在Windows上启用不安全的DNS更新的实际风险是什么？

据我发现，启用不安全的DNS更新是使DHCP Linux客户端向FQDN注册其名称的要求。

我确实想知道这样做涉及的实际风险，以便评估启用这些功能是否可以。

据我所知，一台机器将无法接管另一个保留名称，这将是我现在唯一真正关心的问题。

显然是DDOS，但考虑到我们在这里谈论的是Intranet，我怀疑这可能是真正的风险。

您是否在您的域上启用了它？您是否曾因存在一些问题而不得不禁用它？

domain-name-system active-directory dhcp internal-dns

— 索林
source

好吧，如果您希望任何人都可以声明任何主机名（例如用户DSL盒）...

— joshudson

基本上，您绝不应该允许非安全更新。我个人甚至不喜欢DNS服务器甚至允许您关闭安全更新。这使您网络上的任何人（例如黑客）都可以注册DNS记录，而无需Active Directory身份验证。这将使攻击者可以“欺骗”网络上的DNS名称，并将人们重定向到另一台服务器，而不是他们认为要使用的服务器。

此设置何时会意外而不是恶意破坏您的一天的另一个示例...有人关闭了安全更新...网络上所有计算机上的所有HP ILO（带外管理）突然都能够开始动态注册他们自己的DNS记录...但是ILO的名称与服务器相同，因此它们覆盖了主机服务器的DNS记录！

禁用安全更新是一个可怕的想法。只是不要。

为了使Linux客户端能够利用DHCP来安全地注册DNS记录，可能的解决方案可能会有所帮助：在Windows 2008 DNS / DHCP服务器上为我的Linux盒注册A记录

— 瑞安·里斯（Ryan Ries）
source

是的，发生在我身上的是某人插入与服务器同名的计算机，并且由于我的前任已关闭所有形式的安全性，服务器的DNS条目被该随机PC取代，因此所有用户向服务器最终在该PC上！！！

— ETL 2015年

@ETL您是否曾提到此“服务器”可能长时间处于脱机状态，因此这是另一台机器能够使用其名称的原因。我怀疑机器启动时会发生这种情况。

— 索林2015年

@sorin-服务器肯定启动了。一个Linux服务器，如果我没有记错的话，它有一个静态DNS条目（该条目也没有被锁定以进行编辑）

— ETL 2015年

我正在努力实施链接文章中的解决方案，希望它能起作用。

— 索林