La documentation de MacOS Server 10.12.6 indique qu'il faut empêcher les transferts arbitraires de zones à partir de notre serveur DNS, et que le moyen d'y parvenir est de mettre en place un pare-feu sur le port 53 pour toute personne ne faisant pas partie de notre réseau local, avec des exceptions spécifiques pour nos serveurs DNS secondaires.
Ce qu'ils ne mentionnent pas, c'est que le port 53 est l'endroit où les tous Le trafic DNS va, donc le pare-feu de ce port ferme également nos services DNS pour tous ceux qui sont en déplacement. Oui, nous avons des connexions VPN ; non, elles ne sont pas appliquées et nous ne voulons pas commencer à le faire.
La question qui se pose alors est la suivante 1) comment demander au serveur de faire la distinction entre les transferts et les simples requêtes DNS ; 2) si c'était simple, pourquoi la documentation d'Apple ne dit-elle pas de le faire ? que ? J'ai cherché et trouvé les instructions pour faire cela avec le bon vieux BIND n'importe où sauf sur un Mac - et c'est le même fichier que la documentation m'a dit d'éditer il y a deux semaines pour résoudre un problème de sécurité différent.
/Applications/Server.app/Contents/ServerRoot/private/etc/named.conf
La prochaine étape consiste à modifier le fichier, à essayer d'attaquer mon propre serveur et, en cas d'échec, à marquer l'opération comme terminée. Dans ce cas, je peux revenir et répondre à ma propre question. Mais cela nécessite de trouver comment faire une attaque par transfert de zone - et cela me ramène à la case départ si je suis les instructions de BIND vanille et que cela ne fonctionne pas. Quelqu'un a une idée ?
