BIND9: DNS 확인이 가끔(!) 오래 걸리거나 전혀 작동하지 않는 경우가 있습니다.

Question

추가 조사 결과 문제는 다음과 같습니다.

초기 설정은 두 개의 리피터로 구성됩니다.DNSSEC- 지원(GoogleDNS 8.8.8.8, 8.8.4.4) 및 일부 지원되지 않음(OpenDNS 208.67.222.222, 208.67.220.220). 다음 구성을 사용하여 DNSSEC가 완전히 활성화된 상태에서 BIND9를 실행하고 있습니다.

dnssec-enable      yes;
dnssec-validation  yes;
dnssec-lookaside   auto;

ㅏ)요청(A?)이 다음으로 전달될 때마다구글 DNS서버 my_server는 응답(A)을 수신하고 DNSSEC 쿼리(DS?)를 보내고 정답을 얻습니다. 해결이 완료되고 서명이 확인되며 모든 것이 순조롭게 진행되고 사건이 종료됩니다(위 참조,정상적인 상황).

비)요청(A?)이 다음으로 전달될 때마다오픈 DNS서버 my_server는 응답(A)을 받고 DNSSEC 쿼리(DS?)를 보냈으나 OpenDNS는 DNSSEC를 지원하지 않기 때문에 올바르게 응답하지 못했습니다. 따라서 BIND9는 syslog이를 지적 got insecure response하고 다른 곳에서 DNSSEC 유효성 검사를 받으려고 시도할 때 오류를 발생시킵니다 (위 참조,문제가 있는 사례).

나는 아직도 무슨 일이 일어났는지 완전히 이해하지 못하지만, 딸꾹질은 그때부터 시작된 것 같습니다. 이제 GoogleDNS 서버가 먼저 해당 A? 쿼리를 제공하지 않고 DS에 답변을 제공하는 것을 좋아하지 않는지 궁금합니다. 그러나 문제가 있는 두 가지 경우(sueddeutsche.net, dasoertliche.de)에서도 항목이 올바르게 서명되지 않은 것으로 나타나므로 DNSSEC가 올바른 유효성 검사를 생성할 수 없습니다. 그래서 DNSSEC 대체 유효성 검사(DLV)가 시작되었지만( Type32769?) 모든 것이 다시 중단되었습니다. 왜 그런지 모르겠어.

c) 해결책:결국 저는 다음을 수행했지만 아직 아무런 문제도 발생하지 않았습니다(그래서 문제가 해결된 것 같습니다).

먼저 중계기를 다음으로 전환했습니다.

forwarders         { 8.8.8.8; 8.8.4.4; };

이로 인해 더 이상 DNSSEC 지원이 혼동되지 않습니다. 두 번째로 댓글을 달았습니다.

//dnssec-lookaside   auto;

많은 tcpdump를 조사한 후에는 구문 분석이 느려질 때마다 GoogleDNS가 응답을 반환하는 데 시간이 걸리거나(거의 발생하지 않음) DLV 중에 꽤 자주 발생하여 지연이 발생하는 것으로 보입니다. DLV는 현재 단계적으로 폐지되고 있으므로 2017년에는 더 이상 항목을 사용할 수 없습니다.

https://www.isc.org/blogs/dlv/

나는 이것이 보안 관점에서 허용 가능하다고 생각합니다.

이제 또 다른 해결책은 GoogleDNS 서버를 버리고 OpenDNS를 전달자로 사용하는 것입니다. 그러나 위에서 언급한 모든 dnssec 항목을 주석 처리하여 DNSSEC를 완전히 비활성화해야 했습니다. OpenDNS가 이를 지원하지 않기 때문입니다. 이로 인해 내 DNS 쿼리가 취약해지며, 예를 들어 dnscryptRui F Ribeiro가 언급한 것처럼 대체 보안 계층을 추가해야 합니다 . 이것은 가치 있는 프로젝트처럼 보이지만(DNS 트래픽을 완전히 암호화하여 그대로 유지될 뿐만 아니라 공격자가 읽을 수 없기 때문에) 현재 시간 예산에서 약간 벗어났습니다.

위의 설명이 타당하다면 기꺼이 동참할 DNS 전문가가 있습니까?

Answer 1