Open Recursive DNS

Wat is er aan de hand?

Surfnet de 'internetprovider' van de SSHU stuurt regelmatig klachten over apparatuur op het SSHU netwerk die recursieve DNS queries toestaan vanaf het internet. Zij hebben de ervaring dat dergelijke machines misbruikt kunnen worden voor Distributed Denial of Service (DDos) aanvallen op andere systemen. Men vraagt of de SSHU wil voorkomen dat recusieve DNS queries beantwoord worden vanaf het internet.

Routers

Tot dusver blijken het steeds mini- en wifirouters te zijn die dit probleem veroorzaken. Het treedt op bij een aantal merken maar blijkt ook afhankelijk te zijn van het type router. Het is dus niet zo dat alle routers van een bepaald merk het probleem veroorzaken. We hebben het probleem tot op dit moment (26 april 2010) gezien bij (wifi)routers van de merken Sitecom, Edimax en Sweex. Uiteraard zou het probleem ook op kunnen treden op verkeerd geconfigureerde computersystemen.

Test je router

Op onderstaande site's kun je een test uitvoeren om na te gaan of een bepaald IP-adres last heeft van het probleem.
http://www.openresolvers.org/
en
http://www.thinkbroadband.com/tools/dnscheck.html

Voordat je koopt...

Voordat je tot de aanschaf van een router over gaat, zou je na moeten gaan bij de leverancier of het probleem kan optreden. Let erop dat je met de router tijdens de test niet achter een firewall zit omdat je dan een foutieve uitslag kan krijgen.

Meer informatie

Meer informatie over de aard van het probleem is te vinden op:
http://www.us-cert.gov/reading_room/DNS-recursion033006.pdf
en (inclusief verwijzingen naar oplossingen) op:
http://www.team-cymru.org/Services/Resolvers/

Hoe een Bind nameserver secure te configureren:
http://www.cymru.com/Documents/secure-bind-template.html