主页 / server / 问题 / 620713
Accepted
SmallClanger
Asked: 2014-08-16 06:27:42 +0800 CST

我可以强制 Windows Server 2008 DNS 条件转发器仅使用 TCP 吗？

  • 772

我们已经建立了一条通往合作伙伴公司的隧道。他们的部分安全策略坚持我们的 DNS 查询仅是 TCP（不会路由 UDP）。

我们能够使用dig +tcp并验证查询是否正确解析，但我们自己的 AD 集成 (Server 2008) DNS 服务器使用 UDP 转发查询，这将超时并在 SERVFAIL 中重新返回给原始客户端。

条件转发器的设置不提供协议选择： Server 2008 条件转发器

RFC 1123 说

发送非区域传输查询的 DNS 解析器或服务器必须首先发送 UDP 查询。

...但这已在 5966 年被

解析器应该首先发送一个 UDP 查询，但如果它有充分的理由预期如果通过 UDP 发送响应将被截断，则可以选择发送 TCP 查询

如果我使用的是 Server 2008（上一个 RFC 是从 2010 年开始），这可不是什么好兆头。有谁知道我可以强制我的转发器仅使用 TCP（或至少首先）？是否有可能在任何其他 DNS 实现中，以防我必须设置一个作为中介？

windows-server-2008

1 个回答

  1. Best Answer

    无法在 Microsoft DNS 服务器中关闭 UDP（查看dnscmd文档）。

    这种对 UDP 数据包的限制似乎是不合理的，并且确保他们的防火墙足够灵活，可以接受允许您的服务器通过 UDP 端口 53 发送请求的例外情况。

    每当 RFC 说“应该”时，您最好遵循它所说的以避免遇到未指定/不可预测的行为。正确的方法是仅在收到带有截断响应的 UDP后才使用 TCP。

    RFC 1035（关于首选方法）：

    UDP 不适用于区域传输，但它是 Internet 中标准查询的推荐方法。

    RFC 2181（关于 UDP 截断响应）：

    在设置了 TC 的情况下，不完全适合的部分 RRSet 可能会留在响应中。当 DNS 客户端收到带有 TC 设置的回复时，它应该忽略该响应，并使用允许更大回复的机制（例如 TCP 连接）再次查询。

    他们最好有一个很好的理由不允许 UDP 53（极不可能）。

    • 4

相关问题