关闭DNS递归的命令通常在BIND（Berkeley Internet Name Domain）服务器上执行，具体命令为：rndc freeze 或编辑配置文件禁用递归功能。
关闭DNS递归是一项网络安全措施，它可以帮助减少针对DNS服务器的攻击，例如缓存投毒和分布式拒绝服务（DDoS）攻击，DNS递归是DNS服务器代表客户端查询不在其所管理的域中的DNS记录的过程，当一个DNS服务器收到客户端的查询请求时，假如该服务器没有相应信息的缓存且不是权威名称服务器，它会代表客户端向其他DNS服务器发起查询，直到找到答案，这个过程就是递归查询。
为什么要关闭DNS递归？
关闭DNS递归可以提升网络的安全性，因为它限制了DNS服务器的功能，使其仅响应来自其管理域内的查询请求，这样可以减少被滥用作为发起DDoS放大攻击的风险，以及防止未经授权的访问和潜在的信息泄露。
如何关闭DNS服务器的递归查询？
关闭DNS递归通常涉及编辑DNS服务器的配置文件，以下是一些常见DNS服务器软件的配置方法：
对于BIND（Linux/Unix系统）
1、打开BIND的主配置文件，通常位于/etc/bind/named.conf或/etc/named.conf。
2、定位到options部分。
3、修改或添加recursion选项，将其值设置为no；或者直接注释掉或删除allow-recursion行。
4、保存并退出配置文件。
5、重载或重启BIND服务以使更改生效。
对于Windows DNS服务器
1、打开DNS管理器，通常是通过“管理工具”或“控制面板”。
2、右键单击要配置的DNS服务器，选择“属性”。
3、在服务器属性对话框中，切换到“高级”选项卡。
4、取消选中“启用递归”复选框。
5、点击“确定”以保存设置。
6、重新启动DNS服务以使更改生效。
安全最佳实践
1、限制区域传输：确保只有受信任的DNS服务器能够进行区域传输，这可以防止未授权的服务器获取你的DNS记录。
2、使用防火墙规则：为DNS服务器配置适当的防火墙规则，只允许必要的端口（如53/UDP和53/TCP）通信。
3、监控和日志记录：持续监控DNS服务器的活动，并记录所有查询尝试，以便在出现可疑活动时能够迅速采取行动。
4、定期更新和打补丁：保持DNS服务器软件及其依赖库的最新状态，以防止已知漏洞被利用。
相关问题与解答
Q1: 关闭递归会影响用户的互联网访问吗？
A1: 不会，只要DNS服务器仍然能够解析其所管理域内的查询，用户就能够正常上网，假如用户试图访问非本地域名，可能需要使用其他递归DNS服务器。
Q2: 是否所有的DNS服务器都应该关闭递归功能？
A2: 这取决于DNS服务器的角色和配置需求，内部或私有DNS服务器可能不需要开放递归功能，但公共DNS服务器如Google Public DNS或Cloudflare通常需要递归功能来服务广泛的用户群体。
Q3: 关闭递归查询是否可以完全防止DDoS攻击？
A3: 关闭递归查询可以降低DDoS攻击的风险，但不能完全防止，还需要结合其他安全措施，如流量监控、速率限制和冗余系统等，来提高防御能力。
Q4: 关闭递归后，如何处理跨域DNS查询？
A4: 关闭递归后，你可以选择配置特定的转发器（forwarders），这些是预先指定的外部DNS服务器，用于处理跨域查询，客户端计算机也可以配置使用其他公共DNS服务器进行递归查询。
