- Inicie sesión para enviar comentarios
El presente documento permite mejorar la seguridad del servicio DNS de los servidores Debian en pocos pasos.
Para ello Nos dirigirnos al archivo named.conf.local
allow-transfer
Especifica los servidores esclavos autorizados para solicitar una transferencia de información de la zona. Por defecto, todas las solicitudes se autorizan. valores como “any;” “none;” “nombre-acl” “IPv4;” son aceptados
Ejemplo:
zone “institucion.gob.bo ” {
type master;
file “institucion.gob.bo.zone”;
allow-transfer {172.16.90.10; 127.0.0.1;};
};
Nota 1: Reemplace 172.16.90.10 con la dirección ip del o los servidores de confianza o segmento de red como por ejemplo: 172.16.90.0/24.
allow-query
Especifica los clientes autorizados para solicitar información sobre una zona. Por defecto, todas las solicitudes de información son autorizadas. valores como “any;” “none;” “nombre-acl” “IPv4;” son aceptados
Ejemplo:
zone “institucion.gob.bo ” {
type master;
file “institucion.gob.bo.zone”;
allow-query {172.16.90.10; 127.0.0.1;};
};
Nota 1: Reemplace 172.16.90.10 con la dirección ip del o los servidores de confianza o segmento de red como por ejemplo: 172.16.90.0/24.
notify.
Permite notificar cambios de configuración (actualizaciones) de zona a los servidores esclavos. Para ello solo se aceptan tres parámetros:
yes: Notifica a los servidores esclavos.
no: No notifica a los servidores esclavos.
Explicit: Notifica a los servidores esclavos definidos en una lista also-notify dentro de la declaración de una zona.
Ejemplo:
zone “institucion.gob.bo ” {
type master;
file “institucion.gob.bo.zone”;
notify yes;
also-notify {172.16.90.10;};
};
Nota 1: Reemplace 172.16.90.10 con la dirección ip del o los servidores de confianza o segmento de red como por ejemplo: 172.16.90.0/24.
Otras Recomendaciones de Seguridad para el servicio DNS
- Cambie los permisos y la propiedad en los destinos a continuación
chown -R root:bind /etc/bind
chown root:bind /etc/bind/named.conf*
chmod 640 /etc/bind/named.conf*
- Editar usando VI, el archivo /etc/bind/named.conf.options y agregue las siguientes configuraciones en la sección "Options":Agregar la siguiente línea para reemplazar el banner de la versión DNS:
version "Secured DNS server";
Nota: para probar, ejecute el siguiente comando:
dig +short @localhost version.bind chaos txt
- Agregar la línea siguiente para restringir consultas recursivas a clientes de confianza:
allow-recursion { localhost; 192.168.0.0/24; };
Nota 1: Reemplace 192.168.0.0/24 con los segmentos internos confiables y la máscara de subred.
- Agregue la siguiente línea al ID del servidor de nombres:
server-id none;.
- Agregue la línea siguiente para restringir que el servidor DNS escuche interfaces específicas:
listen-on port 53 { 127.0.0.1; 192.168.1.1; };