10.3 DNS 與防火牆協同運作

結合 DNS 與防火牆時，首要考量為：組織安全策略與防火牆類型。策略決定允許通過的流量；防火牆類型（封包過濾、Proxy、狀態檢測、警示）則決定資料在專用網路、DMZ 與 Internet 間的處理方式。狀態檢測機制會檢查進出封包資訊以判定會話狀態，進而決定是否放行。

安全策略的兩大取向

1. 開放存取＋完備備份： 甚至不在邊界路由器設定過濾，依賴事後備份恢復。
2. 最小權限原則： 僅開放必要連接埠、協定與特定主機，且同網段主機間仍需互相防禦。

第二種方案要求每台主機使用獨立管理帳號與密碼，限制機器間信任關係，如同軍用機場分散停放戰機與燃料，將損失控制在單一節點。這雖降低管理便利性，但大幅提高入侵成本。

DNS 部署關鍵原則

• 確保外部世界可存取一台授權 DNS 以解析公開主機。
• 內部主機需能透過轉發器或 Proxy 查詢外部域名。
• 最佳保護：定期備份區域與配置檔，並確保備份可即時還原。

分割式 DNS 架構

採用內外部雙主伺服器：外部主伺服器僅保留 MX、WWW、FTP 等極少量記錄，並提供反向查詢所需 PTR 記錄；內部主伺服器包含所有內部主機記錄，並設定為外部 DNS 的從屬轉發器。防火牆僅允許兩主伺服器間的 DNS 查詢與區域傳輸，阻擋外部查詢直達內部伺服器。此架構雖需維護兩組區域檔案，但可有效隔離內外部命名空間，若使用不同內外部域名可避免名稱衝突。

替代架構：內部主、外部從

在防火牆或 DMZ 內部署主伺服器，外部部署從伺服器。所有維護操作在內部完成，外部從伺服器自動同步。此法比開放外部存取主伺服器更安全，且區域損毀時仍可從內部主伺服器恢復。建議防火牆僅開放主從同步所需通訊埠，甚至改用非標準高位埠而非 53 埠。

10.4 服務通告與 SRV 記錄

Windows 已認知封鎖 NetBIOS 埠為基本防範。DNS 區域傳輸資訊同樣能繪製網路拓撲，SRV 記錄的引入使 DNS 具備與 NetBIOS 同等的服務發現能力（如定位網域控制站、Web、資料庫伺服器）。但公開 SRV 記錄等同擴大攻擊面；若無對外發布必要，應採用分割式 DNS 隱藏內部服務記錄。LDAP 雖非 DNS 直接相關，但 Active Directory 建構於 LDAP 之上，其資訊蒐集能力同樣不容忽視，核心在於界定「合法使用者」的邊界。

10.5 動態 DNS (DDNS) 安全性

動態更新功能雖帶來便利，卻為域名劫持、欺騙、中間人攻擊與惡意破壞提供契機。問題不在「必須如何」，而在「可能如何被濫用」。隨著工業級 DNS 提供者採用此技術，必須嚴格限制更新權限（如 GSS-TSIG），並啟用稽核日誌，才能在彈性與安全間取得平衡。