Зачем кому то стучаться в мой 53 UDP?

Если бы тебя не существовало, то тебя стоило бы выдумать.

Китайские «кулхацкеры», сэр. Ну или кто-то решил фирму проверить на предмет халявных личных данных.

What is the difference between authoritative and recursive DNS nameservers?

а тебе зачем?

Когда уже тебя переведут в запасного помощника третьего заместителя младшего дворника …

откуда такой пессимизм? я мгновенно решил проблему, поняв что тормозит именно обработка DNS.

Своих серверов с зонами у нас нет, поэтому никому к нам стучаться нет необходимости. вот и закрыл все нафиг

откуда такой пессимизм?

Вот отсюда

Своих серверов с зонами у нас нет

но при этом

Mikriotik занимающийся пересылкой DNS запросов жутко занят

говори прямо, что не так, не будь как девочка

Ага, я говори, а зп ты получай?

и 10 лет назад было ровно тоже самое. боты сканируют все подряд ip, популярные и не очень порты

Пожжи пожжи…

У тебя были открытые порты на внешнем IP? Потому что единственно верный курс – это дропать вообще всё, что приходит снаружи и не подпадает под существующие соединения или список разрешённых портов.

зачем тебе открытый на внешку рекурсор?

Суть такова: через открытый всем ветрам рекурсивный DNS-сервер можно производить DoS-атаку на другие DNS-серверы. И по этому, как только боты обнаруживают нечто похожее на DNS-сервер, в него сразу начинают лететь запросы. И не важно, что там может быть авторитетный сервер, или еще какая-то конфигурация, похожая на dns, но по факту им не являющаяся.

чтобы делиться радостью DNS-резолвинга с окружающим миром, очевидно же

Зачем кому то стучаться в мой 53 UDP?

dns amplification attack

Добавил такое правило

У тебя дефолтный firewall времен 6.42? Они в более позднем дефолте починили.

У тебя дефолтный firewall времен 6.42

Mikrotik OS у меня последней версии, сегодня прямо обновлял, но проблема сохранилась, да и еще 3 дня назад я про нее не знал, так как все работало.

Обновление прошивки на firewall не влияет, если при перво настроке оставил дефолт, то он у тебя и будет.

настраивалось впервые все лет 7 назад

/ip firewall filter
add action=accept chain=input connection-state=established,related
add action=accept chain=input connection-state=new protocol=icmp
add action=accept chain=input connection-state=new in-interface-list=lan
add action=drop chain=input
add action=accept chain=forward in-interface-list=lan out-interface-list=lan
add action=accept chain=forward connection-state=established,related
add action=accept chain=forward connection-state=new in-interface-list=lan
add action=accept chain=forward connection-nat-state=dstnat out-interface-list=lan
add action=drop chain=forward

Минимальный fw, только интересные листы на свои иетерфесы замени. Ну и адаптипуй особые правила, если есть.

https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router тоже почтай

Кто-то через тебя трафик гоняет

В дефолтном конфиге для внаружи закрыто всё. Ты открыл специально чтоб потом героически решать проблемы?

не будь как девочка

Что за сексизм и гендерные стереотипы?

Всегда было интересно почему такие как ты конфигурируют firewall, вместо того, чтобы конфигурировать конкретные сервисы. Например в Bind есть параметр конфигурации listen-on, в котором легко указать где именно ты хочешь слушать порты. Но у таких как ты там обычно прописано listen-on { any; }; по умолчанию и 100500 правил firewall.

Какой бинд, ты упорот?

а что бывают другие DNS серверы

Я тут про микротик

Например! Ты читаешь жопой?

> не будь как девочка

Что за сексизм и гендерные стереотипы?

Ни то, ни другое. Просто дискриминация по гименному признаку.