关于域名递归解析服务的问题

Question

最近接到一个任务。运营商要通知一些公司，说某些公司违规开展互联网域名递归解析服务并整改。因为自己也不懂什么技术方面的事情，请问这是说明公司有自己搭建DNS服务器？还是说公司有什么提供DNS服务的设备？

Answer 1

引自免费微信小程序：皆我百晓生

互联网域名递归解析服务的详解

1. 什么是域名递归解析服务： 域名系统（DNS）是互联网中用于将人类可读的域名转换为计算机能识别的IP地址的核心服务。域名递归解析服务，是指当DNS服务器接收到一个域名查询请求时，若本地没有缓存结果，则该服务器会不断向下一级或权威DNS服务器发起查询，直到找到并返回对应的IP地址。这种“必须给出答案”的行为模式就是递归解析。

2. 违规开展域名递归解析服务的情况： 运营商可能关注的是未经授权、不符合规定或未备案的企业私自搭建并对外提供公开的DNS递归解析服务。这样做可能存在以下风险：

   • 安全问题：公开的递归DNS服务器可能会被滥用进行恶意攻击，如放大攻击（DDoS）等。
   • 监管问题：未经许可运营公共递归DNS服务可能违反了当地的互联网信息服务管理规定和网络安全法规。
   • 用户隐私：运行递归DNS服务可能会收集大量用户的网络浏览记录，涉及用户隐私保护问题。

3. 公司可能存在的技术部署情况： 公司如果违规提供域名递归解析服务，通常意味着他们自建了一台或多台DNS服务器，并配置为接受来自任意来源的递归查询请求。这些服务器可能运行着开源软件（例如BIND, Unbound等）并进行了相应的递归解析设置。

4. 代码示例（非实际整改代码）： 由于整改主要是要求关闭非法的递归解析服务或取得合法授权，而不是编写代码，因此这里不提供具体的代码实例。但在配置DNS服务器如BIND时，允许或禁止递归查询通常会在named.conf配置文件中设置，例如：

   options {
       // 允许所有客户端进行递归查询（违规操作）
       recursion yes;
   
       // 禁止所有客户端进行递归查询（合规操作）
       recursion no;
       ...
   }
   

5. 合规整改建议：

   • 停用递归服务：关闭任何未经授权的公共递归DNS服务。
   • 备案申请：根据当地法律法规，向相关部门申请合法资质以提供DNS服务。
   • 加强安全防护：如果确实有业务需要提供内部或特定范围内的DNS递归服务，务必强化安全策略，包括限速、过滤恶意查询、记录审计日志等措施。

请务必与运营商保持沟通，明确了解其具体的要求和整改步骤，并在实施过程中确保符合法律法规及行业规范。