DDoS'ят DNS

через esfq задать ограничение по скорости на dst ip ?

чем досят-то ? запросы какие? надеюсь рекурсия включена только для своих клиентов?

ИМХО, все решать надо просто. И iptables здесь подходит хорошо. Задать для всех внешних ip-адресов правило -m limit и ограничить кол-во запросов (пакетов udp на dst-порт 53) на уровне 5-10 в секунду.

Как уже сказали, рекурсию DNS на внешнии ip-выключить, и выключить трансфер зоны.

>и ограничить кол-во запросов (пакетов udp на dst-порт 53) на уровне 5-10 в секунду

Это зачем? Ну и представь идет куча запросов с разных IP, полоса пропускания сужена. И Все сосут лапу, в том числе и нормальные dns запросы.

> ИМХО, все решать надо просто.

Скорее всего запросы вообще с левых SRC IP адресов, а UDP это позволяет т.к. нету проверки, это не TCP. Так что можно весь инет ограничить, а толку ноль. Надо бороться другими способами, сообща с провом или крутить IP на сервере.

Сообща с провом... +1

Бери у него днс, отдавай куда просят. А остальным отдыхать...

Я так год назад делал, когда подобная проблема была.

Кстати, может это и я тебя ддосил... Ну не я, а виндовые тачки из одной моей халтуры. Это компьютерный клуб. Боты так злосно ддосили, что у остальных трафика не было. :-). Потом их зарубили...

>Ну и представь идет куча запросов с разных IP, полоса пропускания сужена. И Все сосут лапу, в том числе и нормальные dns запросы.

Что значит все сосут лапу? 10 запросов в секунду из Инета обрабатываются, и bind работает, а не падает. Автор топика не пояснил как DDoS'ят, какие функции выполняет DNS-сервер.

Но термин DDoS подразумевает, что запросы идут с разных ip-адресов. ИМХО, в этом случае ограничивать кол-во соединений с одно ip-адреса бессмысленно.

>Надо бороться другими способами, сообща с провом или крутить IP на сервере.

Поясните, как пров сможет отличить левый SRC IP адрес от нормального?

Что значит "крутить IP" --- постоянно менять ip-адрес сервера?

> Поясните, как пров сможет отличить левый SRC IP адрес от нормального?

Не может, но пров может поставить у себя ДНС сервер на более широком канале и уже будет полегче. Досеры обычно отваливают через пару дней если видят что нету желаемого эффекта.

> Что значит "крутить IP" --- постоянно менять ip-адрес сервера?

Да. Можно сменить записи ДНС сервера (например был ns1.domain.tld, а сделать xx1.domain.tld и на другом IP), но если грамотно досят то это все тоже быстро просекается автоматом конечно-же.

Вообще UDP это зло, т.к. запросто забить канал под завязку просто пакетами на левые порты.

поставь powerdns-recursor. Тебе же рекурсивный ресолвер нужен?