Descrição da configuração do DNS Server Proteger Cache contra poluição

Este artigo fornece uma descrição da configuração de "Proteger cache contra poluição" servidor DNS. Servidor DNS da Microsoft no Windows NT 4.0 e no Windows 2000 é capaz de proteção contra poluição do cache (também chamado de "Proteger cache contra poluição" ou "SecureResponses"). Por padrão, essa configuração não está ativada no Windows NT 4.0 e anterior ao Windows 2000 Service Pack 3 (SP3). Após ativar essa configuração, o servidor DNS ignora registros de recursos DNS que vêm de servidores que não têm autoridade para elas. Embora isso pode causar extras consultas DNS, os benefícios de segurança superem muito o custo das consultas extras, para que habilitar a proteção contra poluição do cache DNS é altamente recomendável.

Proteção contra poluição do cache DNS é ativada por padrão no Windows 2000 SP3 e versões posteriores. Proteção contra poluição do cache DNS é ativada por padrão no Windows Server 2003. No Windows 2003 DNS que a configuração de chave do Registro não existe, porém a configuração é habilitada por padrão. Em uma janela de comando você pode verificar a configuração atual executando o seguinte comando: Para obter informações adicionais sobre como ativar a proteção contra poluição do cache DNS no Windows NT 4.0 ou Windows 2000, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

Exemplo de proteção contra poluição de cache

O servidor DNS recebe essa resposta a uma consulta é enviada para um servidor de nome para exemplo.com: O servidor DNS sempre armazena em cache o registro NS nessa resposta porque ele é um nome que está dentro a autoridade do servidor DNS que foi recebida do. Com proteção de poluição de cache desabilitada, o registro é também armazenadas em cache. No entanto com proteção de poluição do cache habilitada, o registro será ignorado e o servidor DNS inicia uma consulta de atualização de cache para resolver o endereço de ns.isp.com. Isso ocorre porque a consulta foi recebida de um servidor de nomes para exemplo.com, mas ns.isp.com está fora do domínio exemplo.com. Embora uma consulta DNS adicional é necessária para resolver a consulta original neste exemplo, os resultados de consulta ns.isp.com são armazenados em cache o impacto deve ser mínimo.

Outro exemplo de proteção contra poluição de cache

O servidor DNS recebe essa resposta a uma consulta é enviada para um servidor de nome para exemplo.com: Com proteção de poluição de cache desabilitada, registro de NS do invasor para microsoft.com é armazenada em cache, que faz com que resolução de nomes para falhar ou ser seqüestrado para consultas subseqüentes para nomes que estão no domínio microsoft.com. Com proteção de poluição do cache habilitada, o registro NS e o registro nessa resposta são ignorados porque eles são ambos para nomes fora de example.com.