DNS反射攻擊阻止

剛搭的dns server就有賤人跑dns反射放大攻擊，聽說bind高版本沒洞，可是日誌刷刷的跑，感受也不放心，並且畢竟dns是返回了請求的，因此找了點資料備忘

 

先設定不受限制的網段

iptables -v -A INPUT -t filter -s 11.11.11.0/24 -j ACCEPT
加載個模塊
iptables -v -A INPUT -p udp --dport 53 -m recent --set --name dnsanyquery
1秒內10次就kill掉（手工試了下，除了惡意攻擊，仍是很難達到這個手速的...）
iptables -v -A INPUT -p udp --dport 53 -m recent --name dnsanyquery --rcheck --seconds 1 --hitcount 10 -j DROP

也能夠用tcpdump抓包設定query規則