DNS Weiterleitung auf ISP DNS-Server Security Frage

[bits 10]

Hallo Leutz :)

 

Lerne gerade für die 70-293. Mache mir hier so meine Gedanken betreffend der Sicherheit des DNS-Servers.

 

Ich selbst betreibe einen 2K3 Server mit einem DNS-Server, der Internetdomänennamen vià Weiterleitung auf den DNS-Servern des ISPs, auflöst.

 

Die Clients haben alle nur den DNS-Eintrag des 2K3 Servers.

 

Oke, nun, da der 2K3 Server nur zB. http://www.12345544.ch Anfragen an die DNS-Server des

ISP's weiterleitet, gibts da Sicherheitsbedenken??? :suspect:

 

Ich denke zwar nicht.. :suspect: Könnte zwar noch bei der Firewall die IP's der DNS-Server meines ISPs

beschränken. :cry:

 

Danke schon jetzt für nen Tip...

[IThome 10]

Du könntest auf der Firewall Filter definieren, die nur dem internen DNS-Server den Zugriff auf die IPs der externen DNS-Server erlaubt. Dann aber solltest Du "Keine Rekursion für diese Domäne" anhaken.

So müssen die Clients zwangsweise den internen DNS-Server benutzen. Ein positiver Nebeneffekt ist, dass Fehlkonfigurationen ziemlich schnell auffallen (wenn die Leute auf einmal nicht mehr im Internet surfen können) ...

[bits 10]

Okey... Danke für den TIP! :) Werd ich einrichten..

 

Falls ich es so lassen würde. Was für Risiken wären da?? Rein informativ... :suspect:

[IThome 10]

Jeder Client könnte sich jeden DNS-Server eintragen und würde von sich aus die Namen auflösen (in einer Active Directory Domäne nicht so gut). Risiken, naja, je mehr Tore offen sind, desto grösser ist die Wahrscheinlichkeit ... obwohl mir eigentlich mehr Attacken auf DNS-Server bekannt sind ...

[XP-Fan 220]

Hallo zusammen,

 

Jeder Client könnte sich jeden DNS-Server eintragen und würde von sich aus die Namen auflösen

 

das habe ich so in der Art erlebt, Trojaner welche den DNS des Client

umbiegen und somit auf gezielt falsche Webseiten redirecten um Exploits unterzuschieben.

Diese Webseiten sehen annähernd echt aus und der User bekommt nichtsagende

Fehlermeldungen wenn gewisse Funktionen auf den Webseiten aufgerufen werden sollen.

 

In diesem Kontext macht es schon Sinn DNS Anfragen an der Firewall zu kontrollieren

und einzuschränken.

[IThome 10]

Okay, da habe ich jetzt nicht dran gedacht, danke ... :)

[bits 10]

Yöp, demfall werde ich die Firewall anpassen.. :)