Zakładając, że chcesz utworzyć poddomenę, która wskazuje na prywatną lokalizację (być może lokalizację bazy danych lub adres IP komputera, na który nie chcesz, aby ludzie próbowali połączyć się z SSH), więc dodajesz rekord DNS o nazwie coś lubię to:
private-AGhR9xJPF4.example.com
Czy byłoby to „ukryte” dla wszystkich oprócz tych, którzy znają dokładny URI subdoman? A może jest jakiś sposób na „wylistowanie” wszystkich zarejestrowanych subdomen danej domeny?
domain-name-system
security
subdomain
IQAndreas
źródło
źródło
Odpowiedzi:
Czy istnieje jakiś rodzaj zapytania o „listę subdomen” dla DNS?
Nie ma zapytania do tego konkretnego celu, ale istnieje kilka metod pośrednich.
AXFR). Większość operatorów serwerów blokuje transfery stref do określonych adresów IP, aby zapobiec szpiegowaniu stron niepowiązanych.NSECmożna użyć żądań iteracyjnych do przejścia do strefy .NSEC3został wdrożony w celu zwiększenia intensywności obliczeniowej chodzenia po strefie.Istnieje również sztuczka, która pozwoli komuś wiedzieć, czy istnieje dowolna subdomena.
W powyższym przykładzie
wwwleży wewnątrzsub. Zapytanie osub.example.com IN Anie zwróci sekcji ODPOWIEDŹ, ale kodem wyniku będzie NERROR zamiast NXDOMAIN, zdradzając istnienie rekordów w dalszej części drzewa. (tylko nie to, jak te rekordy się nazywają)Czy należy kiedykolwiek powoływać się na poufność zapisów DNS?
Nie . Jedynym sposobem na niezawodne ukrycie danych przed klientem jest upewnienie się, że nigdy nie będzie w stanie uzyskać danych od samego początku. Załóżmy, że istnienie twoich rekordów DNS zostanie rozpowszechnione wśród każdego, kto ma do nich dostęp, albo ustnie, albo obserwując pakiety.
Jeśli próbujesz ukryć rekordy przed routowalnym klientem DNS, You're Doing It Wrong ™ . Upewnij się, że dane są narażone tylko na środowiska, które ich potrzebują. (tj. używaj prywatnych domen z prywatnymi adresami IP) Nawet jeśli masz taki podział, załóż, że wiedza o adresach IP i tak zostanie rozpowszechniona.
Bezpieczeństwo powinno koncentrować się na tym, co się stanie, gdy ktoś otrzyma adres IP, ponieważ tak się stanie.
Wiem, że lista powodów, dla których tajemnica adresu IP jest spełnieniem marzeń, mogłaby zostać rozszerzona. Skanowanie IP, inżynieria społeczna ... lista jest nieskończona i koncentruję się głównie na aspektach protokołu DNS tego pytania. Pod koniec dnia wszystko spada pod tym samym parasolem: ktoś dostanie twój adres IP .
źródło
To zależy.
Odpowiedź Andrew B. jest natychmiastowa, gdy rejestrujesz subdomenę w publicznej strefie DNS, w której znajdują się również rekordy MX Twojej firmy i publiczna strona internetowa.
Większość firm miałaby wewnętrzny serwer DNS, niedostępny publicznie, w którym rejestrowałbyś nazwy hostów dla swoich ( tajnych ) hostów.
Zalecaną metodą jest zarejestrowanie dedykowanej domeny do użytku wewnętrznego lub alternatywnie utworzenie subdomeny w domenie podstawowej do użytku wewnętrznego.
Ale technicznie używasz również swojej domeny podstawowej, tworząc wewnętrzny widok w domenie, w którym w zależności od pochodzenia klienta DNS będzie widoczna alternatywna wersja strefy DNS.
źródło