¿Son los registros DNS información privada?

Suponiendo que desea crear un subdominio que apunte a una ubicación privada (tal vez la ubicación de una base de datos o la dirección IP de una computadora en la que no desea que las personas intenten SSH), entonces agrega un registro DNS llamado algo Me gusta esto:

private-AGhR9xJPF4.example.com

¿Estaría esto "oculto" para todos, excepto para aquellos que conocen el URI exacto del subomana? ¿O hay alguna forma de "enumerar" todos los subdominios registrados de un dominio en particular?

domain-name-system security subdomain

— IQAndreas
fuente

Si no desea que se conozca o descubra, ¿por qué crearía un registro DNS para él en primer lugar?

— joeqwerty

@joeqwerty Si el servidor usa una IP dinámica o si quiero cambiar la IP de destino más adelante, quiero que cualquier aplicación que se conecte a ese servidor continúe funcionando sin modificaciones.

— IQAndreas

Estoy seguro de que esto se responde en otra pregunta en alguna parte, pero no pude encontrarlo con una búsqueda.

— Andrew B

Tenga en cuenta que hay muchos tipos malos que escanean todo el espacio IP en busca de computadoras en las que puedan usar SSH. Si es accesible desde internet público, hará que la gente golpee el puerto SSH.

— pjc50

La verdadera solución a su problema es un firewall y VPN.

— josh3736

Respuestas:

¿Hay algún tipo de consulta de "listado de subdominios" para DNS?

No hay consulta para este propósito específico, pero hay algunos métodos indirectos.

Una transferencia de zona no incremental ( AXFR). La mayoría de los operadores de servidores bloquean las transferencias de zona a direcciones IP específicas para evitar que partes no afiliadas husmeen.
Si DNSSEC está habilitado, NSECse pueden usar solicitudes iterativas para recorrer la zona . NSEC3fue implementado para hacer que la zona de caminata sea más computacionalmente intensiva.

También hay un truco que le hará saber a alguien si existe un subdominio arbitrario.

        example.com. IN A 198.51.100.1
www.sub.example.com. IN A 198.51.100.2

En el ejemplo anterior, se wwwencuentra dentro sub. Una consulta para sub.example.com IN Ano devolverá una sección RESPUESTA, pero el código de resultado será NOERROR en lugar de NXDOMAIN, traicionando la existencia de registros más abajo en el árbol. (pero no como se llaman esos registros)

¿Se debe confiar en el secreto de los registros DNS?

No. La única forma de ocultar de manera confiable los datos de un cliente es asegurarse de que nunca pueda obtener los datos para empezar. Suponga que la existencia de sus registros DNS se extenderá entre quien tenga acceso a ellos, ya sea de boca en boca u observando los paquetes.

Si está tratando de ocultar registros de un cliente DNS enrutable, lo está haciendo mal . Asegúrese de que los datos solo estén expuestos a los entornos que los necesitan. (es decir, usar dominios enrutados de forma privada para IP privadas) Incluso si tiene una división de este tipo, suponga que el conocimiento de las direcciones IP se extenderá de todos modos.

El enfoque en la seguridad debe estar en lo que sucede cuando alguien obtiene la dirección IP, porque va a suceder.

Soy consciente de que la lista de razones por las cuales el secreto de direcciones IP es un sueño imposible podría ampliarse aún más. Escaneo de IP, ingeniería social ... la lista es interminable, y me estoy centrando principalmente en los aspectos del protocolo DNS de esta pregunta. Al final del día, todo cae bajo el mismo paraguas: alguien obtendrá su dirección IP .

— Andrew B
fuente

Depende.

La respuesta de Andrew B es acertada, cuando registra el subdominio en la zona DNS pública que también aloja los registros MX de sus empresas y el sitio web público, por ejemplo.

La mayoría de las compañías tendrían un servidor DNS interno, no disponible públicamente, donde registraría los nombres de host para sus hosts internos ( secretos ).

El método recomendado es registrar un dominio dedicado para uso interno, o alternativamente crear un subdominio en su dominio primario para uso interno.

Pero técnicamente también usa su dominio principal creando una vista interna de su dominio, donde, según el origen del cliente DNS, sería visible una versión alternativa de la zona DNS.

— HBruijn
fuente