主页 / server / 问题 / 509364
Accepted
Andrew B
Asked: 2013-05-21 11:58:00 +0800 CST

BIND 的空区域启用功能合成的区域结构是什么？

  • 772

BIND 9.4.1 为私有地址空间实现了自动清空反向区域，以防止反向 DNS 泄漏。这为管理员省去了必须定义这些空区域的麻烦，并减少了将反向 DNS 查找泄漏到IANA 黑洞服务器的“开箱即用”配置的数量。

来自自动空白反向区域的合成回复的默认格式是什么？文档中未完整描述该格式。（只是几个选项的默认值）

domain-name-system

1 个回答

  1. Best Answer

    如果未调整空白区域的默认选项，则ANY查询应返回以下内容：

    # dig @localhost 254.169.IN-ADDR.ARPA ANY

; <<>> DiG 9.8.4-P2 <<>> @localhost 254.169.IN-ADDR.ARPA ANY
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9411
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;254.169.IN-ADDR.ARPA.          IN      ANY

;; ANSWER SECTION:
254.169.IN-ADDR.ARPA.   86400   IN      SOA     254.169.IN-ADDR.ARPA. . 0 28800 7200 604800 86400
254.169.IN-ADDR.ARPA.   0       IN      NS      254.169.IN-ADDR.ARPA.

;; AUTHORITY SECTION:
254.169.IN-ADDR.ARPA.   86400   IN      SOA     254.169.IN-ADDR.ARPA. . 0 28800 7200 604800 86400
    • 请注意，权威答案 ( aa) 标志已设置。没有递归。
    • NS记录指向没有A记录的区域的顶点。
    • 没有与NS记录相关联的胶水。
    • SOA 字段（主MNAME服务器）与空区域的名称相同。此行为由empty-server选项更改。
    • SOA 字段（RNAME联系人）包含一个点 ( .)。此行为由empty-contact选项更改。
    • 区域顶部以下的记录请求将返回NXDOMAIN。

    基于以上所述，对合成空区域进行指纹识别的最可靠方法是查找aa标志，并检查记录是否NS指向缺少A记录的区域顶点。请记住，您无法检查NXDOMAIN响应，因为存在具有相同名称的其他记录类型；NOERROR请求A记录时，您会收到没有 ANSWER 部分的回复。

    通常可以安全地假设具有“官方”外观 SOA 字段（MNAMEof prisoner.iana.org.，RNAMEof hostmaster.root-servers.org.）的响应已经泄漏到根名称服务器，但是根据您在网络中运行的扫描，这可能并不总是足够的。

    • 1

相关问题