using specific query-source port

サーバ

# cat /var/log/messages
Aug 1 00:00: HOSTNAME named[3264]: /etc/named.conf:9: using specific query-source port suppresses port randomization and can be insecure.

# cat /etc/named.conf
options {
# listen-on port 53 { 127.0.0.1; };
# listen-on-v6 port 53 { ::1; };
directory “/var/named”;
dump-file “/var/named/data/cache_dump.db”;
statistics-file “/var/named/data/named_stats.txt”;
memstatistics-file “/var/named/data/named_mem_stats.txt”;

query-source port 53;
query-source-v6 port 53;
allow-query { any; };
allow-query-cache { any; };

“(/var/named/chroot/)etc/named.conf”の9行目について、クエリーソースのポートを指定しているけど
ランダムにした方がセキュアですよ～、って意味のログです。
デフォルトでは53番ポート指定の設定になってますが、ファイアーウォール等の都合がある場合を除いて
コメントアウトしておいた方が良いです。

ポート指定のままにしておく危険性は以下のサイトが参考になります。
後編 DNSキャッシュポイズニングの原因・対策・その理由
http://www.atmarkit.co.jp/fsecurity/special/131dnspoisoning2/dnspoisoning01.html

=======================================================
メモ:

listen-on port 53 { 127.0.0.1; };
コメントアウトもしくは記述がない場合は、全インターフェースのport53で問い合わせ待ちします。
上記の設定では”127.0.0.1からのport53への問い合わせのみ対応”ということになります。
なので、/etc/resolv.confに”nameserver 192.168.0.1″だと応答してくれません。

query-source port 53
自分では名前解決できないドメインを他DNSサーバに問い合わせする場合に使用するポート番号です。
コメントアウトもしくは記述がない場合は、ランダムでポートを使用します。

allow-query { any; };
名前解決の問い合わせに応答するネットワークを指定します。
内部向けDNSならローカルネットワークのみ指定します。

=======================================================

先日、bindのアップグレード後にサーバを再起動したら名前解決ができない…。
障害の原因切り分けで、127.0.0.1からの問い合わせには応答するのに、192.168.0.1(サーバのIPアドレス)には応答しない、なんだこれは？
原因は、resolv.confが”nameserver 192.168.0.1″になってるのに
設定ファイルがアップグレードで書き換わって”listen-on port 53 { 127.0.0.1; };”になってたというオチでした。