DNS BIND之recursion递归

矫情吗；* 2022-08-07 14:43 604阅读 0赞

一般客户机和服务器之间属递归查询，当客户机向DNS服务器发出请求后,若DNS服务器本身不能解析,则会向另外的DNS服务器发出查询请求，得到结果后转交给客户机。主机向本地域名服务器的查询一般都是采用递归查询。默认情况下bind关闭了转发查询,但是递归查询是开启的。  
**一、配置参数  
1.recursion**  
如果是yes，并且一个DNS询问要求递归，那么服务器将会做所有能够回答查询请求的工作。如果recursion是off的，并且服务器不知道答案，它将会返回一个推荐（referral）响应。默认值是yes。注意把recursion设为no，不会阻止用户从服务器的缓存中得到数据，它仅仅阻止新数据作为查询的结果被缓存。服务器的内部操作还是可以影响本地的缓存内容，如NOTIFY地址查询。  
**2.allow-recursion**  
设定哪台主机可以进行递归查询。如果没有设定，缺省是允许所有主机进行递归查询。注意禁止一台主机的递归查询，并不能阻止这台主机查询已经存在于服务器缓存中的数据。  
**3.recursive-clients**  
服务器同时为用户执行的递归查询的最大数量。默认值1000，因为每个递归用户使用许多位内存，一般为20KB，主机上的recursive-clients选项值必须根据实际内存大小调整。  
**二、配置格式**  
recursion yes | no;  
recursive-clients number;  
allow-recursion \{ address\_match\_list | any | none;\};  
配置实例：  
recursion      yes;  
allow-recursion   \{ any; \};  
或  
allow-recursion \{ 10.0/16; \};  
recursive-clients 25;  
**注意**:  
如果你要建立一个 授权域名服务器服务器, 那么不要开启recursion（递归）功能。  
如果你要建立一个 递归 DNS 服务器, 那么需要开启recursion 功能。  
如果你的递归DNS服务器有公网IP地址, 你必须开启访问控制功能，只有那些合法用户才可以发询问. 如果不这么做的话，那么你的服服务就会受到DNS 放大攻击。实现BCP38将有效抵御这类攻击。  
  
使用非递归查询服务器需要注意:  
一、保证该非递归服务器不出现在客户机的/etc/resolv.conf 的  
二、保证该非递归服务器不被其他 name server 当成转发器 （forwarder）  
三、推荐使用 allow-recursion 而不是 recursion (关闭allow-recursion \{ none; \};)  
四、该非递归服务器可以出现在 zone data file 的 NS 记录中。它可以正常的接收其他 name server 发来的查询  
五、外部 name server 是通过上级域的 Referral 消息找到该非递归服务器的  
六、外部 name server 在得到上级域的 Referral 消息后，向该非递归服务器发送的查询是 iterative query ，而不是 recusive query ，所以该非递归服务器仍然可以回答那些它所权威的 zone 的查询。但不能用于查询外部域名了。