封鎖遞歸查詢可以使名字處事器進(jìn)入被動(dòng)模式，它再向外部的DNS發(fā)送查詢請(qǐng)求時(shí)，只會(huì)答復(fù)本身授權(quán)域的查詢請(qǐng)求，而不會(huì)緩存任何外部的數(shù)據(jù)，所以不行能蒙受緩存中毒進(jìn)攻，可是這樣做也有負(fù)面的結(jié)果，低落了DNS的域名理會(huì)速度和效率。
以下語(yǔ)句僅答允172.168.10網(wǎng)段的主機(jī)舉辦遞歸查詢：
| allow-recusion {172.168.10.3/24; } |
（2）限制區(qū)傳送（zone transfer）
假如沒(méi)有限制區(qū)傳送，那么DNS處事器答允對(duì)任何人都舉辦區(qū)域傳輸，因此網(wǎng)絡(luò)架構(gòu)中的主機(jī)名、主機(jī)IP列表、路由器名和路由IP列表，甚至包羅各主機(jī)地址的位置和硬件設(shè)置等環(huán)境都很容易被入侵者獲得在DNS設(shè)置文件中通過(guò)配置來(lái)限制答允區(qū)傳送的主機(jī)，從必然水平上能減輕信息泄漏。
可是，需要提醒用戶留意的是：縱然封閉整個(gè)區(qū)傳送也不能從基礎(chǔ)上辦理問(wèn)題，因?yàn)檫M(jìn)攻者可以操作DNS東西自動(dòng)查詢域名空間中的每一個(gè)IP地點(diǎn)，從而得知哪些IP地點(diǎn)還沒(méi)有分派出去，操作這些閑置的IP地點(diǎn)，進(jìn)攻者可以通過(guò)IP欺騙偽裝成系統(tǒng)信任網(wǎng)絡(luò)中的一臺(tái)主機(jī)來(lái)請(qǐng)求區(qū)傳送。
以下語(yǔ)句僅答允IP地點(diǎn)為172.168.10.1和172.168.10.2的主性可以或許同DNS處事器舉辦區(qū)域傳輸：
|
acl list { 221.3.131.5; 221.3.131.6; zone "test.com" { type master; file "test.com "; allow-transfer { list; }; }; }; |
（3）限制查詢（query）
假如任何人都可以對(duì)DNS處事器發(fā)出請(qǐng)求，那么這是不能接管的。限制DNS處事器的處事范疇很重要，可以把很多入侵者據(jù)之門(mén)外。
修改BIND的設(shè)置文件：/etc/named.conf插手以下內(nèi)容即可限制只有210.10.0.0/8和211.10.0.0/8網(wǎng)段的查詢當(dāng)?shù)靥幨缕鞯乃袇^(qū)信息，可以在options語(yǔ)句里利用如下的allow-query子句：
|
options { allow-query { 210.10.0.0/8; 211.10.0.0/8;}; }; |
（4）疏散DNS（split DNS）
回收split
DNS（疏散DNS）技能把DNS系統(tǒng)分別為內(nèi)部和外部?jī)刹块T(mén)，外部DNS系統(tǒng)位于民眾處事區(qū)，認(rèn)真正常對(duì)外理會(huì)事情；內(nèi)部DNS系統(tǒng)則專(zhuān)門(mén)認(rèn)真理會(huì)內(nèi)部網(wǎng)絡(luò)的主機(jī)，當(dāng)內(nèi)部要查詢Internet上的域名時(shí)，就把查詢?nèi)蝿?wù)轉(zhuǎn)發(fā)到外部DNS處事器上，然后由外部DNS處事器完成查詢?nèi)蝿?wù)。把DNS系統(tǒng)分成表里兩個(gè)部門(mén)的長(zhǎng)處在于Internet上其它用戶只能看到外部DNS系統(tǒng)中的處事器，而看不見(jiàn)內(nèi)部的處事器，并且只有表里DNS處事器之間才互換DNS查詢信息，從而擔(dān)保了系統(tǒng)的安詳性。而且，韓國(guó)主機(jī)
韓國(guó)游戲代理，回收這種技能可以有效地防備信息泄漏。
在BIND 9中可以利用view語(yǔ)句舉辦設(shè)置疏散DNS。view語(yǔ)句的語(yǔ)法為：
|
view view_name { match-clients { address_match_list }; [ view_option; ...] zone_statement; ... }; |
◆match-clients：該子句很是重要，它用于指定誰(shuí)能看到本view。可以在view語(yǔ)句中利用一些選項(xiàng)；
◆zone_statement：該子句指定在當(dāng)前view中可見(jiàn)的區(qū)聲明。假如在設(shè)置文件中利用了view語(yǔ)句，則所有的zone語(yǔ)句都必需在view中呈現(xiàn)。對(duì)同一個(gè)zone而言，設(shè)置內(nèi)網(wǎng)的view應(yīng)該置于外網(wǎng)的view之前。
下面是一個(gè)利用view語(yǔ)句的例子，它來(lái)自于BIND9的尺度說(shuō)明文檔：
|
view "internal" { match-clients { our-nets; }; // 匹配內(nèi)網(wǎng)客戶的會(huì)見(jiàn) recursion yes; // 對(duì)內(nèi)網(wǎng)客戶答允執(zhí)行遞歸查詢 zone "example.com" { // 界說(shuō)內(nèi)網(wǎng)客戶可見(jiàn)的區(qū)聲明 type master; file "example.com.hosts.internal"; }; }; view "external" { match-clients { any; };
// 匹配 Internet 客戶的會(huì)見(jiàn) // 界說(shuō) Internet 客戶可見(jiàn)的區(qū)聲明 type master; file "example.com.hosts.external"; }; 
|
