如果我没有在隐藏主设置中将我的真实主 DNS 设置为 SOA 条目，会发生什么情况？

Question

使用外包名称服务器（来自其他域）并不违反 DNS 标准，但这听起来不像是隐藏的主配置。作为主服务器给出的 NSSOA应该在NS记录中，但这并不意味着必须配置服务器，以便向世界介绍的主服务器是数据的实际原始来源。

例如，您可能不想将拥有您私有 DNSSEC 密钥的主服务器暴露给全世界。如果公开宣布的主服务器具有其他可能更容易受到攻击的功能（如某些 Web 应用程序），那么这一点尤其有用。

让我们举个例子。配置假设是BIND。

$ORIGIN example.com.
@       IN      SOA     ns1.example.com. hostmaster.example.com. (
                        2020053100 ; serial
                        7200       ; refresh (2 hours)
                        3600       ; retry (1 hour)
                        604800     ; expire (1 week)
                        86400      ; minimum (1 day)
                        )
@       IN      NS      ns1.example.com.
@       IN      NS      ns2.example.com.
@       IN      NS      ns3.example.com.

ns1     IN      A       192.0.2.10
ns2     IN      A       198.51.100.20
ns3     IN      A       203.0.113.30

隐藏的大师未在区域中列出。
- 该服务器仅在私有网络上，具有IP地址172.16.10.40。
- 该服务器执行 DNSSSEC 签名，因此我使用了example.com.signed。
- 它被配置为的主服务器example.com，允许从公共主服务器进行区域传输，但只能使用 LAN（或者也可以是 VPN）。
```
zone "example.com" {
    type master; 
    file "/etc/bind/db/example.com.signed";
    allow-transfer { 172.16.10.20; };
    notify explicit;
    also-notify { 172.16.10.20; };
};     
```
- 通知是使用notify explicit&手动配置的also-notify，因为notify yes只会通知中列出的服务器（NS除了中列出的主服务器）SOA。这根本无法开箱即用。

公共初选服务器ns1.example.com

该服务器有两个IP地址：公共IP192.0.2.10和私有IP 172.16.10.20。

它是配置为从属对于区域，并允许从其他 NS 进行区域传输：

zone "example.com" { 
    type slave; 
    file "/etc/bind/db/example.com"; 
    masters { 172.16.10.40; };
    allow-transfer { 198.51.100.20; 203.0.113.30; };
    notify yes;
};

公立中学服务器ns2.example.com& ns3.example.com。
- 在这个例子中，这些服务器完全在其他地方，提供必需的 网络多样性和地质冗余。
- 这些服务器从公共主服务器执行区域传输。
```
zone "example.com" { 
    type slave; 
    file "/etc/bind/db/example.com"; 
    masters { 192.0.2.10; };
};
```

Answer 1