LINUX.ORG.RU
Форум — Admin  

DDoS'ят DNS


0

0
Сегодня начали ddos'ит dns сервак работающий под bind'ом в результате чего перестали резолвится сайты. Как можно отбить атаку кроме средств iptables'а (атака идёт с разных ip)? Может можно гдето в конфиге задать максимальное число соединений с одного ip или ещё что нибудь вроде этого?
anonymous
← Сайт http://odnoklassniki.ru неработает через руотер
подскажите по runlevel →
через esfq задать ограничение по скорости на dst ip ?
a_andry ★
()
чем досят-то ? запросы какие? надеюсь рекурсия включена только для своих клиентов?
anonymous
()
ИМХО, все решать надо просто. И iptables здесь подходит хорошо. Задать для всех внешних ip-адресов правило -m limit и ограничить кол-во запросов (пакетов udp на dst-порт 53) на уровне 5-10 в секунду.

Как уже сказали, рекурсию DNS на внешнии ip-выключить, и выключить трансфер зоны.

mky ★★★★★
()
Ответ на: комментарий от mky
>и ограничить кол-во запросов (пакетов udp на dst-порт 53) на уровне 5-10 в секунду

Это зачем? Ну и представь идет куча запросов с разных IP, полоса пропускания сужена. И Все сосут лапу, в том числе и нормальные dns запросы.

anonymous
()
Ответ на: комментарий от mky
> ИМХО, все решать надо просто.

Скорее всего запросы вообще с левых SRC IP адресов, а UDP это позволяет т.к. нету проверки, это не TCP. Так что можно весь инет ограничить, а толку ноль. Надо бороться другими способами, сообща с провом или крутить IP на сервере.

FreeBSD ★★★
()
Ответ на: комментарий от FreeBSD
Сообща с провом... +1

Бери у него днс, отдавай куда просят. А остальным отдыхать...

Я так год назад делал, когда подобная проблема была.

paranormal ★★
()
Ответ на: комментарий от paranormal
Кстати, может это и я тебя ддосил... Ну не я, а виндовые тачки из одной моей халтуры. Это компьютерный клуб. Боты так злосно ддосили, что у остальных трафика не было. :-). Потом их зарубили...
paranormal ★★
()
Ответ на: комментарий от anonymous
>Ну и представь идет куча запросов с разных IP, полоса пропускания сужена. И Все сосут лапу, в том числе и нормальные dns запросы.

Что значит все сосут лапу? 10 запросов в секунду из Инета обрабатываются, и bind работает, а не падает. Автор топика не пояснил как DDoS'ят, какие функции выполняет DNS-сервер.

Но термин DDoS подразумевает, что запросы идут с разных ip-адресов. ИМХО, в этом случае ограничивать кол-во соединений с одно ip-адреса бессмысленно.

mky ★★★★★
()
Ответ на: комментарий от FreeBSD
>Надо бороться другими способами, сообща с провом или крутить IP на сервере.

Поясните, как пров сможет отличить левый SRC IP адрес от нормального?

Что значит "крутить IP" --- постоянно менять ip-адрес сервера?

mky ★★★★★
()
Ответ на: комментарий от mky
> Поясните, как пров сможет отличить левый SRC IP адрес от нормального?

Не может, но пров может поставить у себя ДНС сервер на более широком канале и уже будет полегче. Досеры обычно отваливают через пару дней если видят что нету желаемого эффекта.

> Что значит "крутить IP" --- постоянно менять ip-адрес сервера?

Да. Можно сменить записи ДНС сервера (например был ns1.domain.tld, а сделать xx1.domain.tld и на другом IP), но если грамотно досят то это все тоже быстро просекается автоматом конечно-же.

Вообще UDP это зло, т.к. запросто забить канал под завязку просто пакетами на левые порты.

FreeBSD ★★★
()
Ответ на: комментарий от FreeBSD
поставь powerdns-recursor. Тебе же рекурсивный ресолвер нужен?
anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Сайт http://odnoklassniki.ru неработает через руотер
Admin
подскажите по runlevel →