DNS problem Se eu desabilitar a recursão, não consigo pingar meu resultado

Question

Eu configurei o servidor dns e, se eu ativar a recursão, posso fazer ping e obter o resultado.

[root@seobd ec2-user]# nslookup google.com
Server:         52.10.197.195
Address:        52.10.197.195#53

Non-authoritative answer:
Name:   google.com
Address: 216.58.193.78

Mas se eu desabilitar a recursão, não consigo pingar o resultado. configuração:

options {
        listen-on port 53 { 127.0.0.1; 52.10.197.195; 0.0.0.0/0;};
        listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { localhost; 0.0.0.0/0; };
        notify yes;
        recursion no;
        dnssec-enable no;
        dnssec-validation yes;
};

zone "iftibd.com" IN {
        type master;
        file "seobd.fz";
        allow-update {none;};
};

zone "197.10.52.in-addr.arpa" IN {
        type master;
        file "seobd.rz";
        allow-update {none;};
};

[root@seobd ec2-user]# ping google.com
ping: unknown host google.com

    

Answer 1

Esse é o comportamento esperado; Se você não permitir a recursão, o BIND não irá percorrer as possibilidades / servidores para eventualmente obter sua resposta e, portanto, não será capaz de responder.

A parte importante é criar ACLs limitando as redes que podem fazer solicitações recursivas e evitando ter um servidor DNS aberto que possa ser e seja abusado remotamente.

Também aconselho adicionar a parte superior da seção de opções:

allow-recursion { 127.0.0.0/8; x.x.x.x/24; y.y.y.y/24; };

em que x.x.x.x e y.y.y.y são seus netblocks.

Veja: Qual é a diferença entre recursão e encaminhamento em bind

Para as implicações de segurança, por favor, dê uma olhada Open Resolver Project

Open Resolvers pose a significant threat to the global network infrastructure by answering recursive queries for hosts outside of its domain. They are utilized in DNS Amplification attacks and pose a similar threat as those from Smurf attacks commonly seen in the late 1990s.