Unbound - rekursiv oder nicht?

[stna1981]

Hallo zusammen,

ich bin gerade etwas verwirrt, was die beste Einstellung für Unbound ist. Unbound ist ja ein " validating, recursive, caching DNS resolver". Jetzt habe ich gelesen, dass das recursive eher nicht so gut sei, da man von gespooften IPs gefakte Requests untergeschoben bekommen kann. Ich ging bisher davon aus, dass man auf der sicheren Seite ist, wenn Unbound immer bei den Root-DNS anfragt, sprich sich bis zum am Ende zuständigen DNS durchfragt und die IP dann selber cached.

Verhält sich das jetzt doch anders? Oder gilt das Problem mit IP-Spoofing nur, wenn Unbound seine Anfragen an andere DNS wie Google, Cloudflare etc. weiterleitet?

Viele Grüße

Stefan

 

[snaxilian]

Genau gegen diesen Angriffsvektor gibt es ja DNSSEC, das auch unbound nutzen kann.

 

[stna1981]

Das nutze ich auch. Aber nicht jeder Server unterstützt das ja. Also ist es mit DNSSEC jetzt besser, zu forwarden oder Unbound sich selber zum Authoritative DNS durchfragen zu lassen?