DNS软件是黑客热衷攻击的目标，它可能带来安全问题。本文提供了10个保护DNS服务器最有效的方法。 9 s* {" \! m) e! n T: @4 E" Q# D& O
, Z; x7 |% `; Q3 `; B; @ 1.使用DNS转发器3 ^# k8 {/ K% r% j U, H/ H
0 k2 s1 U* j4 [5 ]5 Y. r D, g
DNS转发器是为其他DNS服务器 & y* q# y9 ^7 Q完成DNS查询的DNS服务器。使用DNS转发器的主要目的是减轻DNS处理的压力，把查询请求从DNS服务器转给转发器， 从DNS转发器潜在地更大DNS高速缓存中受益。5 J0 H1 c1 C" B+ M/ h- f7 Q
e. b0 v+ g- h8 K! m1 L' E$ @
使用DNS转发器的另一个好处是它阻止了DNS服务器转发来自互联网DNS服务器的查询请求。如果你的DNS服务器保存了你内部的域DNS资源记录的话， 这一点就非常重要。不让内部DNS服务器进行递归查询并直接联系DNS服务器，而是让它使用转发器来处理未授权的请求。5 o# g1 D; q. U
, x G- x: O# y R; Z5 s
2.使用只缓冲DNS服务器 , f& G# n% F3 x3 q. P* z( l. e5 z8 i; q. n% o( F& o1 z: y
只缓冲DNS服务器是针对为授权域名的。它被用做递归查询或者使用转发器。当只缓冲DNS服务器收到一个反馈，它把结果保存在高速缓存中，然后把 结果发送给向它提出DNS查询请求的系统。随着时间推移，只缓冲DNS服务器可以收集大量的DNS反馈，这能极大地缩短它提供DNS响应的时间。 0 S: Y& R. m) B9 B, ]) d- F t6 Z8 y$ N7 ^( H# l$ w5 Y
把只缓冲DNS服务器作为转发器使用，在你的管理控制下，可以提高组织安全性。内部DNS服务器可以把只缓冲DNS服务器当作自己的转发器，只缓冲 DNS服务器代替你的内部DNS服务器完成递归查询。使用你自己的只缓冲DNS服务器作为转发器能够提高安全性，因为你不需要依赖你的ISP的DNS服务 器作为转发器，在你不能确认ISP的DNS服务器安全性的情况下，更是如此。 8 ]% F! J4 X- v0 g% c ) h$ A- U# ~5 a* v6 F! I0 T" o9 u1 M 3.使用DNS广告者(DNS advertisers)$ S- g' o, \# {
* F6 p) [* L3 I! a
DNS广告者是一台负责解析域中查询的DNS服务器。例如，如果你的主机对于domain.com 和corp.com是公开可用的资源，你的公共DNS服务器就应该为 domain.com 和corp.com配置DNS区文件。3 A9 K9 h8 E, t6 ^1 J7 ?+ Y' H
0 |) R6 B: J# J6 b5 x, D 除DNS区文件宿主的其他DNS服务器之外的DNS广告者设置，是DNS广告者只回答其授权的域名的查询。这种DNS服务器不会对其他DNS服务器进行递归 查询。这让用户不能使用你的公共DNS服务器来解析其他域名。通过减少与运行一个公开DNS解析者相关的风险，包括缓存中毒，增加了安全。) _4 o4 {! Y0 m) @' Q
3 x; p# L4 T* H- f1 ^& n 4.使用DNS解析者* l# c6 p, s+ |3 ?0 L/ q, s( B$ V+ \
* O1 q- X. g" D, H
DNS解析者是一台可以完成递归查询的DNS服务器，它能够解析为授权的域名。例如，你可能在内部网络上有一台DNS服务器，授权内部网络域名 internalcorp.com的DNS服务器。当网络中的客户机使用这台DNS服务器去解析techrepublic.com时，这台DNS服务器通过向其他DNS服务器查询来执行递归 以获得答案。0 E* ~1 i& G' N- Y, w, P: j$ [. k
) e7 L6 U( ^5 Y9 d1 W7 z( M DNS服务器和DNS解析者之间的区别是DNS解析者是仅仅针对解析互联网主机名。DNS解析者可以是未授权DNS域名的只缓存DNS服务器。你可以让DNS 解析者仅对内部用户使用，你也可以让它仅为外部用户服务，这样你就不用在没有办法控制的外部设立DNS服务器了，从而提高了安全性。当然，你也 可以让DNS解析者同时被内、外部用户使用。 . a, d; P x2 C7 W7 q t, w & f( o {! R& H' | 5.保护DNS不受缓存污染3 y# z9 l( J4 B
/ ]/ Z' B$ I3 I
DNS缓存污染已经成了日益普遍的问题。绝大部分DNS服务器都能够将DNS查询结果在答复给发出请求的主机之前，就保存在高速缓存中。DNS高速缓存 能够极大地提高你组织内部的DNS查询性能。问题是如果你的DNS服务器的高速缓存中被大量假的DNS信息“污染”了的话，用户就有可能被送到恶意站点 而不是他们原先想要访问的网站。 0 Y/ x! ~3 r }8 U, q4 F) l0 r% V
绝大部分DNS服务器都能够通过配置阻止缓存污染。WindowsServer 2003 DNS服务器默认的配置状态就能够防止缓存污染。如果你使用的是Windows 2000 DNS服务器，你可以配置它，打开DNS服务器的Properties对话框，然后点击“高级”表。选择“防止缓存污染”选项，然后重新启动DNS服务器。 , j4 k' T$ ?- F. n3 c9 v
$ z% t8 H) u2 T! W 6.使DDNS只用安全连接 # K b) V( _4 R c , @; A' p5 W9 D* s& F5 c% F 很多DNS服务器接受动态更新。动态更新特性使这些DNS服务器能记录使用DHCP的主机的主机名和IP地址。DDNS能够极大地减轻DNS管理员的管理费用 ，否则管理员必须手工配置这些主机的DNS资源记录。, F5 a- d% r* Z8 m' E7 R
