关闭bind 递归查询 加固其安全

默认情况下 bind关闭了 转发查询，但是递归查询是开启的，由于公司的服务器是只针对公司的域名进行服务的，它不是公共DNS 所以没有必要开放递归查询功能。

关于递归查询与迭代查询的区别，看看定义。

递归查询：A->B->C->D->E 然后B 告诉A 地址

转发查询：A-->B A->C A->D A->E 然后A 得到地址。

所以如果我们的DNS负载很重的话，关闭递归查询是不错的建议。

怎么关呢？

allow-recursion { none; }; 一句话即可

不过使用非递归查询服务器需要注意以下几点

一、保证该非递归服务器不出现在客户机的 /etc/resolv.conf 的
二、保证该非递归服务器不被其他 name server 当成转发器 （forwarder）
三、推荐使用 allow-recursion 而不是 recursion
四、该非递归服务器可以出现在 zone data file 的 NS 记录中。它可以正常的接收其他 name server 发来的查询
五、外部 name server 是通过上级域的 Referral 消息找到该非递归服务器的
六、外部 name server 在得到上级域的 Referral 消息后，向该非递归服务器发送的查询是 iterative query ，而不是 recusive query ，所以该非递归服务器仍然可以回答那些它所权威的 zone 的查询。但不能用于查询外部域名了。

关于dig 命令查看域名的解析过程：

dig www.xxx.com +trace