Como "Cerrar" un Open DNS en BIND

Recientemente se ha puesto de modo algunos nuevos tipos de ataques DDoS que involucran el uso de servidores DNS mal configurados, en este articulo diagnosticaremos nuestro servidor DNS para ver sin acepta conexiones recursivas y solucionaremos el problema.

El procedimiento aquí­ descrito ha sido testeado en BIND 8, pero debe trabajar sin problemas en BIND 9 también

Al asegurar tu servidor DNS obtendremos dos grandes ventajas:

Nuestro servidor no será usado en ataques (tanto directos como a terceros)
Solo responderá a dominios alojados en nuestro server lo que bajará la carga

[break= Diagnostico]

Para diagnosticar nuestro server recomiendo una excelente páina gratuita

http://www.dnsreport.com/

En el cuadro de la izquierda introduce tu dominio (sin www) y pulsa "DNS Report"

Estudia cuidadosamente la información de salida:
Un recuadro amarillo significa problemas no crí­ticos
Un cuadro rojo significa un problema que requiere nuestra atención la linea "Open DNS servers " Si el contenido es algo como:

Quiere decir que tu servidor es vulnerable, de lo contrario puedes obviar el resto de este documento.

[break= Arreglando un Servidor DNS abierto]

NOTA: Estas instrucciones son solo para BIND, busca en google si estás usando algún otro servidor DNS

- Logueate a tu servidor como root
- Edita el archivo /etc/named.conf con tu editor favorito ejemplo: vi /etc/named.conf
- En la parte superior del archivo (primera linea) introduce lo siguiente:

CODE, HTML o PHP Insertado:

acl local-net-addrs { 127.0.0.1; xxx.xx.xx.xx;};

donde xxx.xx.xx.xx es tu ip, si dispones de varias ips puedes ponerlas todas separadas por punto y coma( o ponerlas en formaro cidr xx.xx.xx.xx/27
- Busca la sección "options" dentro del archivo named.conf e inserta la siguiente lí­nea:

CODE, HTML o PHP Insertado:

allow-recursion { local-net-addrs; };

- Elimina cualquier lí­nea similar a:

CODE, HTML o PHP Insertado:

acl { xx.xx.xx.xx}

- Guarde los cambios y reinicie el servico named

Ahora corra el test nuevamente para asegurarnos que ya no muestra el error y verifique que su servidor está resolviendo correctamente dominios internos y externos. esto puedes hacerlo usando el comando dig dominio.com

Listo ya tenemos un servidor DNS más seguro