我在 BIND 9.11.3 上运行一个权威服务器，对不在我网络中的主机禁用递归。当从我网络之外的主机查询不在服务器权限范围内的域时，我没有得到任何答案，并且在权限部分中得到了一个根服务器列表。我理解为什么会发生这种情况，我想知道是否可以完全禁用权限部分。是否有类似于最小反应当递归不可用时将不会返回任何权威数据？
示例挖掘：
; <<>> DiG 9.11.3-1ubuntu1.1-Ubuntu <<>> @NS google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 6847
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 13, ADDITIONAL: 1
;; WARNING: recursion requested but not available
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 5ed7760df1d65f05baba487c5b75a318b3065456b81ca133 (good)
;; QUESTION SECTION:
;google.com. IN A
;; AUTHORITY SECTION:
. 518400 IN NS D.ROOT-SERVERS.NET.
. 518400 IN NS F.ROOT-SERVERS.NET.
. 518400 IN NS B.ROOT-SERVERS.NET.
. 518400 IN NS L.ROOT-SERVERS.NET.
. 518400 IN NS I.ROOT-SERVERS.NET.
. 518400 IN NS A.ROOT-SERVERS.NET.
. 518400 IN NS E.ROOT-SERVERS.NET.
. 518400 IN NS C.ROOT-SERVERS.NET.
. 518400 IN NS M.ROOT-SERVERS.NET.
. 518400 IN NS H.ROOT-SERVERS.NET.
. 518400 IN NS K.ROOT-SERVERS.NET.
. 518400 IN NS G.ROOT-SERVERS.NET.
. 518400 IN NS J.ROOT-SERVERS.NET.
;; Query time: 36 msec
我的选择如下：
options {
listen-on { any; };
directory "/var/cache/bind";
allow-recursion { acls; };
rate-limit {
responses-per-second 10;
exempt-clients { acls; };
window 5;
};
allow-query-cache { any; };
allow-query { any; };
allow-update { none; };
dnssec-enable no;
dnssec-validation no;
minimal-responses yes;
forwarders {
208.67.222.222;
208.67.220.220;
};
};
答案1
我做了一些快速测试，并认为您的问题与以下行有关：
allow-query-cache { any; };
您的配置不允许向公众进行递归，但仍允许缓存访问。通常，REFUSED当未启用递归时，远程客户端会收到 rcode，但由于已明确允许访问缓存，因此客户端会从不包含该响应的缓存中接收最具体的答案。
作为 DNS 专家，我建议在没有明确需要的情况下，在权威服务器上禁用递归+缓存。如果您确信需要保留此功能，那么最好将相同的 ACL 应用于两者。（或者干脆allow-query-cache全部删除，因为它的默认值为allow-recursion）
答案2
我不会认为您所描述的 BIND9 正常行为（它在默认配置下肯定不会表现得那样），但我很确定我明白是什么原因造成的。
你的权威服务器也启用了递归（不一定是个好主意），但锁定了（更好），然而你明确允许所有人访问已经缓存结果。
如果删除allow-query-cache { any; };，它应该会回答REFUSED（如预期的那样）。