi consetinre il zone tranfert verso tutti gli IP che lo richiedono.
questo e' sconsigliato per motivi di sicurezza. [prima di suscitare altre
risse e polemiche, 
http://www.acmebw.com/papers/securing.pdf
   di Cricket
Liu]  Autorizza il transfer solo sul singolo ip del tuo secondario e per i
domini .it anche sul /24 del nic

 domini .it anche sul /24 del nic
Penso di averti già risposto prima, se non permetti il tranfer dal tuo
dominio principale dove sono configurate tutte le macchine e apparecchiature
ip se non al tuo nameserver secondario allora può essere giusto in termini
di sicurezza, ma bloccare il trasferimento di zona da un dominio virtuale mi
sembra inifluente ai fini della sicurezza.
Saluti
AZI

 Libero pure e quasi tutti gli altri...
Argh.. bene.. riapriamo le polemiche... ho provato giusto adesso ... NON
funziona !!! (e vorrei ben vedere) .
Ho provato su 
dns.tin.it
 (autoritativo per il dominio 
tin.it
) a fare il
transfer della zona e mi risponde :
- RCODE=REFUSED: The name server refuses to perform the specified operation
anche libero (ho provato adesso) ovviamente mi rifiuta il transfer della
zona. Ti diro' di piu', sull' authoritative secondario di 
tin.it
 che e'
dns.interbusiness.it
 non ti viene nemmeno negato il zone transfer, ma
semplicemente non gli arrivano (firewall ??) le query in TCP  (come axfer)
ma solo quelle in UDP
Direi che o sono io sfigato, o tu sei il nic (lui puo' fare tutti i transfer
degli IT che vuole:)) o non parliamo della stessa cosa

 degli IT che vuole:)) o non parliamo della stessa cosa
Non penso che tu sia sfigato e io non sono nessuna autority!
Credo comunque di avere fatto un trasferimento di zona del dominio
FERRARI.IT
, se provo lo stesso comando su un dominio configurato nel mio DNS
il risultato nel log e: "Trasferimento di zona effettuato con successo verso
xxx.xxx.xxx.xxx" (traduzione veloce!)
Ah, dimenticavo, io conosco solo 4 comandi in unix... ti prego non farmi
domande su questo sistema operativo, non sarei all'altezza di risponderti.
Senza polemica.
AZI

 
ferrari.it
      86400 IN        SOA     
fiorano.ferrari.it
Nah... continuo a credere che tu sia il NIC ... TIN non fa alcun transfer di
zona, e nemmeno la FERRARI...ho provato adesso.
stiamo assolutamente parlando della stessa cosa, e il file di zona che tu
posti a me viene rifiutato. Mi dici a che server lo hai chiesto e con che
comando .... c'e' qualcosa che NON mi quadra. QUASI TUTTI i dns configurati
correttamente dovrebbero NEGARTI il transfer, sicuramente quasi tutti i DNS
dei grossi provider te lo negano. Se mi dici che qualche piccolo dns te lo
concede, nulla da eccepire, ma che io sappia i tranfer per i domini .IT li
possono fare i secondary authorithative e il nic.

 possono fare i secondary authorithative e il nic.
Ciao!
mi pare che 
FERRARI.IT
 non sia dominio "piccolino". Ti ho detto che ho
trasferito tutta la zona di 
TIN.IT
, ci ha messo un bel po' ma, capirai sono
configurati migliaia di computer di tutti i loro pop e mi sembra assurdo che
lo posti, anzi no! Adesso ti ci metto solo l'inizio:
tin.it
  86400 IN        SOA     
dns.tin.it
 
root.dns.tin.it
(
                        2000092601      ;serial (version)
                        86400   ;refresh period
                        7200    ;retry refresh this often
                        2592000 ;expiration period
                        86400   ;minimum TTL
                        )
tin.it
  86400 IN        NS      
dns.tin.it
tin.it
  86400 IN        NS      
dns.interbusiness.it
tin.it
  86400 IN        NS      
dns2.nic.it
tin.it
  86400 IN        NS      
dnsca.tin.it
tin.it
  86400 IN        NS      
dns1.village.tin.it
dns1.village.tin.it
     86400 IN        A       195.14.96.135
tin.it
  86400 IN        MX      10 
mail.tin.it
tin.it
  86400 IN        MX      20 
mail2.tin.it
tin.it
  86400 IN        MX      5 
mail3.tin.it
tin.it
  86400 IN        A       194.243.155.155
a-mi67-41.tin.it
        86400 IN        A       212.216.26.232
a-mi67-39.tin.it
        86400 IN        A       212.216.26.230
a-na67-41.tin.it
        86400 IN        A       213.45.235.232
a-na67-39.tin.it
        86400 IN        A       213.45.235.230
a-na67-42.tin.it
        86400 IN        A       213.45.235.233
a-mi67-42.tin.it
        86400 IN        A       212.216.26.233
a-na67-43.tin.it
        86400 IN        A       213.45.235.234
a-mi67-43.tin.it
        86400 IN        A       212.216.26.234
a-na67-44.tin.it
        86400 IN        A       213.45.235.235
a-mi67-44.tin.it
        86400 IN        A       212.216.26.235
a-na67-45.tin.it
        86400 IN        A       213.45.235.236
a-mi67-45.tin.it
        86400 IN        A       212.216.26.236
a-na67-46.tin.it
        86400 IN        A       213.45.235.237
a-mi67-46.tin.it
        86400 IN        A       212.216.26.237
a-na67-47.tin.it
        86400 IN        A       213.45.235.238
a-mi67-47.tin.it
        86400 IN        A       212.216.26.238
a-na67-48.tin.it
        86400 IN        A       213.45.235.239
a-na67-50.tin.it
        86400 IN        A       213.45.235.241
a-mi67-48.tin.it
        86400 IN        A       212.216.26.239
a-mi67-50.tin.it
        86400 IN        A       212.216.26.241
allora caro Marco vuol dire che non si finisce mai di imparare...
E io non mi chiamo NICola e non sono il Padreterno!
Come vedi la sicurezza del DNS come la vedi tu (e sono daccordo che in
alcuni casi non dovrebbe essere consentito lo zone transfer) non è
implementata da quasi nessuno.
Ti ammetto comunque che le prime volte sono rimasto un po' scioccato nel
leggere i nomi di tutti i computer stampanti e qualsiasi altra periferica IP
di una rete come MEDIASET o FIAT ecc., certo è un bello spunto per
intraprendere un attacco verso le loro reti...
A presto
AZI

 intraprendere un attacco verso le loro reti...
assurdo... hai perfettamente ragione !!!! Hanno una serie di DNS, e i primi
(ad esempio 
dns.tin.it
 e 
dns.interbusiness.it
 per 
tin.it
) sono sicuri,.
altri NO !  Peggio ancora mediaset e ferrari.
Chiedo scusa. Sono poco hacker nell'anima. Ho provato i primi e non ho
pensato che potessero aver configurato male gli altri server.
Il problema di sicurezza e' esattamente quello che hai definito tu. Avere la
mappa delle macchine di queste aziende e' un ottimo punto di partenza per
ogni delinquente. La mediaset poi chiama molte macchine con il nome della
persona, e scrive pure che tipo di macchina e che sistema operativo monta...
Sinceramente non so dirti se 'tecnicamente' si possano definire dns server
configurati MALE, quello che e' certo e' che e' sconsigliato aprire al
transfer verso chiunque. Le richieste LECITE sono solo quelle dei tuoi
secondari e per i domini it quelle partenti dal /24 del NIC . Tutti gli
altri non hanno alcun motivo di chiederti i transfer. Se poi dai un'occhiata
al documento che ti citavo prima (securing a DNS) ti mette al primo posto il
negare il transfer della zona. Bah...
Vabbe', complimenti per la bella scoperta

 Vabbe', complimenti per la bella scoperta
Addesso non stare li a leggerti tutti i computer e compagnia bella di tutte
le aziende d'Italia, altrimenti ti viene la voglia di provare se il computer
del segretario di Berlusconi ha qualche porticina aperta!
Saluti
AZI

 transfer verso chiunque. [...]
Cosa intendi per "tecnicamente"? 
Ciao,
-- 
Andrea Glorioso		sama(at)aglorioso(dot)com
			Padua, Italy

 Cosa intendi per "tecnicamente"?
intedo se e' fucilabile il tecnico che configura dei DNS importanti (tin,
mediaset ecc) permettendo il transfer delle zone a chiunque.
se ti leggi questo documento su come rendere sicuro un name server
http://www.acmebw.com/papers/securing.pdf
   di Cricket Liu , troverai che la
prima cosa che ti dice e'  di proibire i transfer non necessari.
Tu consideri ben configurato il DNS della mediaset che racconta a tutti
quali sono i PC connessi , (si chiamo con il nome della persona, o con il
ruolo tipo segr-red-tg4 ) mettendoci anche come HINFO informazioni tipo
"Intel P5 win98"  ecc. ?
diciamo che per tecnicamente intendo non solo un dns funzionante, ma anche
configurato bene con un occhio almeno alle cose di base della sicurezza. Ti
giro la domanda, se un ufficio si conette in ADSL con uno zyxel 641 ben
configurato, ma che lascia come password il default che e' 1234, il tecnico
va lapidato ? licenziato ? pagato ? E se qualcuno entra nella rete lo si
puo' ritenere legalmente responsabile ?

 puo' ritenere legalmente responsabile ?
Ciao Marco,
è vero che avere pubblico accesso a determinate informazioni sulla lan di
una grande azienda sia a dir poco assurdo ma sono comunque convinto che non
permettere il trasferimento di zona di un dominio serva solo a far perdere
un po di tempo ad un eventuale cracker. Resta il quesito: Perchè io
amministratore di sistema devo rendere pubbliche le informazioni sulla
locazione, il tipo di device e sistemi operativi della mia lan? Ahimè
l'unica risposta che in questo momento mi viene in mente e che il
responsabile non è a conoscenza di questo problema. Anzi no! Forse è così
furbo da scrivere cazzate sul DNS per sviare eventuali attacchi facendo
risolvere nomi di computer inesistenti e utilizzando IP "anonimi"!!! Naaah!
A voi eventuali altre considerazioni...
Saluti
AZI




entra nella rete lo si puo' ritenere legalmente responsabile ?
Sicuramente non e' un buon responsabile della sicurezza.  Per quanto
riguarda gli aspetti legali, sono estremamente complessi e io li
conosco solo *molto* superficialmente - so che comunque e' piuttosto
difficile, in casi appena piu' che complessi (non e' il caso dello
zyxel, per intenderci), trovare delle responsabilita' oggettive.  Nel
caso di ACL mal configurate nel DNS, per esempio, e' ovvio che
l'intruso puo' aver beneficiato di informazioni che teoricamente non
avrebbe dovuto avere; ma e' altrettanto ovvio che non e' solo grazie a
queste informazioni che e' potuto penetrare nel sistema.  Dunque, la
responsabilita' oggettiva e' molto difficile da verificare in un caso
come questo.
In sostanza, comunque, sono d'accordo con te che un server DNS che
permetta trasferimenti di zona a vanvera non e' ben configurato.
