隐藏主机隐身DNS服务器在面向公共的权威从服务器上的暴露

Question

在典型的隐藏主DNS网络布局中，基本上有两个组件：

• 隐藏的主DNS服务器，可能在NAT或防火墙后面，或者完全公开。
• 从权威非递归DNS服务器(S)

从DNS服务器上的区域文件通常不(也不应该)向此隐藏的主DNS服务器提供信息。但这些从DNS服务器确实需要使用某些DNS选项，如server、allow-update、allow-transfer和一些ACL。

起初，那些所需的server和allow-update似乎需要一个IP地址匹配列表。这使得named.conf成为这种隐秘信息的主要来源(即隐藏主机的IP地址)。

是否可以通过使用密钥而不使用named.conf文件中的任何IP地址来进一步限制将IP地址暴露到隐藏主机DNS服务器上？

我正在寻找的关键答案是，我们是否可以将隐藏主机在其配置文件级别以及区域数据库中的暴露降到最低。

Answer 1

从DNS服务器上的区域文件通常不(也不应该)向此隐藏的主DNS服务器提供信息。

他们可以在他们的区域文件中有一个记录来指向这个隐藏的DNS主服务器。服务器被称为“隐藏”，并不是因为没有人知道它，而是因为它没有使用NS记录列出，因此客户端无法查询它们。

编辑:尝试避免从配置文件中引用这个隐藏的主文件是没有意义的。一旦有人访问了这个文件，它假设他们无论如何都可以访问您的服务器，这听起来比他们知道隐藏主机的IP地址更大。

但这些从DNS服务器确实需要使用某些DNS选项，如服务器、允许更新、允许传输和一些ACL。

从DNS服务器确实需要知道隐藏DNS服务器的存在。只使用键就可以定义masters，然后在allow-notify etc语句中引用这些masters。这样，您就不需要指定隐藏主服务器的IP地址。

server语句如下所示：

server <netprefix> {
   ...
};

因此，它需要隐藏主机的IP地址。

然而，像allow-update、allow-transfer等语句似乎需要一个address_match_list (绑定9.11.4-P1文档，第51页)：

(...)是一个或多个ip_addr、ip_prefix、key_id或acl_name元素的列表，请参阅第6.1节。

因此，您只能在这些命令中输入密钥，将隐藏主机的IP地址排除在配置的这些部分之外。