BIND DNS 服务器搭建完全教程 / 第 12 章：安全加固

// 定义信任级别
acl "trusted" {
    localhost;
    localnets;
    192.168.0.0/16;
    10.0.0.0/8;
};

acl "monitoring" {
    10.0.0.50;
    10.0.0.51;
};

acl "secondary-servers" {
    192.168.1.11;
    192.168.2.10;
};

acl "bad-actors" {
    // 已知恶意 IP
    185.220.101.0/24;
    185.220.102.0/24;
};

options {
    // 查询控制
    allow-query { trusted; };
    allow-query-cache { trusted; };
    
    // 递归控制
    allow-recursion { trusted; };
    
    // 区域传输控制
    allow-transfer { secondary-servers; };
    
    // 完全封锁恶意 IP
    blackhole { bad-actors; };
};

options {
    // 隐藏 BIND 版本
    version "not disclosed";
    
    // 隐藏主机名
    hostname "not disclosed";
    
    // 隐藏服务器 ID
    server-id "not disclosed";
};

# 查询版本
dig @127.0.0.1 version.bind txt chaos
# 应返回 "not disclosed" 而非实际版本

# 查询主机名
dig @127.0.0.1 hostname.bind txt chaos

# 查询服务器 ID
dig @127.0.0.1 id.server txt chaos

options {
    // 启用响应速率限制
    rate-limit {
        responses-per-second 10;    // 相同响应每秒最多 10 个
        referrals-per-second 5;     // 推荐响应每秒 5 个
        nodata-per-second 5;        // NODATA 响应每秒 5 个
        nxdomains-per-second 5;     // NXDOMAIN 响应每秒 5 个
        errors-per-second 5;        // 错误响应每秒 5 个
        all-per-second 20;          // 所有响应每秒 20 个
        
        window 15;                  // 速率计算窗口（秒）
        
        slip 2;                     // 每 2 个丢弃的响应中返回 1 个截断响应
        // slip 1 = 100% 截断响应
        // slip 2 = 50% 截断响应，50% 丢弃
        // slip 0 = 100% 丢弃（不推荐，会导致客户端重试）
        
        ipv4-prefix-length 24;      // IPv4 聚合前缀长度
        ipv6-prefix-length 56;      // IPv6 聚合前缀长度
        
        max-table-size 20000;       // 限速表最大条目数
        min-table-size 500;         // 限速表最小条目数
        qps-scale 250;              // QPS 缩放因子
    };
};

acl "rate-limit-whitelist" {
    localhost;
    192.168.1.0/24;     // 内网不限速
    10.0.0.0/8;
};

options {
    rate-limit {
        responses-per-second 10;
        // 不在白名单中的客户端受速率限制
    };
};

// 注意：RRL 不支持直接排除，需要通过 allow-query 控制
// 或使用 views 区分内外网

# 生成 256 位 HMAC-SHA256 密钥
tsig-keygen -a hmac-sha256 my-key

# 输出格式
# key "my-key" {
#     algorithm hmac-sha256;
#     secret "base64encodedstring==";
# };

// 为不同用途使用不同密钥
key "transfer-key" {      // 区域传输
    algorithm hmac-sha256;
    secret "...";
};

key "update-key" {        // 动态更新
    algorithm hmac-sha256;
    secret "...";
};

key "rndc-key" {          // 管理操作
    algorithm hmac-sha256;
    secret "...";
};

# 安装 chroot 包
sudo yum install bind-chroot

# 启动 chroot 模式
sudo systemctl enable named-chroot
sudo systemctl start named-chroot

# chroot 目录结构
/var/named/chroot/
├── etc/
│   └── named.conf
├── var/
│   ├── named/
│   └── log/named/
└── run/named/

// 使用最小权限运行
// Dockerfile 中使用非 root 用户
// USER bind

zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // DNSSEC 自动签名
    inline-signing yes;
    auto-dnssec maintain;
    key-directory "primary/keys";
    
    // 密钥文件权限
    // 600 for private keys
    // 644 for public keys
};

options {
    // 启用 DNSSEC 验证（默认 auto）
    dnssec-validation auto;
    
    // 信任锚文件
    bindkeys-file "/etc/bind/bind.keys";
};

logging {
    channel security_audit {
        file "/var/log/named/security.log" versions 10 size 100m;
        severity info;
        print-time yes;
        print-severity yes;
        print-category yes;
    };
    
    // 安全相关日志
    category security { security_audit; };
    category update-security { security_audit; };
    category rate-limit { security_audit; };
};

# 临时开启查询日志
rndc querylog on

# 分析异常查询
# 查找 NXDOMAIN 查询（可能是扫描）
grep "NXDOMAIN" /var/log/named/query.log | awk '{print $NF}' | sort | uniq -c | sort -rn | head

# 查找高频查询
awk '{print $NF}' /var/log/named/query.log | sort | uniq -c | sort -rn | head

# 允许 DNS 查询（限制来源）
iptables -A INPUT -p udp --dport 53 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 192.168.0.0/16 -j ACCEPT

# 允许区域传输（仅限从服务器）
iptables -A INPUT -p tcp --dport 53 -s 192.168.1.11 -j ACCEPT

# 允许 rndc 管理（仅限管理网络）
iptables -A INPUT -p tcp --dport 953 -s 10.0.0.0/8 -j ACCEPT

# 丢弃其他 DNS 流量
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

# 限制 DNS 访问来源
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.0.0/16" service name="dns" accept'
sudo firewall-cmd --reload

# 确保 BIND 以非特权用户运行
# named 用户（默认）
ps aux | grep named
# named  1234  /usr/sbin/named -u named

# 配置文件权限
sudo chmod 640 /etc/named.conf
sudo chown root:named /etc/named.conf

# 区域文件权限
sudo chmod 640 /var/named/primary/*.zone
sudo chown named:named /var/named/primary/*.zone

# 密钥文件权限
sudo chmod 600 /var/named/primary/keys/*.private
sudo chown named:named /var/named/primary/keys/*.private

# 日志目录权限
sudo chmod 750 /var/log/named
sudo chown named:named /var/log/named

# SELinux (RHEL/CentOS)
# 检查 SELinux 状态
getenforce

# 允许 BIND 访问自定义目录
sudo semanage fcontext -a -t named_zone_t "/var/cache/bind/primary(/.*)?"
sudo restorecon -Rv /var/cache/bind/primary

# AppArmor (Ubuntu/Debian)
# 配置文件：/etc/apparmor.d/usr.sbin.named