Как боротся с вредоносным траффиком на 53 порт ?

[Bond]

На фрюхе поднят у нас внутренний днс сервер для внутренних сайтов, иногда активность на 53 udp порт становится такой высокой что процесс named начинает сжырать все ресурсы ОС, до тех пор пока юзеров от которых валит этот трафик не заблочиш в файрволе.

По UDP протоколу на этот порт нету большого колличества открытых портов, всё упирается в один порт к клиенту один к серверу, иат ма смотрю по трафшоу начинается движение пакетов.

Есть какието решения как можна с этим боротся в автоматическом режиме ?

[nuclearcat]

Под Линуксом (циферки подкрутить):

 

-A INPUT -s 172.16.0.0/255.255.0.0 -p udp -m udp --dport 53 -m hashlimit --hashlimit 360/min --hashlimit-burst 500 --hashlimit-mode srcip --hashlimit-name DNSFLOOD -j ACCEPT

-A INPUT -s 172.16.0.0/255.255.0.0 -p udp -m udp --dport 53 -j LOG

-A INPUT -s 172.16.0.0/255.255.0.0 -p udp -m udp --dport 53 -j DROP

 

Если у юзера IP более-менее статичен - можно его загонять в -m recent и там редиректить на wildcard DNS, который его отпуляет на вебсервер, где ему покажут страничку с требованием полечиться. Конечно договор и законодательство должны позволять такие действия.

[Bond]

Класно, а под фрю ?

[nuclearcat]

А под фрю сможет помочь только опытное и отзывчивое сообщество Фряшников :-)

Например jab :-)

Edited May 28, 2008 by nuclearcat

[jab]

А под фрю сможет помочь только опытное и отзывчивое сообщество Фряшников :-)

Например jab :-)

А смысл ? Жалко тратить бисер.

[mikevlz]

man pf?

[nuclearcat]

Bond - еще не возникло желание перейти на Линукс? :-)

[bitbucket]

процесс named начинает сжырать все ресурсы ОС

Есть какието решения как можна с этим боротся в автоматическом режиме ?

Поставить tinydns и dnscache. Или менять сервер на более шустрый: named тяжелая задача.

[Bond]

Мдя, понял, буду думать сам :)