Posso configurar um cache DNS para não encaminhar consultas AAAA?

Question

Estou configurando um cache DNS interno porque meu firewall está tendo problemas para lidar com todas as sessões criadas por solicitações de DNS. Eu tentei usar bind9, dnsmasq e DJB dnscache, todos eles ajudam a reduzir o número de solicitações que saem da minha rede, mas ainda há muitos pedidos sendo feitos.

Observando os arquivos de log e as saídas tcpdump e dnstop, parece que as solicitações que retornam o SERVFAIL não são armazenadas em cache. E muitas dessas solicitações fracassadas são solicitações AAAA, o que é uma pena, porque eu não tenho o ipv6 habilitado em nenhum servidor.

Eu olhei várias maneiras de ajudar a situação, e acho que se eu pudesse de alguma forma impedir que as solicitações de registro AAAA fossem encaminhadas pelo cache do DNS, isso reduziria significativamente o número de solicitações.

A coisa mais próxima que encontrei foi a opção filter-aaaa-on-v4 no BIND9. No entanto, isso apenas remove o registro da resposta do servidor e não impede que ele seja encaminhado.

Qualquer ajuda seria apreciada.

    

Answer 1

Não acho que isso seja possível em nenhum resolvedor de DNS padrão. Além disso: ocultar as respostas do IPv6 dos clientes pode quebrar a validação do DNSSEC, dependendo de se / onde você valida.

Um servidor DNS autoritativo não deve retornar um SERVFAIL quando solicitado pelos dados que não tem, portanto, o problema real é esses servidores. Eu pessoalmente vejo esse mau comportamento muito raramente, mas você parece ver isso com mais frequência. Se houver apenas alguns servidores que se comportam mal assim, pode ser uma boa ideia informar ao operador ou aos titulares do nome de domínio para que possam corrigi-lo.

Alguns firewalls podem processar determinado tráfego sem estado. Você poderia filtrar como

internal DNS cache address port > 1024  <-->  * port 53

e torne todo esse tráfego sem estado. Você não perderá muita proteção e seu firewall terá uma carga menor. Para ser honesto, estou surpreso que seu firewall tenha problemas com o tratamento de sessões de consulta DNS. Você nunca especificou qual marca e modelo está usando. Eu fiz isso em um Juniper SRX 210 para um servidor BitTorrent. Se você acha que os pedidos de DNS causam muitas sessões ...; -)

E se tudo mais falhar, você poderia mover o trabalho para um resolvedor de DNS externo. Se você configurar seu cache DNS para encaminhar todas as consultas para um resolvedor externo (os resolvedores do seu provedor de serviços de Internet e o 8.8.8.8/8.8.4.4 vêm à mente), seu cache de DNS não precisará percorrer a própria árvore de DNS, o que diminuirá o número de consultas muito.