Suponiendo que desea crear un subdominio que apunte a una ubicación privada (tal vez la ubicación de una base de datos o la dirección IP de una computadora en la que no desea que las personas intenten SSH), entonces agrega un registro DNS llamado algo Me gusta esto:
private-AGhR9xJPF4.example.com
¿Estaría esto "oculto" para todos, excepto para aquellos que conocen el URI exacto del subomana? ¿O hay alguna forma de "enumerar" todos los subdominios registrados de un dominio en particular?
domain-name-system
security
subdomain
IQAndreas
fuente
fuente
Respuestas:
¿Hay algún tipo de consulta de "listado de subdominios" para DNS?
No hay consulta para este propósito específico, pero hay algunos métodos indirectos.
AXFR). La mayoría de los operadores de servidores bloquean las transferencias de zona a direcciones IP específicas para evitar que partes no afiliadas husmeen.NSECse pueden usar solicitudes iterativas para recorrer la zona .NSEC3fue implementado para hacer que la zona de caminata sea más computacionalmente intensiva.También hay un truco que le hará saber a alguien si existe un subdominio arbitrario.
En el ejemplo anterior, se
wwwencuentra dentrosub. Una consulta parasub.example.com IN Ano devolverá una sección RESPUESTA, pero el código de resultado será NOERROR en lugar de NXDOMAIN, traicionando la existencia de registros más abajo en el árbol. (pero no como se llaman esos registros)¿Se debe confiar en el secreto de los registros DNS?
No. La única forma de ocultar de manera confiable los datos de un cliente es asegurarse de que nunca pueda obtener los datos para empezar. Suponga que la existencia de sus registros DNS se extenderá entre quien tenga acceso a ellos, ya sea de boca en boca u observando los paquetes.
Si está tratando de ocultar registros de un cliente DNS enrutable, lo está haciendo mal . Asegúrese de que los datos solo estén expuestos a los entornos que los necesitan. (es decir, usar dominios enrutados de forma privada para IP privadas) Incluso si tiene una división de este tipo, suponga que el conocimiento de las direcciones IP se extenderá de todos modos.
El enfoque en la seguridad debe estar en lo que sucede cuando alguien obtiene la dirección IP, porque va a suceder.
Soy consciente de que la lista de razones por las cuales el secreto de direcciones IP es un sueño imposible podría ampliarse aún más. Escaneo de IP, ingeniería social ... la lista es interminable, y me estoy centrando principalmente en los aspectos del protocolo DNS de esta pregunta. Al final del día, todo cae bajo el mismo paraguas: alguien obtendrá su dirección IP .
fuente
Depende.
La respuesta de Andrew B es acertada, cuando registra el subdominio en la zona DNS pública que también aloja los registros MX de sus empresas y el sitio web público, por ejemplo.
La mayoría de las compañías tendrían un servidor DNS interno, no disponible públicamente, donde registraría los nombres de host para sus hosts internos ( secretos ).
El método recomendado es registrar un dominio dedicado para uso interno, o alternativamente crear un subdominio en su dominio primario para uso interno.
Pero técnicamente también usa su dominio principal creando una vista interna de su dominio, donde, según el origen del cliente DNS, sería visible una versión alternativa de la zona DNS.
fuente