Ajánlás DNS szerver üzemeltetőknek

A .hu alatti domain-ok számára gyakran olyan regisztrátorok nyújtanak autoritatív szolgáltatást, akik egyúttal internet szolgáltatók, és így rekurzív név szerver szolgáltatást is adnak ügyfeleiknek. Ismételten előfordultak a következő hibák:

• 1. hiba: átregisztrálás után nem mindenhonnan érhető el a domain
  

  Az ISP1 név autoritatív szerver egyik ügyfele az Csakegypelda Kft. A Kft. számára az ISP1 név szerver szolgáltatást nyújtott, az ns.isp1.hu szerveren. Tehát az ns.isp1.hu autoritatív választ adott a csakegypelda.hu zónára vonatkozóan. Az ISP1 nem választotta szét a rekurzív és az autoritatív funkciót, a rekurzív név szerver, amit ügyfelei használtak szintén az ns.isp1.hu. Valamilyen okból a csakegypelda.hu autoritatív név szerverei átkerültek ISP2 szolgáltatóhoz. Egy adott pillanattól kezdve tehát a csakegypelda.hu név szerverei ns.isp2.hu és ns2.isp2.hu lett. Az átregisztrálás rendben lezajlott, de az ISP1 munkatársai elfelejtették az autoritatív név szervereiken kivenni a konfigurációból a csakegypelda.hu-ra vonatkozó részt. Ennek az a következménye, hogy az ISP1 ügyfelei, akik rekurzív név szerverként használják az ns.isp1.hu-t, az átregisztrálást nem érzékelik, például nem érik el a csakegypelda.hu web lapját, nem tudnak levelet küldeni a valaki@csakegypelda.hu címekre! Sőt, lehet, hogy hibás, elavult web lapot látnak, rossz helyre küldik a leveleket stb. A Csakegypelda Kft. számára az ilyen hiba katasztrófális következményekkel járhat.

• 2. hiba: a domain regisztrációja megszűnt, de az ügyfél ezt észre se vette
  

  A Csakegypelda Kft. az ISP1 hálózata mögött volt. Számára autoritatív és egyben rekurzív név szerver is volt az ns.isp1.hu. A domain .hu alatti regisztrációja - pl. fizetési határidő lejárta miatt - megszűnt, a .hu zónában már nem szerepelt a csakegypelda.hu, de az ISP1 munkatársai elfelejtették kivenni az autoritatív név szervereikben a csakegypelda.hu-ra vonatkozó részt. Ebben az esetben a Csakegypelda Kft. sokáig észre se vette, hogy megszűnt a regisztráció, hiszen az ő hálózatából fel lehetett oldani a csakegypelda.hu neveket!

  A konfigurálásnál elkövetett feledékenység nem vezetett volna ilyen hibákhoz, ha az autoritatív és rekurzív funkciók szét lettek volna választva.

A legtöbb manapság használatos DNS szoftverben más program valósítja meg a rekurzív és az autoritatív funkciót. A legnépszerűbb szerver program, a Bind azonban lehetővé teszi a régi működést is. Ha autoritatív név szervert üzemeltetünk Bind 9. név szerverrel, akkor a konfigurációjában az opciók között adjuk meg ezt az egy sort:

recursion no;

A Bind kézikönyvben ezt olvashatjuk (1.4.6):

The BIND name server can simultaneously act as a master for some zones, a slave for other zones, and as a caching (recursive) server for a set of local clients.

However, since the functions of authoritative name service and caching/recursive name service are logically separate, it is often advantageous to run them on separate server machines. A server that only provides authoritative name service (an authoritative-only server) can run with recursion disabled, improving reliability and security. A server that is not authoritative for any zones and only provides recursive service to local clients (a caching-only server) does not need to be reachable from the Internet at large and can be placed inside a firewall.

Az 1996-ban kiadott RFC2010 így ír:

Recursion is a major source of cache pollution, and can be a major drain on name server performance. An organization's recursive DNS needs should be served by some other host than its root name server(s).

A 2008-ban kiadott RFC5358:

In general, it is a good idea to keep recursive and authoritative services separate as much as practical.

D.J. Bernstein, akinek népszerű DNS szerver implementációja nem szorult javításra a „Kaminsky bug” felfedezésekor, külön oldalt szentel a szétválasztás szükségességének. Ebben idézi a „DNS and Bind” című könyvet, ahol az autoritatív szerverekről ezt olvashatjuk:

You should make sure that these servers don't receive any recursive queries.

A látó (caching, rekurzív) név szerverekben definiáljunk egy IP cím halmazt, és csak ezek számára nyújtsunk rekurzív feloldást. Ez Bind-ban ehhez hasonló módon tehető meg:

#Felsoroljuk a hálóztokat CIDR formában, ahonnan megengedünk rekurzív kérdéseket:
acl "itt" {
127.0.0.0/8;
10.11.12.0/24;
};

#Az opciók közt megszorítást teszünk arra, hogy kiknek is akarjuk rekurzív kéréseit kiszolgálni:
options {
        allow-recursion {itt;};
};

Sok eszköz rendelkezésre áll. Például az ISZT-nél a http://deneb.iszt.hu/~pasztor/cgi-bin/recursive.cgi lapon ellenőrizhetjük, hogy egy IP címen nyílt rekurzív név szerver működik-e.

Az US-CERT anyaga jó magyarázatot, és bőséges forrásanyagot tartalmaz: http://www.us-cert.gov/reading\_room/DNS-recursion033006.pdf