DNS递归查询和反复查询

DNS递归查询和反复查询 recursion:递归，是一个name server在自己不能提供授权解析的前提下，代替resolver去向其他name server请求解析，待自己得到结果后，再将这个结果返回给local dns（resolver）。递归不一定就是直接向root去查，而是先在自己的cache里查找这个域名的就近name server。递归的时候总是将原样查询请求发送给其他Name server，而不会修改它。 A name server that receives a recursive query that it can't answer itself will query the "closest known" name servers. The closest known name servers are the servers authoritative for the zone closest to the domain name being looked up. For example, if the name server receives a recursive query for the address of the domain name girigiri.gbrmpa.gov.au, it will first check whether it knows which name servers are authoritative for girigiri.gbrmpa.gov.au. If it does, it will send the query to one of them. If not, it will check whether it knows the name servers for gbrmpa.gov.au, and after that gov.au, and then au. The default, where the check is guaranteed to stop, is the root zone, since every name server knows the domain names and addresses of the root name servers. Iteration：反复查询，指的是一个name server在自己不能提供授权解析的前提下，直接告诉resolver 你该去某某name server上查。自己只是想指路一样，并不替人跑一圈，local dns在接到回复后，自己再屁颠屁颠的跑去问那台name server，可能那台name server又告诉它一个地址，local dns就又屁颠屁颠的跑去了。 远端DNS服务允许递归查询 漏洞描述 远端DNS服务允许递归查询。 如果这是一台内部DNS服务器，可以忽略本次告警。 DNS服务允许递归查询时，任何人可使用它来解析第三方全称域名(FQDN)，攻击者可以伪造DNS报文刷新DNS Server Cache，这存在潜在的安全风险。 解决 NSFOCUS建议您采取以下措施以降低威胁： * 限制这台主机的递归查询 具体方法为： 1. 如果你使用 bind 8，可以在“named.conf”文件（缺省路径是/etc/named.conf）的“options”里使用“allow-recursion”来进行限制。 例如，您可以只允许自己本地主机以及内部主机进行递归查询，其他主机则不允许递归查询： options { allow-recursion { 192.168.196.0/24; localhost; }; }; 注意：在修改完配置文件之后，需要重新启动named。 2. 如果您使用的是Windows DNS Server，可以通过修改注册来将其配置为非递归DNS Server。 只要将注册表中HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service\DNS\Parameters的RecursionNO的值设定为ture.默认是false。 当有合法的解析器使用DNS服务器，或其它合法的DNS服务器将这个DNS服务器作为传递服务器（forwarder）时，不应关闭递归查询，如果不能关闭递归查询，就需要进行对进行递归查询的IP地址作出限制。如果递归查询请求来自不允许的IP地址，则DNS服务器将此查询以非递归查询对待。 3. 如果使用其它版本的Name Server，请参考相应的文档。