Goed, ik had dus een dingetje met KPN's abuse mensen. Poort UDP/111 stond open, dat mocht niet, ik werd afgesloten. Prima, ik poort 111 blokken, jee weer aangesloten. Maar toen kwam deze uitwisseling;
Bedankt voor uw bericht. Bij een hertest zien wij nu dat de UDP poorten 111 en 137 niet meer toegankelijk zijn voor buitenaf. Dit is nog wel het geval voor poort 53/UDP.
Het gebruik van een DNS server is toegestaan. Wanneer u een authoritative DNS server draait, dan mag er echter geen antwoord komen op aanvragen m.b.t. andere domeinen. Servfail, nxdomain of een ander antwoord zal automatisch weer in een blokkade resulteren.
U hoeft de DNS server niet uit te schakelen. U dient enkel te zorgen dat deze niet vanaf internet benaderbaar is. Indien u over een eigen firewall beschikt kan dit gedaan worden door UDP en TCP poort 53 inkomend te blokkeren.
Okay, ik draai een eigen DNS voor mijn eigen domeinen. Als die een request krijgt voor een niet-authorative domein, geeft tie netjes 'refused'. Dat meld ik aan KPN
Ik draai een DNS server voor een heel setje domeinen, authorative. Die is volgens mij correct configured;
Dit is de log voor een niet auth. Domain ;
** server can't find tweakers.net: REFUSED
> kpn.nl
Server: x
Address: x#53
KPN antwoord met het volgende;
Bedankt voor uw bericht. Als wij een controle uitvoeren met een NMAP scan doen of via een online tool zoals op de volgende link:
https://www.ipvoid.com/udp-port-scan/
Dan zien wij dat de poort open staat voor buitenaf.
Ik denk, ben ik nu raar, dat is toch zoals het hoort? Dus ik schrijf dit terug;
Dat is ook de bedoeling toch. Ik draai een authoritative DNS server. Die geeft alleen antwoord voor domeinen waar die de authority voor is, zoals ridersoft.net en de-ruijter.net. Als je een portscan op 53 draait is die poort beschikbaar ja. Als je een DNS query uitvoert voor domeinen anders dan diegene die authoritative zijn krijg je, zoals het hoort, refused.
Dus, ja, die poort is beschikbaar van buitenaf, dat is by design, dat lijkt me toch geen abuse probleem.
Waarop KPN stelt;
Bedankt voor uw reactie. Wegens de manier van controleren, en de automatische acties die hieruit volgen, maken wij geen onderscheid tussen het soort antwoord wat wij krijgen op ons particuliere netwerk. Indien u een authorative DNS server wil draaien is dat prima, echter dient deze dan simpelweg geen antwoord te geven indien er een domein opgevraagt word waar de DNS server niet authorative voor is.
Maar, snap ik dan iets niet? Een port scan heeft toch geen domain query er in zitten? Of ben ik nu gek? Daarom mijn laatste bericht aan KPN;
Jullie doen een portscan toch? In een portscan zit geen domein request.
Een authorative DNS server is per definitie aan het internet gekoppeld. Dus die poort staat per definitie open. Dus die portscan zal altijd, onafhankelijk van de configuratie van de DNS server als ‘open’ terugkomen.
De DNS server geeft geen inhoudelijk response als er een domein opgevraagd wort waar die niet authorative voor is. Dat is zoals het hoort.
Kan je anders toelichten hoe jullie exact controleren op basis van een portscan of de DNS server correct omgaat met niet-authorative queries?
Ben heel benieuwd, ook of ik nu wat over het hoofd zie ofzo.