한국인터넷진흥원에서 메일을 받았습니다.
진흥원에서 BIND 보안 권고문 메일을 아래와 같이 받았습니다.
DNS서버의 Recursion query 서비스는 DDoS 공격에 악용될 수 있어, 네임서버 관리자는 Recursive query
서비스 대상을 신뢰된 호스트들로 제한시켜 피해를 최소화하는 사전 예방이 필요합니다.
조치방안은 아래와 같습니다.
□ 조치 방안
o DNS 관리자는 다음과 같은 보안권고 사항을 확인하여 DNS서버에 적용하도록 함
- Option 항목의 "allow-recursion" 지시어를 이용하여, Recursive query 서비스를 신뢰된
호스트들로 제한시킴
·신뢰할 수 있는 IP 대역이 192.168.1.0/24 일 경우, /etc/named.conf 에 아래와 같이 추가함
options {
acl trust { 192.168.1.0/24; };
allow-recursion { trust; };
};
- Option 항목의 "recursion" 지시어를 이용하여, Recursive query 서비스를 제공하지 않아도 될
경우 해당 서비스를 중지함
·/etc/named.conf 에 다음 아래와 같이 추가함.
options {
recursion no;
};
그래서, named.conf 에 아래 내용을 추가시켰습니다.
options {
acl trust { 192.168.1.0/24; };
allow-recursion { trust; };
};
위의 내용을 추가하고 재시작 했습니다.
그런데, 아래의 에러가 발생하더군요.
named (을)를 시작합니다:
Error in named configuration:
/etc/named.conf:18: 'options' redefined near 'options'
무언가 잘 못 된 것 같은데요..
named.conf 에 적용된 예시라도 알 수 있을까요?
에..
options 항목을 여러개 만들지 말고 기존의 설정파일 내에 있는 options 항목 내에 해당 내용인
acl trust { 192.168.1.0/24; };
allow-recursion { trust; };
를 추가해주세요. =_=
==
아 씨끄러 씨끄러~ 조용해!!
레드햇 9 이하 사용금지!
네..그런데...
그렇게도 해봤는데..
그래도 에러가 나더군요..
아 순간 낚였네요. -_-
아 놔 이 ㅂㅅ 진흥원놈들..-_-
별 생각없이 보고 있었더니 낚였네요.
진흥원ㅂㅅ들이 보낸 메일의 내용을 보시면
options {
acl trust { 192.168.1.0/24; };
allow-recursion { trust; };
};
이렇게 되어있죠?
이걸 이렇게 바꾸시면 됩니다.
acl trust {
192.168.1.0/24;
};
options {
allow-recursion { trust; };
};
그러니까 options 항목은 기존의 options 에 추가해 주시면 됩니다.
그리고 allow recursion에 대해서는 굳이 사용하지 않으신다면 안쓰시면 됩니다. -_-
굳이 저렇게 하기 귀찮으시면 다음과 같이 하면 됩니다.
재귀질의 거부:
options {
allow-recursion {none};
};
아까 우리가 설정했던 내용들, 특정 대역에만 허락하는 부분이죠? IP나 대역 리스트를 적고 ; 이후 한칸 띄우는 방식으로 구분을 해서 나열해주시면 됩니다.
options {
allow-recursion {127.0.0.1; 192.168.1.0/24; };
};
진흥원 이것들은 하여간 뭐 맘에 들게 하는게 없군요. -_-
그리고 bind 9 버전 이상을 사용중이시라면 굳이 신경쓰지 않으셔도 됩니다. DNS Cache Poisoning은 DNS Bind 8버전 이하에서의 취약점에 속하기 때문입니다.
==
아 씨끄러 씨끄러~ 조용해!!
레드햇 9 이하 사용금지!
감사합니다..^^
아무리 해봐도 않되길래 진흥원에서 보낸 메일이 틀린 것 같아 의심하고 있던 중이었습니다.
덕분에 해결했습니다.
감사합니다.
allow-transfer { IP_number ; }
allow-transfer { IP_number ; } ;
정도만 해줘도 되지 않나요?
그래서
밑에
allow-recursion {127.0.0.1; 192.168.1.0/24; };
를 적어드린거죠 :-)
==
아 씨끄러 씨끄러~ 조용해!!
레드햇 9 이하 사용금지!
댓글 달기