<div dir="ltr"><div class="gmail_extra"><div><div class="gmail_signature" data-smartmail="gmail_signature"><br></div></div><div class="gmail_quote">On Wed, Nov 16, 2016 at 8:56 AM, Florian Weimer <span dir="ltr"><<a href="mailto:fweimer@redhat.com" target="_blank">fweimer@redhat.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 11/16/2016 02:21 PM, Bob Harold wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On Wed, Nov 16, 2016 at 8:00 AM, Florian Weimer <<a href="mailto:fweimer@redhat.com" target="_blank">fweimer@redhat.com</a>> wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On 10/29/2016 11:06 AM, Phil Regnauld wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Mark Andrews (marka) writes:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Thanks.  Firewall are the biggest problems at the moment.<br>
<br>
</blockquote>
<br>
        Firewalls in front of DNS servers still puzzle me.<br>
<br>
</blockquote>
<br>
If you want to run BIND, a packet filter in front of it currently is the<br>
only way to switch off processing of DNS UPDATE messages in BIND, so I can<br>
see why people do this.<br>
<br>
Florian<br>
<br>
<br>
</blockquote>
Why not just:<br>
      allow-update { none; };<br>
in BIND?<br>
</blockquote>
<br></span>
BIND will still process the DNS UPDATE messages, so that it can return the right response code.<span class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I would expect that to be not much work processing than what the firewall<br>
has to do, and less because of the overhead of the firewall.<br>
</blockquote>
<br></span>
As far as I know, your configuration change does not disable DNS UPDATE processing because BIND determines the UPDATE capability of a view only after it has found the view, which requires parsing the packet.<br>
<br>
BIND could have a global flag indicating whether any view has UPDATE capability, an if it is not set, reject UPDATE messages early.  I'm not sure if this change is worth it, or if all DNS UPDATE related bugs have been ironed out.<span class="HOEnZb"><font color="#888888"><br>
<br>
Florian<br>
</font></span></blockquote></div><br></div><div class="gmail_extra">In general I agree.  If there are bugs in BIND packet processing that are not quickly fixed, then using a firewall (or iptables rule) in the interim is a reasonable solution.  But I would avoid it if possible.</div><div class="gmail_extra">Adding an early exit if no updates are permitted might be a reasonable optimization to make.</div><div class="gmail_extra"><br></div><div class="gmail_extra">-- </div><div class="gmail_extra">Bob Harold</div><div class="gmail_extra"><br></div></div>