Restringir quem usa o resolvedor

A ACL de recursão mora na tela do Recursor, e é a primeira seção dela — está no topo de propósito, porque é a configuração que decide se o servidor pode ou não ser abusado pelo mundo.

O aviso em destaque explica o limite exato desta lista: ela controla só o uso recursivo.

As zonas que você hospeda continuam respondendo ao mundo inteiro, e é assim que tem que ser — senão nenhum resolvedor externo conseguiria resolver os domínios dos seus clientes.

Uma faixa por vez, em notação CIDR. O exemplo usa 198.51.100.0/24, que é uma faixa reservada para documentação — no seu servidor entram as faixas reais dos assinantes.

O campo logo acima, Descobrir prefixos por ASN, faz o serviço pesado: se o provedor tem número de sistema autônomo, ele busca todos os prefixos anunciados e traz de uma vez. É o caminho recomendado, porque esquecer uma faixa é o erro mais comum aqui.

Adicionar não salva. Neste ponto a faixa só existe na tela; o serviço de borda continua com a lista antiga.

Repita para cada faixa. Antes de salvar, confira duas coisas:

• nenhuma entrada é 0.0.0.0/0 nem ::/0 — isso transformaria o servidor em resolvedor aberto;
• as faixas que costumam ser esquecidas estão lá: rede de gestão, endereços de teste e, se o provedor usa endereçamento compartilhado, a faixa correspondente.

Logo abaixo, em ACLs centrais referenciadas, dá para apontar uma lista de acesso em vez de repetir os mesmos endereços em cada tela. As listas somam ao que você digitou, não substituem.

O botão avisa que reinicia o serviço de borda, e isso é verdade. A configuração é validada antes, e o serviço nunca reinicia para dentro de uma configuração inválida — mas há um intervalo de indisponibilidade de menos de um segundo.

Em produção, prefira uma janela de baixo movimento.

A confirmação aparece no canto e a faixa passa a valer.

Não pare por aqui: teste dos dois lados, como descrito abaixo. A lista pode estar salva e ainda assim errada.