Lezioni del modulo (2/3)
AXFR, IXFR e TSIG
AXFR, IXFR e TSIG
AXFR trasferisce una zona completa; IXFR trasferisce le differenze fra seriali quando il secondario e il primary hanno abbastanza cronologia. Sono meccanismi di sincronizzazione fra server, non query da esporre a chiunque.
Come funziona
La policy del primary deve autorizzare i secondari attesi. TSIG aggiunge un controllo crittografico basato su una chiave condivisa: aiuta a riconoscere messaggi di trasferimento o aggiornamento autorizzati, ma richiede distribuzione e rotazione sicura delle chiavi.
Esempio svolto
Scenario: ns2.example.test deve ricevere la zona da ns1.example.test. L’operatore autorizza l’indirizzo del secondario e configura una chiave TSIG sui due lati. Un client casuale che chiede AXFR non deve ricevere l’intera zona.
Attenzione
Non confondere segretezza e autorizzazione: TSIG autentica il messaggio, ma l’accesso va limitato anche con policy di rete e configurazione. I trasferimenti in chiaro possono essere protetti con un trasporto cifrato quando il caso operativo lo richiede.
Fonti per approfondire
RFC 5936 — AXFR · RFC 1995 — IXFR · RFC 8945 — TSIG
Verifica
Scegli la risposta migliore. Gli esempi usano nomi e indirizzi didattici e non inviano query DNS reali.
Quale combinazione descrive meglio un trasferimento sicuro?