Dead Packets

24/08/2009

DNS usa TCP ?

Filed under: segurança — drak @ 10:00 AM

Todos sabemos que as queries de resolução de nomes são realizadas na porta 53/UDP, certo ?
A experiência mostra que nem sempre isso é verdade. Ao realizar o controle de acesso para um servidor DNS, libera-se tradicionalmente o 53/UDP, utilizado para queries e quando aplicável o 53/TCP, utilizado para Zone Transfers.

Porém ainda que você não tenha a necessidade de utilizar a funcionalidade de transferência de zona é necessário a liberação da 53/TCP em alguns casos, esse comportamento (não explicitamente declarado na RFC 1035, que dita a implementação do DNS) pode ser explicado principalmente, mas não exclusivamente, pelas razões abaixo:

  • Resposta à query UDP demorou, sendo seguida por uma query TCP (após 3-5s);
  • Utilização de um client para a query como nslookup ou dig;
  • Alguém realizando teste de conectividade ao seu servidor DNS, como telnet.

Como exemplo da utilização normal do UDP, vejam a troca de pacotes numa solicitação comum de resolução de nome.

dns_udp

Agora uma tentativa de zone transfer, que foi devidamente negada. Percebam que a tentativa é realizada contra a 53/TCP.

dns_tcp

Uma das causas para a requisição UDP falhar é a resposta ter mais de 512 bytes, o que fragmenta o UDP e pode ser descartado por alguns filtros de inspeção.

Cabe lembrar que esse comportamento não é o mais comum e não deve-se liberar o 53/TCP a não ser que seja explicitamente necessário ao negócio e que a zone transfer esteja corretamente configurada.

Referências
Public DNS Servers

Use of TCP port 53 for queries?
DNS or other Services works on both TCP and UDP
RFC 1035 – DOMAIN NAMES – IMPLEMENTATION AND SPECIFICATION

Anúncios

Deixe um comentário »

Nenhum comentário ainda.

RSS feed for comments on this post. TrackBack URI

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s

Crie um website ou blog gratuito no WordPress.com.

%d blogueiros gostam disto: