☰

如何减轻 peacecorps.gov 对 bind9 DNS 服务器的 DOS 攻击？

tag-icon • tag-icon domain-name-system bind reverse-dns denial-of-service
如何减轻 peacecorps.gov 对 bind9 DNS 服务器的 DOS 攻击？

我在我的 ubuntu 服务器上新配置了 bind9，并设置allow-query为{ any; }，因为我希望我的 DNS 服务器可以在任何地方访问。但是，我现在面临使用peacecorps.gov具有不同 IP 地址的域的 DOS 攻击。每秒都会收到 DNS 请求。如何缓解此问题？有没有办法阻止特定网站的 DNS 查找？

我的 bind9 选项配置

options {
        directory "/var/cache/bind";
    
        forwarders {
                8.8.8.8;
                8.8.4.4;
        };

        dnssec-validation auto;

        listen-on { any; };
        listen-on-v6 { any; };
        allow-query { any; };
        allow-recursion { any; };

        version "Forbidden";
};

DNS 日志 DNS 日志

答案1

我在我的 ubuntu 服务器上新配置了 bind9 并设置allow-query为{ any; }，因为我希望我的 DNS 服务器可以在任何地方访问。

你得到的正是你配置的。
任何人都可以使用的 DNS 服务器。或者更确切地说，受虐待任何人都可以使用它，但现在它正在被滥用。

例如，请参阅有关错误配置的 DNS 服务器（例如您的服务器）的警告：

您的 DNS 服务器应该allow 和 answer 是针对其具有权威性的域名。（换句话说：针对您自己的域名）。

如果您的绑定服务器要作为缓存解析器，它应该只向您自己的服务器/子网提供该服务，而不是整个互联网。

设置访问控制列表，只允许授权/受信任的客户端使用您的 DNS 服务器，这个问题应该会停止

acl myclients {
        192.0.2.0/24;
        localhost;
};


options {
        directory "/var/cache/bind";
    
        forwarders {
                8.8.8.8;
                8.8.4.4;
        };

        dnssec-validation auto;

        listen-on { any; };
        listen-on-v6 { any; };
        allow-query { myclients; };
        allow-recursion { myclients; };

        version "Forbidden";
};

相关内容