La documentación de MacOS Server 10.12.6 dice que debemos evitar las transferencias arbitrarias de zonas fuera de nuestro servidor DNS, y que la forma de hacerlo es cortafuegos el puerto 53 para cualquier persona que no esté en nuestra LAN, con excepciones específicas para nuestros servidores DNS secundarios.
Lo que no mencionan es que el puerto 53 es donde todo El tráfico DNS va, por lo que el firewall de ese puerto también cierra nuestros servicios DNS para cualquier persona en el camino. Sí, tenemos conexiones VPN; no, no se aplican y no queremos empezar.
Así que la pregunta se convierte en: 1) ¿Cómo podemos indicar al servidor que distinga entre las transferencias y las simples solicitudes de DNS? 2) Si eso fuera sencillo, ¿por qué la documentación de Apple no dice que hay que hacer que ? He buscado por ahí y he encontrado las instrucciones para hacer esto con el viejo BIND en cualquier sitio menos en un Mac, y es el mismo archivo que la documentación me dijo que editara hace dos semanas para solucionar un problema de seguridad diferente.
/Applications/Server.app/Contents/ServerRoot/private/etc/named.conf
Mi siguiente paso es editar el archivo, intentar atacar mi propio servidor, y si falla, marcarlo como hecho. En ese caso puedo volver y responder a mi propia pregunta. Pero esto requiere averiguar cómo hacer un ataque de transferencia de zona, y me deja de nuevo en el punto de partida si sigo las instrucciones de BIND vainilla y no funciona. ¿Alguien tiene alguna idea?
