Qu'est-ce que le DNS inversé?

10

J'ai beaucoup de demandes de domaines * .in-addr.arpa dans mon compte OpenDNS. Je sais que cela devrait être normal et qu'il s'agit de DNS inversé.

J'ai lu ici et là, mais je ne comprends toujours pas comment cela fonctionne et pourquoi je reçois autant de demandes (nombre plus élevé que www.google.com) .J'aurais juste besoin de quelqu'un qui, comme l'a suggéré Einstein, pourrait expliquez-moi à quoi sert ce DNS inversé comme il l'expliquerait à sa grand-mère.

domain-name-system reverse-dns Pitto
la source

Réponses:

17

Le DNS inversé est un mappage d'une adresse IP à un nom DNS. C'est donc comme DNS, mais à l'envers. Si des adresses IP vous sont attribuées, vous devez configurer un DNS inversé pour indiquer au monde à quoi les adresses sont utilisées.

En pratique, si vous voulez savoir quel est le système, 216.239.32.10vous concevez ce qu'on appelle une recherche inversée en inversant l'adresse IP et en y ajoutant in-addr.arpa. Il ressemble à ceci: 10.32.239.216.in-addr.arpa. Un enregistrement PTR devrait alors vous dire de quel système il s'agit. L'outil de fouille automatise cela avec le commutateur -x.

pehrs$ dig -x 216.239.32.10

; <<>> DiG 9.6.0-APPLE-P2 <<>> -x 216.239.32.10
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49177
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 4

;; QUESTION SECTION:
;10.32.239.216.in-addr.arpa.    IN  PTR

;; ANSWER SECTION:
10.32.239.216.in-addr.arpa. 86400 IN    PTR ns1.google.com.

;; AUTHORITY SECTION:
32.239.216.in-addr.arpa. 86400  IN  NS  ns1.google.com.
32.239.216.in-addr.arpa. 86400  IN  NS  ns2.google.com.
32.239.216.in-addr.arpa. 86400  IN  NS  ns4.google.com.
32.239.216.in-addr.arpa. 86400  IN  NS  ns3.google.com.

;; ADDITIONAL SECTION:
ns2.google.com.     205358  IN  A   216.239.34.10
ns1.google.com.     205358  IN  A   216.239.32.10
ns4.google.com.     205358  IN  A   216.239.38.10
ns3.google.com.     205358  IN  A   216.239.36.10

;; Query time: 63 msec
;; SERVER: x#53(x)
;; WHEN: Tue Jan  4 13:35:14 2011
;; MSG SIZE  rcvd: 204

Notez l'enregistrement PTR. Il nous dit que 216.239.32.10c'est en fait ns1.google.com.

pehrs
la source
7

La version courte est que le DNS inverse est utilisé pour obtenir un nom de domaine à partir d'une adresse IP, tandis que le DNS normal est utilisé pour obtenir une adresse IP à partir d'un nom de domaine.

La façon dont cela fonctionne est qu'il existe un domaine factice de premier niveau appelé in-addr.arpa, et pour trouver le nom de domaine pour l'adresse IP ABCD, le client DNS effectue une recherche sur DCBAin-addr.arpa. Il existe diverses règles compliquées pour la délégation des sous-domaines de in-addr.arpa afin de garantir que ces demandes parviennent au bon endroit. L'article de Wikipédia est OK, bien que peut-être un peu laconique: http://en.wikipedia.org/wiki/Reverse_DNS_lookup .

Ce que cela signifie pour vous, c'est que si vous possédez un bloc d'adresses IP et que vous souhaitez pouvoir créer des enregistrements DNS inversés pour ces adresses afin que leurs noms de domaine puissent être recherchés, vous devez vous assurer que celui qui vous a obtenu le block from a mis en place une délégation appropriée afin que vous gériez un sous-domaine de in-addr.arpa et que vous puissiez ainsi créer les enregistrements DNS PTR appropriés.

Mike Scott
la source
+1 pour avoir mentionné le faux TLD .arpa, qui est source de confusion pour la plupart des gens lorsqu'ils parlent de DNS inversé.
Massimo
6
En fait, .arpa n'a rien de factice. C'est un TLD normal, seul l'enregistrement en .arpa est très limité.
pehrs
Je sais que ce fil est ancien, mais quelqu'un pourrait-il clarifier ce que signifie "posséder" un bloc d'adresses IP? Le propriétaire est-il considéré comme la personne qui utilise l'espace IP (qui pourrait alors gérer les zones de recherche inversée et les enregistrements PTR au même endroit que leurs serveurs de noms sont configurés pour les enregistrements d'hôte DNS) - ou le propriétaire est-il considéré comme le FAI qui loue un bloc d'adresses IP à une entreprise / un individu pour l'utiliser pour des points de terminaison publics (tels que des serveurs Web, des serveurs de messagerie, des points de terminaison VPN, etc.). Pour clarifier mon Q: est-il important OERE les enregistrements publics PTR sont gérés?
SturdyErde
@SturdyErde Peu importe qui recherche le nom. Cela peut vous intéresser si vous utilisez l'espace d'adressage et souhaitez apporter des modifications à la zone inverse. Quant à qui possède l'espace d'adressage, je dirais que celui qui a obtenu les adresses qui lui sont attribuées par le RIR (ARIN / RIPE / APNIC / ...) les possède, mais ils peuvent bien sûr toujours déléguer davantage dans le DNS (par exemple à un client si elles le désirent.
Håkan Lindqvist
Merci, @ HåkanLindqvist. Donc, si mon organisation obtient un bloc d'adresses IP publiques d'un FAI, elles sont propriétaires des adresses IP, mais nous sommes le délégué qui peut les gérer où nous le jugeons approprié. Ma question de suivi est la suivante: pouvons-nous, en tant que délégué, spécifier des serveurs de noms et gérer la zone inverse où nous le souhaitons, ou sommes-nous limités à apporter des modifications via le propriétaire des adresses IP? (Curieux parce qu'un consultant Exchange a fait des commentaires qui m'ont fait
douter de
2

Puisque vous avez demandé l'utilisation du DNS inversé, tenez compte des points suivants.

Quelqu'un souhaite envoyer un e-mail à votre serveur de messagerie. Il prétend être le serveur mail.example.com. Vous pouvez alors utiliser une recherche inversée pour vérifier si son IP appartient réellement à l'adresse mail.example.com. Sinon, vous savez qu'il y a probablement quelque chose qui ne va pas. Si vous ne pouvez même pas trouver une entrée inversée, c'est encore plus suspect. (Au moins dans la dernière situation, le courrier sera probablement du spam et sera traité comme tel par de nombreux fournisseurs.)

Il en va de même pour les autres connexions. En fait, sshdmarquera une tentative de connexion comme POSSIBLE BREAK-IN ATTEMPT!si les entrées inverse et avant ne correspondaient pas. Le comportement par défaut est cependant de l'ignorer.

Carsten Thiel
la source