Una richiesta AXFR (Asynchronous Full Transfer Zone) è il meccanismo fondamentale usato dai server DNS per replicare interi database di routing in un cluster di rete. A differenza delle ricerche standard A o MX, che utilizzano pacchetti UDP leggeri e stateless per recuperare un singolo punto dati, un trasferimento AXFR è strettamente un protocollo server-to-server. Poiché scaricare l'intera infrastruttura di un dominio comporta la trasmissione di potenzialmente migliaia di record, la RFC 5936 impone che le richieste AXFR stabiliscano una connessione TCP stateful e affidabile sulla porta 53 per garantire la consegna completa dei pacchetti e l'integrità dei dati.

Trigger SOA e ottimizzazione IXFR

Il processo di replicazione è governato attivamente dal record SOA (Start of Authority) del dominio. I server di nomi secondari interrogano periodicamente il server master primario. Se il server secondario rileva che il Numero Seriale SOA è stato incrementato, avvia un trasferimento per sincronizzare i dati. Mentre l'AXFR scarica l'intera zona in assoluto, le architetture moderne si affidano spesso all'IXFR (Incremental Zone Transfer). L'IXFR calcola il delta — le differenze esatte tra il vecchio numero seriale e quello nuovo — e trasmette solo i record modificati, riducendo significativamente il sovraccarico di banda e il carico di elaborazione sulle zone enterprise massive.

Zone walking e minacce cybersecurity

Dal punto di vista della sicurezza informatica, un endpoint AXFR non adeguatamente protetto è una vulnerabilità catastrofica per la ricognizione. Se un server di nomi primario è mal configurato per accettare richieste AXFR da qualsiasi indirizzo IP pubblico arbitrario, consente ad attori non autorizzati di eseguire un "Zone Walk". Emettendo un singolo comando (es. dig AXFR @ns.example.com example.com), un attaccante può scaricare l'intera mappa di routing interno dell'organizzazione. Questo espone istantaneamente ambienti staging scollegati, gateway VPN interni dimenticati, endpoint SaaS deprecati vulnerabili al takeover e convenzioni proprietarie di naming dei server.

Proteggere il perimetro con TSIG e ACL

Testare il proprio perimetro contro una vulnerabilità AXFR aperta è un requisito fondamentale di qualsiasi penetration test. Un server di nomi correttamente indurizzato deve restringere aggressivamente le query di trasferimento utilizzando rigorose Access Control List (ACL) basate su IP, assicurandosi che solo gli IP dei server secondari autorizzati possano avviare il download. Per la sicurezza enterprise moderna, gli amministratori distribuiscono TSIG (Transaction Signature). TSIG utilizza una chiave segreta condivisa e crittograficamente hashata tra i server primario e secondario. Se la richiesta AXFR in ingresso non possiede la corretta firma matematica, il server primario scarta istantaneamente la connessione TCP e restituisce un errore REFUSED fatale, proteggendo la topologia di rete dall'esposizione pubblica.