《Ourlinux》杂志

早上得到这个漏洞的消息，因为危险太大，所以不得已赶紧升级了一下！

具体影响的版本可以见：https://www.isc.org/node/474

具体的攻击脚本见：http://downloads.securityfocus.com/vulnerabilities/exploits/35848.txt

祝好运！

部署原则

• 至少有2台以上的服务器，防止服务器的单点；
• 分布在不同的IDC，且不同的ISP机房，最好是不在同一城市，防止IDC和链路的单点；
• 所在IDC链路的速度要稳定和高效，比如是骨干节点
• 放在防火墙后面，因为DNS服务器一旦遭受攻击效果非常明显，后果非常严重；
• 放在在不同的机柜下，防止电源单点；
• 放在不同的交换机下，防止交换机单点；
• 我们现在使用的BIND9是一款老牌知名的DNS软件，稳定性高，性能可以达到：30Kqps；
• DNS对系统资源消耗并不是很多（带宽也就几百Kbps），普通的DELL（根据经验，DELL的机器相对是比较稳定的）机器就可以了；
• 维护方便，不然出问题不能很快响应那是很糟糕的；

BIND 9统计数据
+++ Statistics Dump +++ (1212152701)
success 463908401
referral 1721763
nxrrset 45728106
nxdomain 102814
recursion 0
failure 0
— Statistics Dump — (1212152701)
这里：
1212152701是时间戳，可以用date命令来转换：
% date -d ‘1970-01-01 1212152701 sec’
Fri May 30 13:05:01 CST 2008

success：这是名字服务器处理的成功的查询数目。成功的查询是那些不以指向别的名字服务器或者错误为结果的查询。
referral：这是名字服务器处理的以指向别的名字服务器为结果的查询的个数。
nxrrset：这是名字服务器处理的一种查询的数目，这种查询的结果是响应会说：对于指定的域名没有所要求的记录类型。
nxdomain：这是名字服务器处理的结果为查询者所指定的域名不存在的查询个数。
recursion：这是名字服务器收到的请求递归查询处理获得回答的查询的个数。
failure：这是名字服务器收到的一种查询的个数，这种查询的结果是除了nxrrset和nxdomain中所包括的以外的其他错误。

要实现bind view的同步以前需要在slave的机器上加上多个IP才可以，其实更简单的方法可以结合TSIG来实现。

具体实现方法可以见： 《DNS TSIG实现CDN+GSLB》

其实很简单，关键是要仔细，特别提醒：注意权限。