主页 / unix / 问题 / 451863
Accepted
sourcejedi
Asked: 2018-06-26 13:58:04 +0800 CST

为什么 systemd-networkd 认为 UseDomains=（来自 DHCP 的域搜索列表）不如 LLMNR 安全？

  • 772

使用域=

接受一个布尔参数，或特殊值“路由”。如果为 true，则从 DHCP 服务器接收的域名将用作此链接上的 DNS 搜索域，类似于 Domains= 设置的效果。如果设置为“route”，则从 DHCP 服务器接收的域名将仅用于路由 DNS 查询，而不用于搜索，类似于参数以“~”为前缀时的 Domains= 设置的效果。默认为假。

建议仅在受信任的网络上启用此选项，因为设置此选项会影响所有主机名的解析，尤其是单标签名称。通常将提供的域仅用作路由域而不是用作搜索域更安全，以免影响单标签名称的本地解析。

相比

法学硕士=

布尔值或“解析”。如果为 true，则在链路上启用链路本地多播名称解析。设置为“resolve”时，仅启用解析，不启用主机注册和公告。默认为真。

但 LLMNR 也解析单标签名称。谁能解释一下？

来源：https ://www.freedesktop.org/software/systemd/man/systemd.network.html systemd 版本 239。

systemd-networkd systemd-resolved

1 个回答

  1. Best Answer

    2015 年发布了一个理由。
    https://www.mail-archive.com/[email protected]/msg31563.html

    iiuc，担心的是多级域名（即至少有一个点的域名）可以通过控制搜索后缀来进行欺骗。但是对于具有至少两个级别的名称，glibc 仅使用搜索列表作为后备。

    好吧，当然，能够在搜索逻辑的开头影响事物比在搜索逻辑的结尾影响事物更成问题，但我仍然认为这是有问题的，因为它仍然允许您插入“home.foobar.com " 进入一个域 "foobar.com"，它本身没有 "home.foobar.com" 但只有 "www.bar.com"...

    当然，经典（非 DNSSEC）DNS 永远不会完全安全，但我仍然相信我们应该默认使用更安全的选项，并允许其他选项。

    更改搜索路径在公共网络上本质上是没有意义的，只有当您非常了解您的网络并在某种程度上信任它时才有意义。因此，对我来说，选择加入听起来是更好的选择。

    • 1

相关问题