DNS で管理ﾄﾞﾒｲﾝへのｿﾞｰﾝﾌｧｲﾙ問い合わせを拒否してた(^^;[ｲﾝﾀｰﾈｯﾄなこと]
(2016-11-16 11:25:48) by shinoda
< ﾍﾟｰｼﾞ移動: 1 2 >
うちで管理しているﾄﾞﾒｲﾝの ｽﾚｰﾌﾞ DNS をしているｻｰﾊﾞに､
Nov 16 09:17:52 dns2 named[10**]: client 210.130.***.***#47601: query 'exsample.com/MX/IN' denied
Nov 16 09:17:54 dns2 named[10**]: client 114.111.***.***#47670: query 'hoge.exsample.com/A/IN' denied
みたいなﾒｯｾｰｼﾞが山ほど出てるんでなんだ?と思ったんだけど､ｵｰﾌﾟﾝﾘｿﾞﾙﾊﾞ対策で named.conf を触った時の設定ﾐｽであった(^^;
この間､ｽﾚｰﾌﾞ DNS ｻｰﾊﾞを切り替えたのよ｡その時から出てたってことか(^^;
まあ､特に外部からの Web やﾒｰﾙｻｰﾊﾞへのｱｸｾｽには影響は出てないけど｡
大量のﾛｸﾞが出ているものをほってもおけないので named.conf の修正｡
要は､
options {
directory "/usr/local/etc/namedb";
pid-file "/usr/local/etc/namedb/run/named.pid";
allow-transfer {
none ;
};
allow-query {
localhost;
my-network;
};
allow-query-cache {
localhost;
my-network;
};
};
という具合に query の受付を localhost と my-network で登録した IP からのみに絞ってるのに､自社管理ﾄﾞﾒｲﾝのｻｲﾄのｿﾞｰﾝﾌｧｲﾙに関する問い合わせに対してもその設定をそのまま適用しているのがまずい｡
拒否したいのは｢他社管理ﾄﾞﾒｲﾝへの問い合わせ｣のみ｡DDoS 攻撃の踏み台にされないようにね｡自社管理ﾄﾞﾒｲﾝへの問い合わせまで拒否してちゃまずいやろう(^^;
というわけで対応｡
例えば､
zone "exsample.com" in {
type slave;
file "s/exsample.com.zone.bak";
masters {
***.***.***.107;
};
allow-query { any ; };
};
のように､allow-query { any ; }; を設定に加えてやれば良いだけ｡
以上の設定を行って named 再起動でﾒｯｾｰｼﾞの出力は止まった｡
一応､JPCERT/CC が公開してくれている
ｵｰﾌﾟﾝﾘｿﾞﾙﾊﾞ確認ｻｲﾄ
でｵｰﾌﾟﾝﾘｿﾞﾙﾊﾞ状態になってないか確認｡
このｻｲﾄは､ｱｸｾｽしたﾎｽﾄが設定している DNS と､自身の IP に対してﾁｪｯｸが行われるので､ssh 接続した Linux ｻｰﾊﾞ上などからﾁｪｯｸするには､ｺﾏﾝﾄﾞﾗｲﾝからこのｻｲﾄに http でｱｸｾｽする必要がある｡
wget などを使って､
$ wget -qO - http://www.openresolver.jp/cli/check.html
みたいな感じで｡