غیرفعال کردن Recursion در DNS؛ آموزش BIND و Windows Server

غیرفعال کردن Recursion برای DNS عمومی authoritative با بستن یک Open Resolver تفاوت دارد. سروری که برای کاربران مجاز نام‌های اینترنتی را resolve می‌کند باید این کار را با کنترل دسترسی انجام دهد؛ همه DNSها نباید بدون توجه به نقششان Recursion را غیرفعال کنند.

نقش سرور را مشخص کنید

DNS authoritative پاسخ دامنه‌های تحت مدیریت خود را می‌دهد؛ recursive resolver برای کاربر، پاسخ را از مسیر DNS پیدا می‌کند. اگر سرور نقش resolver شبکه داخلی دارد، به‌جای قطع خدمت کاربران، دسترسی بازگشتی را به شبکه‌های مجاز محدود کنید.

BIND: غیرفعال کردن پاسخ بازگشتی برای کاربران

از فایل تنظیمات بکاپ بگیرید، فایل اصلی و includeها را بررسی کنید و در بلوک options یا view مربوط، تنظیم زیر را قرار دهید:

recursion no;

مسیر فایل به توزیع و نصب بستگی دارد. با named-checkconf صحت تنظیمات را بررسی و با روش مناسب سرویس، تنظیمات را بارگذاری کنید. این گزینه مانع همه درخواست‌های خروجی خود سرور برای نگهداری zone نمی‌شود.

Windows DNS Server

در DNS Manager، مشخصات سرور و تب Advanced را باز کنید و گزینه Disable recursion (also disables forwarders) را بررسی کنید. غیرفعال کردن آن، forwarderها را هم تحت تأثیر قرار می‌دهد؛ روی DNS داخلی بدون بررسی نیاز کاربران اعمال نکنید.

تأیید و کاهش خطر تقویت DNS

از یک میزبان خارج از شبکه مجاز، پاسخ بازگشتی و پاسخ دامنه‌های تحت مدیریت را جدا آزمایش کنید. محدود کردن Open Resolver، کنترل دسترسی، پایش و حفاظت شبکه به کاهش خطر کمک می‌کنند. DNSSEC برای صحت داده DNS است و به‌تنهایی مانع حمله تقویت DNS یا اشباع شبکه نیست.

مطالعه بیشتر

• کنترل دسترسی با فایروال
• دامنه، DNS و هاست

منابع و مستندات: تفاوت authoritative و recursive در ISC، رفتار recursion در BIND