NxFilter como servidor DNS
NxFilter es básicamente un servidor DNS con capacidad de filtrado. También se puede utilizar
como servidor DNS autoritativo.
Servidor DNS Autoritativo
NxFilter puede funcionar como servidor DNS autoritativo.
1. Zone File
Utilizamos el mismo formato de fichero de zona que BIND. Se crea un fichero de zona para un dominio en DNS > Zone File.
Puede añadir sus hosts en la zona DNS editandolo en GUI.
2. Clustering
Cuando construya un cluster de NxFilter, sus nodos esclavos tambien funcionaran como un servidor DNS autoritativo
con la configuración del nodo maestro. No necesita configurar un servidor DNS secundario para redundancia.
Ya está agrupado.
Ejecutarlo en internet
Como NxFilter es un filtro DNS con autenticacion, cuando lo use como servidor DNS autoritativo
hay varias cosas en las que tendrias que pensar.
- Autenticación
Debe habilitar la autenticacion especialmente cuando ponga NxFilter en internet para evitar de
ser un objetivo de ataque DNS. Pero el problema es que si habilita la autenticación
las consultas DNS para sus dominios desde usuarios anónimos serán redirigidas a la página de registro de NxFilter.
Para permitir las consultas DNS anónimas contra su dominio, necesita omitir la autenticación para el dominio.
- Filtrado
Al ser un filtro DNS, NxFilter puede bloquear su dominio por alguna razón. Esto provocará
a un fallo en la resolución de su propio dominio. Para evitar este tipo de problemas,
debe evitar el filtrado de su dominio.
- Demasiados datos de registro
Podría tener demasiados datos de registro para su dominio como resultado de un ataque DNS. Podría ser mejor omitir
el registro de su dominio.
Cuando sufre ataques DNS
Cuando pone NxFilter en la nube, puede estar bajo ataques DNS. Una vez que esté bajo ataques DNS
usted tendrá tráfico masivo a su servidor. Su NxFilter no puede manejar todo el tráfico y, finalmente, se verá como casi
muerto y obtendrá registros de error sobre 'Cola llena'.
Para evitar este tipo de problemas, lo mejor es ocultar su servidor DNS y no responder a estos atacantes.
Para ocultar su NxFilter de estos atacantes, puede habilitar la autenticación en primer lugar. NxFilter responderá a las consultas DNS
de usuarios desconocidos con su IP de Redirección de Bloqueo.
Sin embargo, todavía pueden pensar que hay un servidor DNS para atacar ya que obtienen respuesta de todos modos. Para ocultarlo completamente de estos atacantes
necesitamos dejar caer los paquetes de estos usuarios desconocidos silenciosamente. Para este propósito, puedes habilitar 'Disable Login Redirection'
en System > Setup y NxFilter eliminará los paquetes de estos atacantes.
Ejecutando un servidor local recursivo
Es posible que desee ejecutar un servidor DNS recursivo local como MaraDNS o Unbound en la misma máquina en la que ejecuta NxFilter.
Algunas personas quieren hacer eso para acelerarlo y algunas personas quieren hacer eso para ocultarse a sí mismos
de servidores DNS públicos o de la censura en Internet.
Cuando ejecutas un servidor DNS recursivo local, puedes tener un problema de colisión de puertos.
Por lo tanto, necesitas cambiar el número de puerto de tu servidor DNS recursivo. Después de cambiar el número de puerto a
uno no estándar como 5353, puedes especificar el número de puerto para el Servidor DNS Upstream en DNS > Setup utilizando
dos puntos como a continuación.
ex) 127.0.0.1:5353
