Un logiciel DNS doit être choisi selon son rôle et les exigences d'exploitation, et non comme un « meilleur serveur » universel. Un service faisant autorité publie des zones ; un service récursif résout et met en cache pour ses clients ; un résolveur transmetteur envoie les requêtes à un autre résolveur. Combiner ces rôles modifie la surface d'attaque.
DNS · Leçon 5
Configuration DNS
Apprenez à choisir, sécuriser, valider et exploiter des services DNS faisant autorité ou récursifs.
Choisir un rôle et une implémentation
- BIND peut fournir autorité et récursion avec une large prise en charge des normes.
- Unbound est couramment déployé comme résolveur récursif validant.
- dnsmasq offre transmission, cache et DHCP légers pour de petits réseaux maîtrisés.
- PowerDNS fournit des produits distincts pour l'autorité et la récursion, avec plusieurs systèmes de stockage.
Les capacités et paquets évoluent ; consultez la documentation officielle de la version installée. Ne déployez que le rôle nécessaire et désactivez toute récursion ou tout service de zone involontaire.
Quel rôle publie les enregistrements définitifs des zones qu'il sert ?
Concevoir avant d'installer
Définissez les zones, clients, volumes de requêtes, mécanismes de mise à jour, besoins DNSSEC, journaux, supervision, sauvegardes et récupération. Les zones d'autorité exigent des serveurs redondants et des délégations correctement enregistrées. La récursion exige un contrôle explicite des clients, une politique de cache, une connectivité vers l'amont ou la hiérarchie et une protection contre les abus.
N'exposez jamais une récursion sans restriction à Internet. Les résolveurs ouverts servent aux attaques par réflexion et consomment les ressources locales.
Pourquoi limiter les requêtes récursives aux clients autorisés ?
Valider la configuration et les zones
Utilisez les outils de vérification de syntaxe et de zones propres à l'implémentation avant le rechargement. Pour BIND :
$ named-checkconf
$ named-checkzone example.com /etc/bind/zones/db.example.com
Exécutez-les avec les permissions et chemins appropriés. La réussite de l'analyse ne prouve pas la délégation, la propagation du numéro de série, la chaîne DNSSEC, l'accessibilité au travers du pare-feu ni la justesse des réponses ; poursuivez avec des requêtes contrôlées.
Qu'est-ce qu'une vérification de syntaxe de zone réussie ne prouve pas ?
Appliquer et tester sans risque
Conservez la configuration actuelle et un accès de récupération, validez, puis rechargez plutôt que redémarrer lorsque c'est possible. Interrogez directement chaque serveur d'autorité, récursion désactivée, puis comparez numéro de série SOA, ensemble NS, enregistrements positifs, noms inexistants et comportement UDP et TCP :
$ dig @192.0.2.53 example.com SOA +norecurse
$ dig @192.0.2.53 missing.example.com A +norecurse
$ dig @192.0.2.53 example.com SOA +norecurse +tcp
Pour la récursion, testez les réseaux clients autorisés et refusés, la validation DNSSEC, le cache et l'échec des dépendances en amont.
Pourquoi interroger un serveur d'autorité avec +norecurse ?
Exploiter le service
Surveillez les échecs et temps de requêtes, le cache, les ressources, transferts de zones, numéros de série, expirations DNSSEC et l'état des délégations. Sauvegardez en sécurité les sources de configuration et le matériel de signature, puis vérifiez qu'une nouvelle instance peut charger les zones et servir les bonnes réponses. Maintenez des versions prises en charge et limitez les interfaces de contrôle, les mises à jour dynamiques et l'accès aux transferts.
Que doit comprendre le test de redondance d'un DNS faisant autorité ?
Leçon terminée
Vous avez terminé Configuration DNS
Vous savez maintenant concevoir un déploiement DNS autour de rôles explicites d'autorité ou de récursion.
Choisir le logiciel après avoir défini le rôle requis.
Limiter la récursion et les interfaces administratives.
Valider la configuration et les zones avant rechargement.
Tester directement autorité, déni, transport et politique client.
Surveiller redondance, DNSSEC, cohérence des données et récupération.
Conservez votre progression
Créez un compte gratuit pour enregistrer cette leçon et continuer sur n'importe quel appareil.
Créer un compte gratuit