☰

我的外部 DNS 区域的 BIND9 配置是否正确？

tag-icon • tag-icon domain-name-system bind dns-zone ns-record named-conf
我的外部 DNS 区域的 BIND9 配置是否正确？

我的文件与区域

我的/etc/bind/db.piduna.org

;
; BIND data file for local loopback interface
;
$TTL    604800
$ORIGIN piduna.org.
@       IN      SOA     ns1.piduna.org. root.piduna.org. (
                     2018031701         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      ns1.piduna.org.
@       IN      NS      ns2.piduna.org.
@       IN      A       192.168.110.15

ns1     IN      A       192.168.110.15
ns2     IN      A       192.168.110.14

abc100  IN      A       192.168.110.1
abc101  IN      A       192.168.110.2
abc102  IN      A       192.168.110.3
abc103  IN      A       192.168.110.4
abc104  IN      A       192.168.110.5
abc105  IN      A       192.168.110.6
abc106  IN      A       192.168.110.7
abc107  IN      A       192.168.110.8
abc108  IN      A       192.168.110.9
abc109  IN      A       192.168.110.10
abc110  IN      A       192.168.110.11
abc111  IN      A       192.168.110.12
abc112  IN      A       192.168.110.13
abc113  IN      A       192.168.110.14
abc114  IN      A       192.168.110.15

gitlab  IN      A       192.168.110.14
redmine IN      A       192.168.110.14

*       IN      CNAME   piduna.org.

192.168.110.*当然不是真实的 IP 地址。相反，我使用的是 vps-s 的真实 IP 地址。

我的/etc/bind/named.conf.local：

//
// Do any local configuration here
//

// Consider adding the 1918 zones here, if they are not used in your
// organization
//include "/etc/bind/zones.rfc1918";

zone "abchosting.org" {
     type master;
     file "/etc/bind/db.piduna.org";
};

我的/etc/bind/named.conf.options：

options {
        directory "/var/cache/bind";

        // If there is a firewall between you and nameservers you want
        // to talk to, you may need to fix the firewall to allow multiple
        // ports to talk.  See http://www.kb.cert.org/vuls/id/800113

        // If your ISP provided one or more IP addresses for stable
        // nameservers, you probably want to use them as forwarders.
        // Uncomment the following block, and insert the addresses replacing
        // the all-0's placeholder.

        listen-on port 53 {
        127.0.0.1;
        192.168.110.15;
        };

        forwarders {
        8.8.8.8;
        8.8.4.4;
        };

        //========================================================================
        // If BIND logs error messages about the root key being expired,
        // you will need to update your keys.  See https://www.isc.org/bind-keys
        //========================================================================
        dnssec-validation auto;

        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { none; };
};

所以，我已经测试过了。一切都很好。有效。但我对我的配置有疑问 /etc/bind/db.piduna.org。一切都好吗？也许根据安全性有一些建议？我再说一遍，我为外部域做了这个。我需要：
- 我的 vps-s 的 15 个 A 记录；
- 我的服务的两个 A 记录，如 gitlab 和 redmine；
- 从 192.168.110.15 ping 子域
感谢您的理解和帮助。

答案1

你说你已经测试过了，那么你具体做了什么？？named-checkzone有没有什么在线故障排除工具？

你有什么疑虑？你的问题太宽泛了。你谈论的是什么安全？

然而，我也看到了各种问题：

  • 您使用了通配符记录。您真的需要它吗？如果不需要，我建议删除它，因为它带来的问题远多于解决方案。
  • 因此，由于您定义了一个区域，因此您似乎拥有一个权威名称服务器，但它仅侦听本地/内部 IP 地址。这是否意味着它无法在全球范围内访问（这对于权威名称服务器来说不是一个好主意）或者您在它前面设置了一些 NAT，这对于名称服务器来说也是一个很糟糕的想法？
  • 因此，您似乎拥有一个权威名称服务器，但您却将查询转发到外部。您似乎在同一台服务器中混合了递归和权威功能，从安全角度来看，这是一个非常糟糕的主意（也可以说，从安全角度来看，转发到 Google Public DNS 无论如何都不是一个好主意，您应该拥有自己的本地递归名称服务器）

相关内容