Les enregistrements de colle ne sont généralement pas disponibles si un domaine et son serveur de noms ne partagent pas un TLD, et ne sont techniquement pas nécessaires s'ils ne partagent pas le même domaine de deuxième niveau, ce qui pourrait entraîner des étapes supplémentaires pour résoudre un domaine. Le résolveur doit d'abord rechercher l'adresse du serveur de noms avant de pouvoir trouver l'adresse de votre domaine. Mais théoriquement, vous pouvez ajouter plus d'étapes que ces deux-là.
La question ici est de savoir combien de temps cette chaîne peut être autorisée ?
si xyz.comutilise le serveur de noms ns1.xyz.info,
et xyz.infoutilise le serveur de noms ns1.xyz.co,
et xyz.coutilise le serveur de noms ns1.xyz.cc,
et xyz.ccutilise le serveur de noms ns1.xyz.co.uk, ... et ainsi de suite
... vous pourriez vous retrouver avec une très longue chaîne pour que le résolveur se démêle avant de pouvoir résoudre le nom que vous vouliez à l'origine.
Vraisemblablement, il y a une limite pratique - BIND ne devrait être disposé à traverser que de nombreux liens, sinon il y a un potentiel de déni de service. Mais y a-t-il une limite officielle? Un certain nombre d'étapes au-delà desquelles le résolveur n'est officiellement pas tenu de procéder?
la source
Réponses:
Dans ce cas, votre résolveur local demandera d'abord aux serveurs
.com(par exemple a.gtld-servers.net) où trouver les serveurs de noms pour le domaine xyz.com. Le serveur de domaine .com fournira généralement des enregistrements de colle pour les adresses IP des serveurs de noms pour le domaine xyz.com.par exemple:
D'après mon expérience, votre affirmation selon laquelle "les enregistrements de colle ne sont généralement pas disponibles si un domaine et son serveur de noms ne partagent pas un TLD" n'est tout simplement pas vraie. Il dépend cependant des données fournies par le bureau d'enregistrement pour le domaine, et leurs politiques varient. Certains nécessitent que l'adresse IP soit spécifiée. Certains laissent cela au propriétaire du domaine. Je pense que je me souviens d'un en Australie qui ne les soutient pas. Si le nombre de bureaux d'enregistrement traitant du domaine de votre pays est faible, cela peut peut-être être vrai dans cette partie de l'espace du domaine, mais pour le réseau dans son ensemble, cela est atypique.
C'est certainement une bonne pratique pour les propriétaires de domaine de fournir des enregistrements Glue, mais parfois la possibilité de spécifier un serveur DNS par son nom sans clouer l'IP est considérée comme offrant une flexibilité, et de nombreux propriétaires de domaine ne comprennent pas le problème de performances que cela crée.
Si vous fournissez un outil de rapport DNS, est-ce vraiment la limite absolue d'une telle mauvaise configuration qui vous intéresse? Il est certainement plus important pour vous de signaler les enregistrements de colle manquants comme un avertissement si un seul problème d'enregistrement de colle manquant se présente. Vous voulez probablement suivre au moins quelques indirections telles que celles que vous fournissez (et signaler leurs enregistrements de colle manquants), mais il doit y avoir des limites dans la mesure où vous devez suivre cela. Je serais très heureux si un outil de rapport DNS avertissait des 3 premiers, car je ne serais vraiment intéressé que par l'ajout des enregistrements de colle à mon domaine ou par le changement de fournisseur DNS pour le domaine vers un plus compétent.
Je doute de votre approche DOS proposée sur BIND, car BIND mettra en cache les informations qu'il recueille sur l'emplacement des serveurs de noms. Un attaquant devrait configurer un grand nombre de domaines sans colle, puis effectuer de nombreuses requêtes à leur sujet. Le coût de mise en place de domaines qui seraient probablement annulés par le bureau d'enregistrement après utilisation est susceptible de rendre cela peu attrayant pour un attaquant.
la source