[Nameservers] Zone transfer?

[CyberSnooP]

De SIDN site weet mij te vertellen dat de nameservers voor een domein een zonetransfer moeten toestaan.

De SIDN site stelt:
Alle nameservers die geregistreerd worden in het NL domein registratie systeem (DRS) dienen een zone transfer toe te staan vanaf IP-reeks: 193.176.144.128 t/m 193.176.144.143
In CIDR notatie: 193.176.144.128/28

Ik heb even gezocht op GoT en op internet, maar mij zegt dit niks. Ik beheer de nameserver die ik in wil stellen zelf (op m'n eigen server) maar ik begrijp niet wat hier mee bedoelt wordt.

[mavink]

Precies wat er staat... Als je een DNS server "beheert" en niet weet wat een zone transfer inhoudt zou ik maar eens een goed boek over DNS gaan lezen. En niet alleen het gedeelte over zone transfers; DNS is een veel complexer systeem dan de meeste mensen denken!

[edit] Overigens kan je met dit formulier testen of je DNS al zone transfers toestaat. Maar ik wil je ook als dat werkt toch aanraden je eerst meer te verdiepen in waar je mee bezig bent!

[Remco]

alhoewel complete zone-transfer vrij gevaarlijk is, en zelfs bij de meeste scanners als bug/exploit bekend staan.

[Verwijderd]

eigenlijk vrij simpel.
als jij bv domein vanmij.nl beheert (dit noemt men
een zone in DNS-termen) dan moet het hogere level
(zone .nl in dit geval) wel de gegevens van het alle onderliggende subdomeinen (zone's) kunnen ophalen.
(zone-transfer) Dit moet jij dan toestaan in je DNS-
configuratie.

[Verwijderd]

Op dinsdag 02 april 2002 16:13 schreef Remc0 het volgende:
alhoewel complete zone-transfer vrij gevaarlijk is, en zelfs bij de meeste scanners als bug/exploit bekend staan.

Daarom moet je ook alleen maar de DNS-servers van het
hogere level toegangs geven.
Dat is precies wat SIDN bedoeld.

[Peerke]

Check :
http://www1.fatbrain.com/asp/BookInfo/BookInfo.asp?theisbn=0596001584&from=xjb375

http://www1.fatbrain.com/asp/BookInfo/BookInfo.asp?theisbn=0596002300&from=xjb375

Dat zijn (IMHO) zeer goede boeken om Bind op na te slaan. Ik ga d'r vanuit dat je van plan bent om Bind te gaan gebruiken, of dat je Bind al gebruikt.

[mavink]

De bovenste van die twee boeken is in ieder geval een aanrader! Hij is niet eens al te moeilijk door te komen

[Peerke]

Op dinsdag 02 april 2002 16:45 schreef vink het volgende:
De bovenste van die twee boeken is in ieder geval een aanrader! Hij is niet eens al te moeilijk door te komen

Tja, je weet nooit of $pipo toevallig bind.exe heeft draaien onder Windows he ... Dus vandaar het tweede boek

[CyberSnooP]

Beheren is een groot woord, maar ik draai in ieder geval een BIND installatie onder Linux.

Omdat deze $pipo nou toevallig een .nl domein aan zijn server wil koppelen stuitte ik op dit probleem, en ik hoopte dat hier te mogen vragen. Excuses voor de overlast

[Mark]

Op dinsdag 02 april 2002 19:48 schreef CyberSnooP het volgende:
Beheren is een groot woord, maar ik draai in ieder geval een BIND installatie onder Linux.

Omdat deze $pipo nou toevallig een .nl domein aan zijn server wil koppelen stuitte ik op dit probleem, en ik hoopte dat hier te mogen vragen. Excuses voor de overlast

Voor 1 .nl domein heb je ook 2 domein servers nodig welke officieel ook nog eens in een verschillend subnet moeten liggen....Dus zomaar effe snel een DNS opzetten is niet zo makkelijk

[Remco]

waarom zoek je geen provider die je domein kan hosten, en die geen kosten in rekening brengt om records te wijzigen/aanmaken ?
Scheelt een hoop ellende

[CyberSnooP]

Op dinsdag 02 april 2002 22:22 schreef Mark het volgende:
Voor 1 .nl domein heb je ook 2 domein servers nodig welke officieel ook nog eens in een verschillend subnet moeten liggen....Dus zomaar effe snel een DNS opzetten is niet zo makkelijk

Dat het 'niet-zo-makkelijk' is ben ik nu achtergekomen.
Ik wilde, naast mijn eigen DNS-server, ook gebruik maken van de nameserver van Rackshack (ns1.rackshack.net) maar ook die ondersteund geen Zone Transfers voor de IPs die de SIDN vereist.

Ik maak nu wel weer gebruik van de DNS-records bij Nederhost.

[Verwijderd]

Op dinsdag 02 april 2002 16:13 schreef Remc0 het volgende:
alhoewel complete zone-transfer vrij gevaarlijk is, en zelfs bij de meeste scanners als bug/exploit bekend staan.

Het toestaan van zone transfers is niet gevraarlijk. In het geval van een buggy nameserver waarschijnlijk wel, maar dan was ie bijna zeker ook zonder het toestaan van zonetransfer exploitable geweest. Het enige wat er gevaarlijk is aan een zonetransfer, is dat iedereen kan zien welke servers je in je DNS hebt staan. Maar goed, als je security gebaseerd is op 'security by obscurity' kun je nauwelijks je nameserver de schuld geven van slechte beveiliging.

[Verwijderd]

Als je niet weet of je nameserver buggy is kan je altijd eerst nog even een nameserver check doen voor de domeinen.

En verder gewoon test draaien,

[Verwijderd]

Ik bedoelde met 'buggy' eigenlijk vooral security bugs, omdat Remc0 riep dat het toestaan van zonetransfers gevaarlijk zou zijn. De nameserver check waar jij het (waarschijnlijk) over hebt - zoals hij bijvoorbeeld op de site van de stichting te vinden is - controleert alleen of een bepaalde zone aan de eisen voldoet die zijn daar aan stellen.