AXFR, IXFR et TSIG

AXFR transfère une zone entière. IXFR peut transférer seulement les changements depuis un serial connu si le serveur conserve l’historique nécessaire. Ces mécanismes aident les secondaires autorisés à garder leur copie à jour ; ils ne sont pas destinés à publier des zones internes.

Limitez les transferts aux serveurs secondaires connus par la configuration et des contrôles réseau. TSIG authentifie des messages DNS, notamment les transferts, au moyen d’une clé partagée. Protégez ce secret, renouvelez-le avec précaution et surveillez les demandes inattendues ou échouées. Cacher le nom du primary n’est pas un contrôle d’accès.

Références : RFC 5936 — AXFR · RFC 1995 — IXFR · RFC 8945 — TSIG

Vérifiez votre compréhension

Choisissez la meilleure réponse. Les exemples utilisent des noms pédagogiques et n’envoient aucune requête réelle.

Quiz#dns.m11.l2.e1

Quelle combinaison décrit le mieux un transfert sécurisé ?

AXFR ouvert et TTL faibleAutoriser les secondaires, limiter le réseau et authentifier avec TSIGCacher le nom du primary