Que se passe-t-il lorsque quelqu'un accède à votre contrôle DNS et définit un TTL de 100 ans sur votre domaine, tout en pointant son IP vers un site Web obscur?
(et vous le découvrez trop tard bien sûr)
Que se passe-t-il lorsque quelqu'un accède à votre contrôle DNS et définit un TTL de 100 ans sur votre domaine, tout en pointant son IP vers un site Web obscur?
(et vous le découvrez trop tard bien sûr)
Réponses:
Ryan a fourni une excellente réponse à une interprétation de votre question. Compte tenu de notre public cible et de la situation des personnes les plus susceptibles de tomber sur la question, je vais répondre à une autre.
Vous avez ici quelques options. Mais avant tout, vous devez identifier le vecteur de problème et l'éliminer. Essayer de contenir les dégâts est inutile lorsque vous n'avez aucun contrôle sur le problème qui se répète.
Eh bien, tout d'abord, le manuel de configuration de Bind que je regarde indique que TTL est un entier signé 32 bits, exprimé en secondes, ce qui lui donne un maximum théorique de 2 ^ 31. Ça dit
Les TTL valides sont compris entre 0 et 2147483647 secondes.
Ou environ 68 ans. Donc, vous ne pouvez probablement pas le fixer à 100 ans en premier lieu.
Supposons donc que vous le fixiez à 68 ans. Il est assez clair ce qui se passerait. Les résolveurs DNS qui respectaient le TTL extrêmement long sur vos enregistrements DNS les mettaient en cache aussi longtemps qu'ils le pouvaient. Certains résolveurs DNS ne respectent pas du tout les TTL et implémentent simplement leur propre politique de mise en cache comme ils le souhaitent.
La raison pour laquelle nous ne pouvons pas mettre un seul chiffre dur sur les maximums est qu'il existe de nombreuses implémentations différentes de DNS créées par de nombreux fournisseurs différents, et qu'ils utilisent tous des variables légèrement différentes. Par exemple, un serveur DNS fonctionnant sur Juniper JunOS ne durera que 604800 secondes, ou 7 jours, sur le TTL.
max-cache-ttl
: "Définit la durée maximale pendant laquelle le serveur mettra en cache les réponses ordinaires (positives). La valeur par défaut est une semaine (7 jours)."