如何將 Bind9 配置為僅轉發器？

Question

我需要配置 DNS 轉送伺服器，但到目前為止我已經遇到了困難這教程。請參閱下面的配置。我的問題是我不想阻止客戶端（即goodclients）存取伺服器，因為我計劃將其發佈在網域 NS 記錄中。問題是如何將其配置為僅以安全方式轉發（不查詢）？基本上我想將轉發器用作“虛榮”伺服器，而不存在文章中提到的 DDOS 風險。

acl goodclients {
        107.170.41.189;
        localhost;
        localnets;
};

options {
        directory "/var/cache/bind";

        recursion yes;
        allow-query { goodclients; };

        forwarders {
                8.8.8.8;
                8.8.4.4;
        };
        forward only;

        dnssec-validation auto;

        auth-nxdomain no;    # conform to RFC1035
        listen-on-v6 { any; };
};

Answer 1

如果我正確理解您的問題，您只是想允許來自所有客​​戶端的查詢，但只允許選擇網路的遞歸/轉發，那麼您可能實際上並不想設置allow-query首先而是設定allow-recursion反而。

非常值得閱讀有關allow-*設定的官方手冊（上面連結），特別是預設值以及這些設定如何交互。