Концепция
Открытый резолвер на инфраструктуре, которую вы контролируете, может быть незаметно использован в reflection/amplification DDoS-атаке против третьей стороны — вы становитесь невольным участником атаки, и это полностью предотвратимо одной настройкой.
Распространённое заблуждение
«Раз это авторитативный сервер, открытая рекурсия не проблема». Ошибка: авторитативный сервер, который к тому же отвечает на рекурсивные запросы от произвольных источников, — это ровно тот открытый резолвер, который используют для амплификации. Авторитативная роль и рекурсия должны быть строго разделены.
Практическое упражнение
Лабораторное окружение не обязательно для базовой проверки:
Для практической проверки с реальной внешней точки (не localhost) и проверки размера ответа как фактора амплификации — см. Урок 7 на странице Лабораторное окружение курса.
Команды для выполнения
# Проверьте, отвечает ли ВАШ сервер на рекурсивные запросы от произвольных источников (не должен, для авторитативного-only сервера)
dig @your-lab-box-ip google.com A # с машины, ОТЛИЧНОЙ от самого сервера
# Убедитесь, что рекурсия отключена на авторитативном-only сервере (пример для BIND)
grep -i recursion /etc/bind/named.conf.options # должно показывать "recursion no;"
# Проверьте, не уязвим ли ваш домен к использованию в качестве усилителя отражения через ANY-запросы
dig yourdomain.com ANY @ns1.yourdnsprovider.com +norecurse
# Базовая проверка размера ответа — больше размер ответа = больше коэффициент усиления при злоупотреблении
dig yourdomain.com ANY +norecurse | wc -cЕсли шаг 1 возвращает реальный ответ с машины, не имеющей права запрашивать ваш сервер, — рекурсия открыта и требует немедленного исправления. Это именно та проверка, что стоит за Open Recursor Check в NODA (CAT-SEC).
Итоговая проверка
Вы должны уметь объяснить, не подглядывая:
Если можете ответить на всё без подсказок — переходите к Уроку 8.