Sécuriser la récursion DNS sur BIND

Par defaut, BIND accepte de répondre à toutes les demandes de résolution. Ceci est la récursion et peut être une faille de sécurité.

Lorsque vous hébergez des domaines publique .fr, le zonecheck de l’afnic peut vous avertir que votre serveur dns est récursif.

Si vous avez des serveurs dns publiques et d’ autres serveurs dns qui font des requêtes sur ces serveurs, vous pouvez ajouter ces lignes dans le fichier de configuration de bind des serveurs publiques - named.conf :

//ACL

acl "internal" {
   192.168.0.1; 192.168.0.2};  //192.168.0.1 et .2 sont le dns privés

//OPTIONS

options {
   allow-recursion { "internal"; };

De cette manière, les serveurs membre de l’access-list "internal" auront le droit d’ effectuer des requêtes sur les serveurs DNS publiques.

Si vous voulez donner des autorisations à un réseau, il vous suffi d’ ajouter dans l’acl ‘internal" chaque réseau de cette manière :

acl "internal" {
   192.168.0.1; 192.168.0.2; 192.168.1.0/24

};