如何将 Bind9 配置为仅转发器？

Question

我需要配置 DNS 转发服务器，到目前为止，我还没有找到这教程。请参阅下面的配置。我的问题是我不想阻止客户端（即goodclients）访问服务器，因为我计划将其发布在域名 NS 记录中。问题是如何以安全的方式将其配置为仅转发（不查询）？基本上，我想将转发器用作“虚荣”服务器，而没有文章中提到的 DDOS 风险。

acl goodclients {
        107.170.41.189;
        localhost;
        localnets;
};

options {
        directory "/var/cache/bind";

        recursion yes;
        allow-query { goodclients; };

        forwarders {
                8.8.8.8;
                8.8.4.4;
        };
        forward only;

        dnssec-validation auto;

        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
};

Answer 1

如果我正确理解了你的问题，你只是想允许来自所有客户端的查询，但只允许选择网络的递归/转发，那么你似乎实际上并不想设置allow-query首先，而是设置allow-recursion反而。

关于设置的官方手册（上面有链接）非常值得一读allow-*，特别是默认设置以及这些设置如何交互。