我真的需要远程专用服务器上的 DNS 服务吗

Question

我有一台运行 Windows Server 2012 R2 的远程专用服务器。它是托管在数据中心的单个服务器。我们一直在报告 DNS 服务因漏洞利用而滥用的问题。

所以我希望能够完全关闭 DNS。我 90% 确定我们不需要它。但是，我不是 100% 确定。我们使用远程桌面连接远程访问服务器，它通过 IIS 和一些其他服务（例如 SVN）托管一些 Web API。

禁用 DNS 服务是否安全？

Answer 1

如果无法访问服务器，很难准确判断是否需要它，但听起来您正在运行公共 DNS 服务器，因为它已成为漏洞利用的目标。

在公共 Internet 上运行 DNS 服务器的唯一原因是提供记录，所以如果有人在不需要它的情况下正确设置它，我会感到惊讶。

最好的起点是调查您的域的 DNS 记录。

例如，假设您的公司拥有域 example.com 和 example.org。检查两个域名服务器记录 (NS) 是否未指向该特定服务器。

检查相同内容的另一种方法是mmc.exe在服务器上打开并添加 DNS 管理单元。在 Forward Zones 下查看服务器配置为服务的记录类型。

Answer 2

听起来像是启用了 DNS 递归，幸运的是它很容易回答：

• 检查任何正向或反向查找区域。
• 如果有任何转发区域，请在注册商处检查这些域的名称服务器记录，并确保它们没有指向 DNS 服务器。
• 如果不是，请完全关闭 DNS。
• 如果是，请禁用服务器上的递归。

在执行最后两个之前，请确保将网络配置中服务器的 DNS 服务器 IP 地址更改为备用服务器，因为当 DNS 服务器启用递归时，它通常会将记录解析为自身。