Netzwerksicherheit und Bind-Konfiguartion

[Reks30]

Hallo,

ich habe folgendes Unterfangen: Ich möchte meine beiden Bind-Nameserver (laufen mit OpenBSD 4.0) dazu bringen, bei Clientanfragen, die diese nicht selber auflösen können, nach außen nur noch per TCP, statt UDP zu fragen. Der Grund dafür ist, das Bind UDP Anfragen von Clients ohne jegliche Modifikation weiterleitet. Dadurch ist es auch für interne Clients möglich UDP-Tunnel mit beliebigen Inhalt nach außen aufzubauen (der Bind wird dann zum Proxy). Um das zu unterbinden möchte ich das der Bind nach außen nur noch TCP verwendet. Ist das möglich? Gibt es dafür eine Konfigurationsanweisung? Bislang habe ich in meinem Referenzwerk zu Bind leider nichts finden können.

Gruß
Reks30

 

[Gecko]

Hallo,

ich habe folgendes Unterfangen: Ich möchte meine beiden Bind-Nameserver (laufen mit OpenBSD 4.0) dazu bringen, bei Clientanfragen, die diese nicht selber auflösen können, nach außen nur noch per TCP, statt UDP zu fragen. Der Grund dafür ist, das Bind UDP Anfragen von Clients ohne jegliche Modifikation weiterleitet. Dadurch ist es auch für interne Clients möglich UDP-Tunnel mit beliebigen Inhalt nach außen aufzubauen (der Bind wird dann zum Proxy). Um das zu unterbinden möchte ich das der Bind nach außen nur noch TCP verwendet. Ist das möglich? Gibt es dafür eine Konfigurationsanweisung? Bislang habe ich in meinem Referenzwerk zu Bind leider nichts finden können.

Gruß
Reks30

Moin Reks,

also ein hervoragendes Werk zu DNS und BIND ist das :
DNS & BIND Kochbuch von
Cricket Liu
Deutsche Übersetzung von Sascha Kersken
1. Auflage April 2003
ISBN 978-3-89721-352-4

Seiten 256
EUR34.00, SFR57.90
Englischsprachige Ausgabe: DNS & Bind Cookbook

erschienen beim O'Reilly Verlag

hier mal der Link samt Index:

http://www.oreilly.de/catalog/dnsbindckbkger/inx.html

Dann noch der Hinweiss auf weitere Schwachstellen im BIND Nameserver - MDKSA-2006:163

hier nun mal diesen Link:

http://archive.cert.uni-stuttgart.de/archive/win-sec-ssc/2006/09/msg00034.html

hoffe Dir mal ein wenig weitergeholfen zu haben..

Dann noch ne Anmerkung meinerseits habe Deinen Post zu OpenBSD gelesen, Open BSD ist wirklich "saugut" !

in diesem Sinne der kleine Gecko