====== Otevřený DNS resolver ======

Na stroji běží **volně dostupný DNS resolver**.

V prvních letech Internetu bylo běžné provozovat DNS resolvery (a také poštovní servery) jako **otevřené**. V současnosti se i DNS služby obvykle omezují na okruh vlastních zákazníků z těchto důvodů:

  * Neoprávněné osoby mohou využívat něco, k čemu nebyly autorizovány (služba jim nepatří),
  * útočníci mohou do cache DNS serveru podvrhnout nesprávné údaje a tím přesměrovat uživatele na nesprávné adresy,
  * otevřené rekursivní DNS resolvery se používají v masivních útocích typu DDoS - Distributed Denial of Service.

Podrobné informace o problému otevřených rekursivních resolverů i návody k jeho odstranění lze najít např. na těchto stránkách:

  * [[https://www.cisa.gov/uscert/ncas/alerts/TA13-088A]]
  * [[https://www.cisa.gov/uscert/sites/default/files/publications/DNS-recursion033006.pdf]]
  * [[http://dns.measurement-factory.com/writings/wessels-netts2004-paper.pdf]]

  * [[http://podpora.nic.cz/page/384/varovani-pred-otevrenymi-rekurzivnimi-nameservery/]]
  * [[http://podpora.nic.cz/page/530/jak-odhalit-otevreny-rekurzivni-name-server/]]

Zde lze otestovat, zda DNS resolver odpovídá na dotazy "Recursion Desired" (ale nehlásí chybu, pokud je resolver off-line):
  * [[http://www.openresolver.com]]
Dtto s použitím příkazové řádky:
  * ''$ dig +short test.openresolver.com TXT @IP_address''

Zato NMAP ohlásí všechno, co potřebujeme vědět:
  * ''# nmap %%--%%reason -sU -p53 %%--%%script=dns-recursion IP_address''

Zde lze otestovat konfiguraci všech DNS zadané domény:
  * [[https://dnsinspect.com/]]