Puncte:0

nslookup, dig și host returnează doar jumătate din înregistrările mele TXT

drapel ng

nslookup, dig și host returnează doar jumătate din înregistrările mele TXT:

gazdă -t txt machelpnashville.com 8.8.8.8

nslookup -type=txt machelpnashville.com 8.8.8.8

dig machelpnashville.com TXT 8.8.8.8

Ei returnează cele patru înregistrări care au numele @ dar ignoră celelalte patru înregistrări care sunt acolo. există o modalitate de a extrage TOATE înregistrările TXT folosind un wildcard?

Maximillian Laumeister avatar
drapel cn
Căutați o modalitate de a extrage toate înregistrările TXT atât pentru `machelpnashville.com`, cât și pentru fiecare subdomeniu al `machelpnashville.com`? Orice înregistrări în afară de cele pentru `@` nu sunt aplicate direct la `machelpnashville.com`, ci la subdomeniile sale și, în general, se așteaptă să fie interogate separat.
anx avatar
drapel fr
anx
vezi, de asemenea, [Cum se listează toate înregistrările CNAME pentru un anumit domeniu?](https://serverfault.com/questions/16101/how-to-list-all-cname-records-for-a-given-domain) și [ Listați toate înregistrările DNS dintr-un domeniu folosind dig?](https://serverfault.com/questions/138949/list-all-dns-records-in-a-domain-using-dig)
drapel ng
Am 8 înregistrări TXT, pe care le caut, le știu, dar vreau să știu cum să extrag TOATE înregistrările TXT pentru un domeniu implicit._bimi _dmarc necunoscut DKIM întregul shebang
Patrick Mevzek avatar
drapel cn
Și pentru partea pe care nimeni nu a atins-o: nu, nu puteți folosi un metacar într-o interogare, nu va funcționa așa cum vă așteptați pe baza descrierii dvs. DNS-ul pur și simplu nu funcționează așa cum crezi tu. Este un nume => date API și fiecare nume din zonă este separat, astfel încât nicio interogare DNS nu poate rezolva mai multe nume dintr-o singură mișcare.
Puncte:1
drapel cn

Nu este posibil să faci ceea ce îți ceri pentru un domeniu pe care nu-l deții.

Prin proiectare și din motive de confidențialitate, nu puteți lista înregistrările TXT ale tuturor subdomeniilor decât dacă aveți permisiunea specială în serverul DNS pentru a efectua o căutare de transfer de zonă (AXFR). Cu excepția cazului în care aveți această permisiune de transfer de zonă, toate înregistrările care nu sunt sub @ domeniul (apex) trebuie să fie interogat de fiecare subdomeniu individual în care locuiesc.

Acest lucru împiedică oamenii să descopere subdomenii și înregistrări DNS care nu sunt destinate să fie publice.

Dacă controlați domeniul, furnizorul dvs. de DNS ar trebui să aibă instrucțiuni pentru a permite transferurile de zonă către o anumită adresă IP. Dacă introduceți adresa dvs. IP acolo, atunci ar trebui să puteți utiliza dig's axfr pentru a lista toate înregistrările DNS - dar în momentul în care vă conectați la furnizorul dvs. DNS, puteți vizualiza înregistrările din interfața lor web, cu excepția cazului în care încercați să automatizați ceva.

Patrick Mevzek avatar
drapel cn
„Acest lucru îi împiedică pe oameni să descopere subdomenii și înregistrări DNS care nu sunt destinate să fie publice.” DNS-ul nu a fost conceput special în acest sens, este doar o consecință. Dar „protecția” este subțire: așa cum este dat în exemplul în comentariu, celelalte înregistrări sunt în nume „implicite”, așa că ușor de aflat. În plus, există o mulțime de moduri de a le afla, de la DNS pasiv, la motoare de căutare, la utilizarea mecanismelor DNSSEC NSEC/NSEC3 etc.
Patrick Mevzek avatar
drapel cn
„Dacă controlezi domeniul”... atunci, prin proiectare, ar trebui să știi ce este în zonă pentru că l-ai pus acolo în primul rând, deci în mod normal nu este nevoie de AXFR și altele asemenea, interfața de utilizare a furnizorului DNS și/sau API ar trebui să ofere toate datele necesare, adică lista de înregistrări.
Patrick Mevzek avatar
drapel cn
„Din proiect și din motive de securitate” Este doar „prin proiect”. Când RFC1034/1035, cu siguranță nu au existat discuții de securitate așa cum avem astăzi. DNS-ul este doar un nume => API de date și fiecare nume este separat, așa că „apex” alias @ aka nume de zonă este un singur nume, îl puteți interoga, dar `default._bimi._dmarc` sau orice este **altul ** nume complet separat, pe lângă faptul că este în zonă. Deci, fiecare interogare DNS dă rezultate pentru un nume sau altul, o singură interogare DNS nu poate oferi date pentru ambele nume simultan.
Maximillian Laumeister avatar
drapel cn
@PatrickMevzek Potrivit [rfc5936](https://datatracker.ietf.org/doc/html/rfc5936#page-22), „Restricțiile privind AXFR ar putea fi din diverse motive, inclusiv o dorință (sau, în unele cazuri, a avea un drept legal cerința) de a păstra ascunsă versiunea în masă a zonei [...] S-a susținut că aceste motive sunt discutabile, dar acest document, motivat de dorința de a valorifica practica interoperabilă care a evoluat de la RFC 1035, recunoaște cerința faptică pentru a oferi mecanisme de restricționare a AXFR”.
Patrick Mevzek avatar
drapel cn
Un RFC nu dictează politici, ci descrie mecanisme tehnice.
Maximillian Laumeister avatar
drapel cn
@PatrickMevzek Dacă există „o mulțime de” moduri de a enumera aceste înregistrări, atunci vă încurajez să împărtășiți una dintre aceste metode într-un răspuns.Ar fi util atât pentru a rezolva întrebarea afișului original, cât și pentru propria mea educație - deoarece nu sunt familiarizat cu utilizarea DNS pasiv sau DNSSEC pentru a enumera o zonă întreagă și aș fi foarte curios să învăț.
Patrick Mevzek avatar
drapel cn
Remarcat, dar nu cred că este locul, OP-ul este doar confuz cu privire la modul în care funcționează DNS-ul (și întrebarea ar putea fi chiar offtopic aici), și chiar AXFR ar putea să nu fie soluția necesară pentru el, sau cu siguranță nu singura soluție (cum ați scris, interfața de utilizare a furnizorului DNS ar trebui să fie prima soluție). DNS pasiv = ai jurnalele unui server DNS recursiv mare, deci vezi ce este cerut și poți „reconstrui”. conținutul unei zone (imperfect desigur). În ceea ce privește DNSSEC, NSEC este o înregistrare care înlănțuiește numele, astfel încât să permită iterarea în zonă. NSEC3 este mai complicat din cauza hashingului. Are nevoie de DNSSEC, desigur
drapel ng
Presupun că o să-mi clarific modul de utilizare. Știu cum să trag DMARC și SPF și BIMI pe rând prin nslookup -type=txt _dmarc.machelpnashville.com 8.8.8.8, de exemplu. De multe ori îi ajutăm pe clienți să-și curețe înregistrările DNS și primele căutări preliminare pe care le fac sunt înainte de a ne conecta la solicitantul de înregistrare al domeniului pentru a oferi clientului o idee despre tot ce ar trebui să facem...

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.