Dit UPM Administración DNS Tomás P. de Miguel Dpto. de Ingeniería de Sistemas Telemáticos Universidad Politécnica de Madrid.

Presentación del tema: "Dit UPM Administración DNS Tomás P. de Miguel Dpto. de Ingeniería de Sistemas Telemáticos Universidad Politécnica de Madrid."— Transcripción de la presentación:

1 dit UPM Administración DNS Tomás P. de Miguel Dpto. de Ingeniería de Sistemas Telemáticos Universidad Politécnica de Madrid

2 dit UPM 2 (Feb 2000) Administración de DNS Índice uDefinición del servicio uConfiguración de un cliente uConfiguración de un servidor uArquitecturas de servicios de nombres uAdministración de dominios uFacilidades avanzadas uAspectos de seguridad

3 dit UPM 3 (Feb 2000) Administración de DNS Servicio de nombres uDNS (Domain Name Server) (RFC1034, RFC1035) uEstablece una correspondencia entre nombres y direcciones IP. uConsiste en una base de datos distribuida por toda la Internet.  se gestiona de forma descentralizada  el esquema de distribución es jerárquico  fácil de usar en las aplicaciones (gethostbyname())  espacio de nombres es global uAlmacena información adicional  se puede utilizar para otros fines  almacenamiento de características de máquinas  configuración de servicios

4 dit UPM 4 (Feb 2000) Administración de DNS Modelo de información uJerárquico en árbol invertido uBase de datos de información de dominios (DIB) mil edu gov int com net org us es jp uk ole upm dit etsit sanson jungla cisco sun nsf ac www ftp isoc

5 dit UPM 5 (Feb 2000) Administración de DNS Registros de recursos uRegistro de recursos (RR)  información asociada a cada nodo uRR: es una tupla  Owner nombre de dominio, propietario del RR  Type tipo de recurso AIP address MXMail eXchanger NSName Server CNAMECanonical Name HINFOHost description PTRPointer (alias de un dominio) SOAStart of a zone of authority

6 dit UPM 6 (Feb 2000) Administración de DNS Registros de recursos  Class identifica a una familia de protocolos (IN en Internet)  TTL time to live, cuánto tiempo un RR puede estar en la copia caché antes de ser descartado  Value datos, depende del tipo de RR ADirección IP de 32 bits MXPreferencia + nombre de dominio NSNombre de dominio (sistema) CNAMENombre de dominio HINFOMáquina, S.O. PTRNombre de dominio SOAVarios campos

7 dit UPM 7 (Feb 2000) Administración de DNS Resolución de nombres Resolver TCP/IP Servidor de nombres DIB Aplicación cliente 1 2 4 Otrosservidores Máquina cliente Máquina servidor 3

8 dit UPM 8 (Feb 2000) Administración de DNS Configuración y administración uConfiguración de los clientes  resolver  En las aplicaciones  En el sistema gethostbyname() como un gancho en el núcleo como un proceso en el sistema uConfiguración de un dominio  Delegado en otro dominio  Dominio en un solo servidor  Dominio en varios servidores arquitectura de la base de datos distribuida

9 dit UPM 9 (Feb 2000) Administración de DNS Versiones uUNIX  BIND 4  BIND 4.9  BIND 8 uWindows 95 y Windows 98  solo resolver uWindows NT y Windows 2000  resolver  servidor de nombres dominios sencillos incorpora opciones avanzadas

10 dit UPM 10 (Feb 2000) Administración de DNS Configuración del cliente uConfigurando el resolver se configuran todas las aplicaciones  gethostbyname() uOrden de traducción de nombres  UNIX (host.conf, nsswitch.conf) /etc/hosts Páginas amarillas NIS DNS  Windows LMHOSTS WINS DNS

11 dit UPM 11 (Feb 2000) Administración de DNS Configuración de DNS uConsiste en configurar el resolver local de la máquina uEn UNIX está en /etc/resolv.conf  domain  search  nameserver  sortlist  options uTodas las aplicaciones se comportan igual

12 dit UPM 12 (Feb 2000) Administración de DNS Definición de dominio uPara indicar el dominio por defecto  En.rhosts (dominio mark)  En hostname (lince.dit.upm.es) uEn el resolver  domain dit.upm.es uSi no se indica ninguno se obtiene de la configuración general del sistema

13 dit UPM 13 (Feb 2000) Administración de DNS Lista de búsqueda uSirve para facilitar la búsqueda de un nombre. uSimplifica la identificación de una máquina:  lince  lince.dit.upm.es. uEl dominio por defecto determina la lista de búsqueda por defecto.  Sin punto se añade el dominio por defecto  Con punto: primero se busca sin dominio si falla se añade el dominio por defecto uLa lista de búsqueda permite buscar en mas de un dominio  search dit.upm.es lab.dit.upm.es

14 dit UPM 14 (Feb 2000) Administración de DNS Servidor de nombres uEl resolver inicia las búsquedas conectando con el servidor de nombres local. uComo no es necesario tener un servidor de nombres en todas las máquinas se debe seleccionar uno.  nameserver 138.4.2.10 uCuando falla el acceso al servidor no se vuelve a buscar en /etc/hosts uEl resolver siempre busca en el mismo orden

15 dit UPM 15 (Feb 2000) Administración de DNS Elegir entre varias respuestas uSi la respuesta a una petición contiene varios alternativas se puede indicar cual es la preferida usortlist 138.4.2.0/255.255.255.192 usortlist 138.4.0.0 usortlist 138.4.2.0/255.255.255.0 138.4.22.0/255.255.255.0

16 dit UPM Ejemplos Configuración de resolvers

17 dit UPM nslookup utilizando el servicio DNS

18 dit UPM 18 (Feb 2000) Administración de DNS nslookup uHerramienta para consultar DNS  dig  host unslookup es la más extendida. uSe puede probar el comportamiento del resolver o el de cualquier servidor. uSolo habla con un servidor cada vez, mientras que el resolver puede dialogar con varios.

19 dit UPM 19 (Feb 2000) Administración de DNS Servidor uSiempre se trabaja con un único servidor. uSe utiliza por defecto el primero que se indica en la configuración del resolver. uAjusta los mismos plazos de espera del traductor. uNo trata de optimizar plazos. uEn esta herramienta lo importante es la respuesta no el tiempo empleado en conseguirla.

20 dit UPM 20 (Feb 2000) Administración de DNS Opciones uDepuración  debug y d2 uConsiderar un dominio por defecto  defname, domain o nosearch uRealizar peticiones recursivas  recurse uIgnorar paquetes erróneos  por defecto intenta resolver el problema utilizando TCP uUtilizar otro puerto  port uMuestra diferentes tipos de recursos  querytype, class uConfiguración de plazos y repeticiones  tiemout, retry

21 dit UPM Ejemplos Buscando información con nslookup

22 dit UPM Administración de un servidor DNS

23 dit UPM 23 (Feb 2000) Administración de DNS Tipos de acceso a Internet uSin ningún tipo de acceso  se pueden utilizar dominios inventados uAcceso completo  hay que estar registrado en un dominio público  conectado con el resto de la BD mundial uAcceso limitado por un corta-fuegos  se puede operar con una parte pública y otra privada

24 dit UPM 24 (Feb 2000) Administración de DNS Configuración de un servidor uEscribir la tabla de máquinas uTraducir la tabla de máquinas a ficheros de configuración DNS uDefinir la arquitectura local  un servidor primario  varios secundarios (esclavos)  forwarders (cache) uConfigurar el servicio named uProbar la configuración con nslookup

25 dit UPM 25 (Feb 2000) Administración de DNS Tabla de máquinas uFichero /etc/hosts uPuede incluir máquinas en una o varias redes uLa tabla de máquinas incluye: 127.0.0.1localhostlocalhost.localdomain 138.4.2.9itaca fax news nisitaca.dit.upm.es 138.4.2.9mailmail.dit.upm.es 138.4.2.10sanson dnssanson.dit.upm.es 138.4.2.13yeti dns2yeti.dit.upm.es 138.4.2.13mail2mail2.dit.upm.es 138.4.2.60loro www ftp proxy horaloro.dit.upm.es 138.4.3.171lincelince.dit.upm.es 138.4.23.170cajoncajon.dit.upm.es

26 dit UPM 26 (Feb 2000) Administración de DNS Traducción de la Tabla de Máquinas uDNS se compone de varios ficheros  conversión de nombres a direcciones  conversión de direcciones a nombres (reverse mapping)  Otros ficheros redundantes: db.cache y db.127.0.0 uCada red tiene una resolución inversa uPor convenio se utilizan los siguientes nombres  Conversión de nombres a direcciones: db.DOMINIO  Conversión de dirección a nombre: db.DIRECCION-RED uLos nombres se indican en el fichero de configuración  /etc/named.boot (para BIND 4)  /etc/named.conf (para BIND 8)

27 dit UPM 27 (Feb 2000) Administración de DNS Generación de ficheros DNS uSe puede hacer a mano, pero es peligroso si hay muchas máquinas y muchas redes uEn Windows NT se hace a través de menús  muy lento si hay que administrar muchas redes  no está conectado con otros servicios uHay muchas utilidades en UNIX para traducir los nombres de una BD local a la de DNS

28 dit UPM 28 (Feb 2000) Administración de DNS Ficheros de registros uEn UNIX  dos formatos parecidos BIND 4 BIND 8 src/bin/named/named-bootconf.pl (pasa de 4 a 8)  ficheros textuales donde no se distingue entre mayúsculas y minúsculas uEn Windows  Se introducen los datos por menus  Se registran en el Fichero oculto de Registros  Es posible volcar el fichero de registros a un fichero de texto  También se pueden añadir ficheros de texto al registro de Windows.

29 dit UPM 29 (Feb 2000) Administración de DNS Ficheros de registros uSe componen de Registros de Recursos uFormato parcialmente libre  un registro por línea uTipos de registros  SOAindica la autoridad de la zona  NSindica un servidor de nombres de la zona  Aconversión nombre a dirección  PTRconversión dirección a nombre  CNAMEnombre canónicos (ALIAS)  comentarios ; es un comentario en v4 /* es u comentario en v8 */ // y este también # y este también

30 dit UPM 30 (Feb 2000) Administración de DNS Configuración del servidor uDirectorio con los ficheros de datos  directory /usr/local/named  options { directory “/usr/local/named”; }; uServidor maestro primario  contiene una linea por cada fichero de datos  cada línea tiene tres campos: primary (en la primera columna) el nombre de dominio nombre de fichero

31 dit UPM 31 (Feb 2000) Administración de DNS Abreviaturas uEl nombre del servidor primario se añade a todos los nombres no completos (que no terminan en.) lince.dit.upm.es.IN A 138.4.3.171 linceIN A138.4.3.171 171.3.4.138.in-addr.arpaIN PTR lince.dit.upm.es. 171IN PTR lince.dit.upm.es. uNo olvidar el “.” en los nombres completos  lince.dit.upm.esIN A 138.4.3.171  equivale a lince dit.upm.es.dit.upm.es.

32 dit UPM 32 (Feb 2000) Administración de DNS Abreviaturas de nombres uEl nombre de dominio se puede reducir  dit.upm.es.  @ uSe puede asumir en nombre anterior  selvaIN A138.4.2.7  IN A138.4.22.1 uLos nombres no pueden incluir el _  Solo se puede utilizar en las direcciones de correo

33 dit UPM 33 (Feb 2000) Administración de DNS Servidor de nombres secundario uEs necesario tener al menos un servidor de nombres esclavo del primario uMuchas veces hay mas de dos. uSirve además para repartir carga uDiferencias  el primario tiene la información local  el esclavo la coge por la red (zone transfer) uComo el loopback y la cache son iguales se pueden copiar a mano.

34 dit UPM 34 (Feb 2000) Administración de DNS Configuración del correo uLa Tabla de Máquinas solo sirve para dar nombres a las máquinas. uDNS permite encaminar el correo electrónico. uDNS ofrece la posibilidad de indicar servidores de correo alternativos uEl registro MX sirve para indicar el servidor para  procesar el correo  distribuir correo uOriginalmente estaba dividido en dos, MD y MF.

35 dit UPM 35 (Feb 2000) Administración de DNS Servidores de correo uSe puede especificar mas de un servidor de correo uPara evitar bucles se añade un parámetro que es la preferencia, que indica la prioridad de cada servidor. udit.upm.es. IN MX 10 mail.dit.upm.es. uCuando se dan varios se ordenan por prioridad y se evalúan en ese mismo orden: selvaINA138.4.22.1 INMX 0mail.dit.upm.es. INMX 10mail2.dit.upm.es. INMX100selva.dit.upm.es. uSe pueden dar valores de 0 a 65535 uEs recomendable indicar un registro MX para cada máquina

36 dit UPM 36 (Feb 2000) Administración de DNS Características de un servidor de correo uTamaño  para manejar todo el correo  para encolarlo si es necesario uDisponible  en funcionamiento la mayor parte del tiempo uConectividad  bien conectado con los demás servidores uGestión y administración  manteniendo la privacidad  que no pierde mensajes cuando se producen fallos  consigue una velocidad de entrega

37 dit UPM 37 (Feb 2000) Administración de DNS Algoritmo de entrega de mensajes uSe busca el servidor adecuado con mas prioridad y se entrega el mensaje a ese. uSi no está disponible se busca el siguiente en función del orden de prioridad. uSe deben usar siempre nombres canónicos.  muchos intercambiadores de correo no miran los alias (CNAME)

38 dit UPM 38 (Feb 2000) Administración de DNS Entrega de mensajes uCuando se alcanza una máquina con baja prioridad  se descartan los servidores con igual o mayor prioridad  se intenta mandar el mensaje al de prioridad mas baja  si falla se encola y se prueba mas tarde. uSi al intentar enviarlo se encuentra a si mismo  da un error y devuelve el mensaje  se puede configurar el sendmail para evitarlo

39 dit UPM Ejemplos Configuración de servidores

40 dit UPM Mantenimiento de un servidor DNS

41 dit UPM 41 (Feb 2000) Administración de DNS Añadir y quitar máquinas uActualizar siempre el primario  si se actualiza el secundario se pierde el cambio con la siguiente actualización uFichero db.DOMINIO  Actualizar el número de serie  Añadir los registros: A, CNAME, MX uFichero db.DIRECCION  Actualizar el número de serie  Añadir los registros: PTR uRelanzar el servidor de nombres  kill -HUP `cat /etc/named.pid`

42 dit UPM 42 (Feb 2000) Administración de DNS Trazas de funcionamiento uDurante la operación se generan trazas de funcionamiento uComo mínimo se deben volcar los errores uSe suele enviar la información al syslog uHay dos categorías de mensajes  estadísticas  peticiones uHay dos canales donde enviar la información  syslog (estadísticas)  fichero de log (estadísticas y peticiones)

43 dit UPM 43 (Feb 2000) Administración de DNS Trazas de funcionamiento uHay diferentes tipos de mensajes  critical  error  warning  notice  info  debug nivel  dynamic uEn BIND 8 es fácil definirlo logging { channel mi_syslog { syslog daemon; severity info; }; channel mi_fich { file “log.mens”; severity dynamic; }; category statistics {mi_syslog; mi_fich;} category queries {mi_fich;} };

44 dit UPM 44 (Feb 2000) Administración de DNS Arquitecturas de DNS uCuantos servidores se deben instalar  Como mínimo un primario  Un secundario directamente conectado a cada subred asociarlos a los servidores de ficheros  Poner un secundario fuera de las redes del dominio uFactores a tener en cuenta  conectividad  versiones de software  homogeneidad  seguridad

45 dit UPM 45 (Feb 2000) Administración de DNS Servidores muy cargados uSi un servidor recibe muchas peticiones puede ser necesario  replicarlo en varios procesos (BIND 4)  limitar la carga que admite (BIND 4.9) uLas transferencias de zonas suponen muchos mensajes de DNS sobre conexiones TCP.  Los sistemas tradicionales solo ponen un registro en cada mensaje DNS.

46 dit UPM 46 (Feb 2000) Administración de DNS Acciones para reducir la carga ulimitar las transferencias iniciadas con un servidor  no traer todas las BD de golpe sino poco a poco ulimitar el número total de zonas a transferir  transferencias por servidor *  número de servidores ulimitar la duración de una transferencia de zona  por defecto son 2 horas  después de ese tiempo se considera que el servidor ha muerto utransferencias de zona mas eficientes  se pueden poner varios registros en un mensaje DNS

47 dit UPM 47 (Feb 2000) Administración de DNS Recursos limitados uLimitando el tamaño del segmento de datos  limitar el tamaño del proceso antes de que se pare. uLimitando el tamaño de la pila uLimitando el tamaño del proceso uLimitando el número de ficheros abiertos  ficheros que el proceso puede abrir simultáneamente

48 dit UPM 48 (Feb 2000) Administración de DNS Como aumentar la capacidad uAñadiendo mas servidores primarios maestros uAumentando los intervalos de refresco para que los secundarios no tengan que sondear con mucha frecuencia. uCargar unos secundarios de otros uCrear servidores cache uCrear servidores secundarios parciales

49 dit UPM 49 (Feb 2000) Administración de DNS Cuando añadir un subdominio uCuando es necesario delegar o distribuir la gestión entre varios grupos (organizaciones) uCuando el tamaño del dominio es muy grande  al dividirlo se simplifica la gestión  se reduce la carga en el servidor uCuando es necesario distinguir las máquinas dentro de una organización por grupos

50 dit UPM 50 (Feb 2000) Administración de DNS Como nombrar subdominios uElegir nombres que no sean susceptibles de cambios frecuentes uSi los nombres de la organización no son estables usar nombres geográficos uNo sacrificar la legibilidad uUtilizar nombres obvios uNo utilizar nombres de dominios existentes a nivel mundial

51 dit UPM 51 (Feb 2000) Administración de DNS Mantenimiento uBorrar entradas obsoletas  periódicamente se revisa la cache y se eliminan las entradas obsoletas  BIND 8 consume menos disco que BIND 4 donde no se limpia uIntervalo de inspección de interfaces  para que el servidor atienda por todas las interfaces aunque estas se activen y desactiven. uIntervalo entre estadísticas  plazo para volcar estadísticas  para no entorpecer el funcionamiento normal

52 dit UPM 52 (Feb 2000) Administración de DNS Máquinas con varias interfaces uLa mayoría de los servicios mejoran si se accede a la interfaz correcta uSi se accede al nombre (selva) se puede elegir la interfaz no deseada uSe puede dar nombre a las interfaces físicas. selva red 10 red 20red 30 selva10 selva20selva30

53 dit UPM 53 (Feb 2000) Administración de DNS Ordenación de respuestas uSi una máquina pregunta por otra de su misma red, se ordena la respuesta para que la dirección de esa red aparezca la primera. uSi la máquina que pide la dirección es de otra red no conectada directamente a ninguna de las interfaces  no se ordena la lista  se puede forzar en la configuración una ordenación sortlist 10.0.0.0 esto solo funciona con redes, no subredes se puede indicar varias redes en la lista uSe puede ordenar los servidores

54 dit UPM 54 (Feb 2000) Administración de DNS Forwarders uCuando un sitio tiene una conexión de baja capacidad con Internet uInteresa minimizar al máximo las peticiones fuera y mantener una cache local Forwarder Servidor buscado Servidor local Clientes

55 dit UPM 55 (Feb 2000) Administración de DNS Configuración uLos clientes no tienen nada especial uLos servidores locales deben saber que existe uno o mas forwarders  options { 138.4.2.10; 138.4.3.130; };  forwarders 138.4.2.10 138.4.3.130 uSe puede restringir la configuración aun mas  options { 138.4.2.10; 138.4.3.130; }; forward-only;  forwarders 138.4.2.10 138.4.3.130 slave

56 dit UPM 56 (Feb 2000) Administración de DNS Servidor en grupo uCuando un servicio de Internet se da con mas de una máquina uAyudar a repartir carga entre servidores espejo uVersiones antiguas  Un registro especial: Shuffle Address Record uVersiones modernas (4.9)  varios registros A www.foo.com.60INA192.1.1.1 www.foo.com.60INA192.1.1.2 www.foo.com.60INA192.1.1.3  va rotando las direcciones en las respuestas

57 dit UPM 57 (Feb 2000) Administración de DNS DNS y páginas amarillas uEl orden de búsqueda es el siguiente  /etc/hosts  NIS  DNS uIgnorar NIS  mv /etc/hosts /etc/hosts.tmp  touch /etc/hosts  (cd /var/yp; make)  mv /etc/hosts.tmp /etc/hosts uEn Linux se puede establecer un orden cualquiera  /etc/host.conf  /etc/nsswitch.conf

58 dit UPM 58 (Feb 2000) Administración de DNS DNS y Windows 95 uSe puede configurar el resolver local  Dial-up networking  TCP/IP settings uEl orden de búsqueda es  LMHOSTS  WINS  DNS uSe puede indicar  el nombre de la máquina  los servidores en los que buscar  dominios en los que buscar

59 dit UPM 59 (Feb 2000) Administración de DNS Notificaciones de cambio uLos esclavos se actualizan periódicamente (refresh time) uCuando se efectúa un cambio en el primario no se percibe hasta que vence el plazo de actualización uDNS NOTIFY (RFC 1996)  el primario envía una petición NOTIFY a los esclavos  el esclavo asiente NOTIFY  el esclavo hace como se el periodo de actualización hubiera vencido  solo si el número de serie ha aumentado se transfiere la zona

60 dit UPM 60 (Feb 2000) Administración de DNS Configuración uEstá configurado por defecto uEl servidor DNS para NT dispone de esta facilidad uNo siempre se desea que este activada  options { notify no; };  de esa forma un esclavo no notifica a otro en cascada  si se tienen esclavo con BIND 4 es mejor no notificar  se notifica a todos los servidores NS

61 dit UPM 61 (Feb 2000) Administración de DNS Configuración explícita uSe pueden añadir máquinas a mano zone “acmebw.com” { type master; file “acmebd.com.db”; notify yes; also-notify 15.255.152.4; };

62 dit UPM 62 (Feb 2000) Administración de DNS Movilidad uSe desea que la misma máquina se pueda conectar a varias redes uSe puede utilizar DHCP para asignar número de IP al cliente uPero hay que actualizar la BD de DNS uActualización dinámica (RFC 2136) uHay que actualizarlo en el servidor zone “acmebw.com” { type master; file “acmebw.com.db”; allow_update { 192.168.0.1; }; };

63 dit UPM 63 (Feb 2000) Administración de DNS Actualización dinámica uPor línea de comandos (nsupdate) o por programa uEstablecer prerequisitos antes de actualizar  prereg yxrrset domain name type [rdata]  prereg nxrrset  prereg yxdomain domain name  prereg nxdomain uActualizar la base de datos  update delete domain name [type][name]  update add domain name ttl [class] type rdata

64 dit UPM 64 (Feb 2000) Administración de DNS Ejemplos uAñadir una máquina  nsupdate  prereg nxdomain dit.upm.es.  update add lince.dit.upm.es 333 in a 138.4.23.58 uSi una máquina tiene MX borrarlo y poner otros dos en su lugar  nsupdate  prereg yxrrset yeti.dit.upm.es. in mx  update delete yeti.dit.upm.es. In mx  update add yeti.dit.upm.es. In mx 10 yeti.dit.upm.es.  Update add yeti.dit.upm.es. In mx 50 selva.dit.upm.es.

65 dit UPM 65 (Feb 2000) Administración de DNS Aspectos de seguridad uLa mayoría de los aspectos de seguridad no son necesarios en corporaciones uA quien contestar uA quien ofrecer la notificación de cambios uA quien permitir que se actualice dinámicamente

66 dit UPM 66 (Feb 2000) Administración de DNS Seguridad uProtegerse contra ataques maliciosos  utilizar versiones modernas protegidas uLimitar las peticiones  dando una lista de acceso uEvitar transferencias no autorizadas uNo ejecutar el servidor como root

67 dit UPM 67 (Feb 2000) Administración de DNS Limitar las peticiones uRechazar el acceso a la información uofrecer nombres solo al grupo local uoptions { allow-query { lista_de_acceso }; }; options { allow-query { 138.4.1.0/6; 138.4.2.64/6; } };

68 dit UPM 68 (Feb 2000) Administración de DNS Limitar las peticiones por zonas uSe puede limitar la información por zonas zone “hp.com” { type slave; file “db.hp”; masters { 15.255.152.2; }; allow-query { “HP-NET”; }; }; uEn BIND 4.9 se utiliza el registro secure_zone  limita las transferencias de zona además de las peticiones  secure_zone IN TXT “138.4.23.0:255.255.255.0”  secure_zone IN TXT “138.4.2.0:255.255.255.192”  secure_zone IN TXT “127.0.0.1:H”

69 dit UPM 69 (Feb 2000) Administración de DNS Limitar las transferencias de zonas uAsegurar que solo los servidores esclavos pueden transferir la zona uConfiguración  allow-transfer (BIND 8)  xfrnets (BIND 4.9) uConfiguración del primario  indicar las máquinas autorizadas uConfiguración del esclavo  prohibir la transferencia totalmente

70 dit UPM 70 (Feb 2000) Administración de DNS Ejemplo (BIND 8) uprimario zone “acmebw.com” { type master; file “db.acmebw”; allow-transfer {192.168.0.1; 192.168.1.1; }; }; uesclavo zone “acmebw.com” { type slave; masters { 192.168.0.4; }; allow-transfer { none; }; };

71 dit UPM 71 (Feb 2000) Administración de DNS Reglas de seguridad uEvitar las peticiones recursivas en los servidores de nombres delegados  para evitar el spoofing uNo se puede evitar la recursión en los forwarders  limitar las peticiones a un grupo  allow-query { 138.4/16; }; uRestringir la transferencia de zona a servidores conocidos