使用Windows 2008 R2 DNSSEC保護DNS連接

　　問題：DNS數(shù)據(jù)庫的不安全性

　　這樣造成的結(jié)果肯定是我們將越來越依賴于DNS，因此我們需要找到一種方法來確保DNS數(shù)據(jù)庫內(nèi)的數(shù)據(jù)總是準確而可靠，而其中最有效的途徑就是確保DNS數(shù)據(jù)庫的安全性。眾所周知，DNS一直屬于相對不安全的系統(tǒng)。

　　由于這種不安全本質(zhì)，DNS很容易成為攻擊目標，DNS服務(wù)器曾遭遇過劫持攻擊(將DNS域名解析重定向至流氓DNS服務(wù)器)、DNS記錄欺騙以及DNS緩存中毒，讓用戶相信他們正在連接到合法網(wǎng)站，而實際上是連接到包含惡意內(nèi)容的網(wǎng)站或者網(wǎng)址嫁接(pharming)獲取用戶信息。網(wǎng)址嫁接與網(wǎng)絡(luò)釣魚攻擊類似，二者區(qū)別在于，網(wǎng)絡(luò)釣魚攻擊是通過誘使用戶點擊電子郵件中的鏈接來登錄到惡意網(wǎng)址，而網(wǎng)址嫁接則更加高明，用戶在瀏覽器輸入合法網(wǎng)站的正確網(wǎng)址，然而被更改的DNS記錄則會將合法網(wǎng)址重定向至假的網(wǎng)絡(luò)嫁接網(wǎng)址。

　　解決方案： Windows Server 2008 R2 DNSSEC

　　你可以在局域網(wǎng)使用Windows Server 2008 R2 DNSSEC來保護DNS環(huán)境，DNSSEC是能夠提高DNS協(xié)議安全性的擴展集，這些擴展向DNS添加初始權(quán)限、數(shù)據(jù)完整性和認證否定存在，該解決方案還可以向DNS添加幾條新記錄，包括DNSKEY、RRSIGN、NSEC和 DS。

　　DNSSEC如何運作

　　DNSSEC的作用在于可以對DNS數(shù)據(jù)庫中的所有數(shù)據(jù)都做標記，采用的方法與其他數(shù)據(jù)簽名電子通信類似，例如電子郵件。當DNS客戶端向DNS服務(wù)器發(fā)出一個請求時，DNS服務(wù)器會返回請求數(shù)據(jù)的數(shù)字簽名，然后擁有DNS數(shù)據(jù)簽名CA的公鑰的客戶端就能夠解密哈希數(shù)值(簽名)然后驗證響應(yīng)。為了實現(xiàn)這個過程，DNS客戶端和服務(wù)器都要配置為使用相同的信任錨(trust anchor)，信任錨是與特定DNS區(qū)域相關(guān)的預(yù)先設(shè)定的公鑰。

　　DNS數(shù)據(jù)庫簽名適用于基于文件(非Active Directory集成)和Active Directory集成區(qū)域，簽名復(fù)制則可以用于這些區(qū)域授權(quán)的其他DNS服務(wù)器。

　　Windows 2008 R2 和Windows 7 DNS客戶端都默認配置為存根解析器。這種情況下，DNS客戶端將允許DNS服務(wù)器代表客戶端執(zhí)行驗證，但是DNS客戶端能夠接收從DNSSEC啟用的DNS服務(wù)器返回的DNSSEC響應(yīng)。DNS客戶端本身被配置為使用名稱解析策略表(NRPT)來確定應(yīng)該如何與DNS聯(lián)系。例如，如果NRPT指明DNS客戶端需要確保DNS客戶端與服務(wù)器間連接的安全，那么就可以對請求執(zhí)行證書驗證。如果安全驗證失敗，就說明域名解析過程中存在信任問題，并且域名查詢請求也將失敗。在默認情況下，當客戶端向發(fā)出請求的程序返回DNS查詢響應(yīng)時，只有當DNS服務(wù)器驗證信息后才會返回該信息。

　　確保結(jié)果的有效性

　　主要有兩種方法來確保DNS請求結(jié)果的有效性。首先，你需要確保DNS客戶端連接的DNS服務(wù)器確實是DNS客戶端應(yīng)當連接的DNS服務(wù)器，而不是攻擊者部署的DNS服務(wù)器。Ipsec是用于驗證DNS服務(wù)器的有效方式。DNSSEC使用SSL來確保連接的安全性。DNS服務(wù)器通過可信任方(例如私人PKI)簽名的證書來驗證其本身。

　　請記住，如果你部署了執(zhí)行Ipsec的服務(wù)器和域隔離，那么你必須將TCP和UDP端口53從政策中分離。否則，Ipsec政策將不會被用于基于證書的驗證，這會導(dǎo)致客戶端無法通過DNS服務(wù)器的證書驗證，安全連接也無法建立。

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]