UDP porte på NT (DNS)

Hvilken implementation af DNS bruger du? MS / BIND / Andet?

Hmm...jeg bruger MS, men det er klienten der er problemet.

Er det klienten du mener der svarer tilbage på 1038...etc?

Du mener da serveren, ikke?

/BuG

Jo men klienten beder serveren om at svare tilbage på den port. Og det er det der er problemet.

Det ligger i arkitekturen, at det SKAL være sådan.
Når et program skal lave et dns-opslag, beder programmet om en ledig udp-port over 1024, som den kan modtage svar på, og sender derefter forespørgslen afsted med besked til serveren om at svare på den tildelte port.
Hvis svarene altid skulle tilbage til samme port, ville det kun være muligt at lave eet dns-opslag ad gangen, hvilket ikke er særlig hensigtsmæssigt.
Jeg går ud fra, at dit problem er, at du skal lave et filter for indkommende trafik på en firewall? I så fald kan du tillade udp fra port 53 til porte >=1024. Hvis din firewall er god nok, kan du også specificere, at pakken skal indeholde et dns-reply.
Det er ikke et skudsikkert filter, men ellers skal din firewall holde styr på udestående dns-opslag.

svindler > du er helt forkert på den der *SS*
Jeg har selv fundet løsningen.

En server til server request kører kun på port 53 så min løsning er at installere en Cache-Only DNS server på cåmpen....og sætte serveren op til kun at bruge sig selv som DNS.

btw...En server kan sagtens håndtere flere requests af gangen på samme port.

En dns-server har ikke udestående forespørgsler. Når forespørgslen kommer, svarer den og har derefter glemt alt om forespørgslen.
Zone transfers er en anden ting. Der kan serveren holde styr på sessionerne vha klientens ip-adresse og port-nummer. (Zone transfers kører iøvrigt normalt (kun?) på tcp)

Den løsning jeg ledte efter er hvordan man kan lukke af for UDP portene 1024+, og den har jeg fundet.

Du kan ikke styre hvilken port svaret kommer på. det styres af klienten, men du kan styre hvordan åbningen og især lukningen af porte over 1023 sker.

Det du skal anvende er en firewall med stateful inspection. Denne firewall vil holde øje med kommunikationens state, og dermed kun åbne for porten for den kommunikation der hører til den oprindelige forespørgsel, og lukke for porten straks igen.

Med stateful inspection er det hul der åbnes mindst muligt.

Netfilter der er den indbyggede firewall i linux har stateful inspection og den er jo ganske gratis så den kan løse dit problem. Jeg vil anvbefale at du læser disse to artikler.

http://www.eksperten.dk/artikler/554
http://www.eksperten.dk/artikler/158

Der er andre artikler du også kunne få noget ud af at læse
http://www.eksperten.dk/artikler/Sikkerhed/