有什么办法能够防止 DNS 放大攻击

[emeab]

本来想公开自己自建的 DNS 服务器 但是害怕别人用来 DNS 放大攻击.不知道有没有什么办法能够防御住 顺道问下 DOT 的证书是怎么搞到的

[mingl0280]

内网 dns 怎么会被用来放大攻击？内外网界的防火墙上外部进来的 dns 包都拦掉了你放大什么？

[Love4Taylor]

过滤掉 ANY?
你网站证书怎么搞的 DoT 证书就怎么搞.

[Laynooor]

@mingl0280 楼主说”公开”

限制每个 IP 的请求次数和频率吧

[jimzhong]

DNS Cookie 或许对 LZ 有帮助
https://tools.ietf.org/html/rfc7873

[skylancer]

@mingl0280 回帖前先看清楚帖是不是更好

[cat9life]

限制请求频率相对简单易执行

[mingl0280]

@Laynooor
@skylancer
我脑子进水了哈哈哈

[johnjiang85]

RRL(response rate limit) -- 目前业界对通过递归反射攻击的常用方案
请求限速
IP 重传
CNAME 防护
源端口黑名单
限制 any 查询等

[emeab]

感觉都比较麻烦 还是自用闷声发大财算了.

[xzsljc]

先设定不受限制的网段

iptables -v -A INPUT -t filter -s 11.11.11.0/24 -j ACCEPT
加载个模块
iptables -v -A INPUT -p udp --dport 53 -m recent --set --name dnsanyquery
1 秒内 10 次就 kill 掉（手工试了下，除了恶意攻击，还是很难达到这个手速的...）
iptables -v -A INPUT -p udp --dport 53 -m recent --name dnsanyquery --rcheck --seconds 1 --hitcount 10 -j DROP

也可以用 tcpdump 抓包设定 query 规则