Tráfico servidor DNS

[EiS_BaeR]

Hola, intentaré ser lo más escueto posible.

Tengo configurado un servidor DNS con Bind9 en mi red local y al mismo tiempo como servidor DNS de un router externo. Funciona a la perfección, pero tengo algunas dudas:

1- El tráfico que se genera entre el servidor y los clientes, ¿contiene datos o solo peticiones de la resolución de dominios?, es decir, si quiero entrar en mi correo de hotmail, hago la petición al servidor DNS, este me devuelve una respuesta, pero una vez ingreso usuario y contraseña, ya no paso por el servidor DNS no?.

2- Observando el tráfico con tshark, practicamente todo es DNS (imagino que esto es obvio, por eso es un servidor DNS), no existe tráfico TCP o HTTP. Según esto, un ataque MiTM al servidor no tiene sentido a no ser que lo que queramos es ver hacia que direcciones navegan los clientes , pero sin ver el contenido, es así?

3- Combinando Bind y un servidor Apache con el mod proxy, se puede redirigir este tráfico hacia donde yo quiera y así ver el contenido (descargas, música, contraseñas, fotos...)?

Espero haberme explicado bien y no haber expuesto sandeces. Agradezco vuestras aportaciones de antemano.

Saludos.

[engel lex]

1- El tráfico que se genera entre el servidor y los clientes, ¿contiene datos o solo peticiones de la resolución de dominios?, es decir, si quiero entrar en mi correo de hotmail, hago la petición al servidor DNS, este me devuelve una respuesta, pero una vez ingreso usuario y contraseña, ya no paso por el servidor DNS no?.

no, el paquete de resolucion para dns es muy simple, es solo un "tengo este dominio, pasame la ip"

Observando el tráfico con tshark, practicamente todo es DNS (imagino que esto es obvio, por eso es un servidor DNS), no existe tráfico TCP o HTTP. Según esto, un ataque MiTM al servidor no tiene sentido a no ser que lo que queramos es ver hacia que direcciones navegan los clientes , pero sin ver el contenido, es así?

si tiene sentido, ya que no solo vez hacia donde van los clientes, sino que puedes redirigirlos hacia paginas de phishing con una url correcta