DNS sunucum 20mbps bastırıyor, neden?


22

EC2’de bir DNS sunucusu kullanıyorum ve fatura panosunu kontrol ettiğimde ve bu ay 1.86 TB kullanılmış veri bulduğumda dün 20 MB / sn oldu. Bu benim küçük proje laboratuarım için büyük bir fatura. Performans düşüşlerini hiç farketmemiştim ve daha önce trafik eşiklerini ayarlamak için zahmet etmedim, ancak bu şimdi bant genişliği ücretlerinde 200 $ 'a mal oldu.

Görünüşe göre birisi DNS sunucumu bir yükseltme saldırısının parçası olarak kullandı, ancak ben bunun için bir zararım var.

Config aşağıda.

// BBB.BBB.BBB.BBB = ns2.mydomain.com ip address

options {
        listen-on port 53 { any; };
//      listen-on-v6 port 53 { ::1; };
        directory "/var/named";
        dump-file "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-transfer { BBB.BBB.BBB.BBB; };
        allow-query-cache { BBB.BBB.BBB.BBB; };
        allow-query { any; };
        allow-recursion { none; };

        empty-zones-enable no;
        forwarders { 8.8.8.8; 8.8.4.4; };

        fetch-glue no;
        recursion no;

        dnssec-enable yes;
        dnssec-validation yes;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
        type hint;
        file "named.ca";
};

zone "mydomain.com" IN {
        type master;
        file "zones/mydomain.com";
        allow-transfer { BBB.BBB.BBB.BBB; localhost; };
};

Bu yapılandırma göz önüne alındığında, yerel olarak doğru şekilde barındırmadığım bölgelere ilişkin herhangi bir soruyu cevaplamamalıyım? Bu sunucu birkaç etki alanı için SOA'dır, ancak diğer sunucular tarafından herhangi bir şey aramak için kullanılmaz (herkes OpenDNS veya Google’a karşı çözülür). Burada ne gibi bir yanlışlık yapıyorum, unutuyorum mu? Günlüklerim (63MB +) bununla dolu:

client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied

9
Bu, sorunuzu yanıtlamıyor, ancak fatura uyarıları oluşturmalısınız. Docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/…
Tim

RFC 7873 desteği olmayan tüm istemciler için TCP'ye geri dönüşü zorlamanız kabul edilebilir mi?
kasperd

1
BIND'de hız sınırlaması
Rui F Ribeiro

@RuiFRibeiro Yetkili DNS sunucularında oranı sınırlamak yararlı olabilir. Ancak hız sınırlaması DoS ataklarında yararlanılabilecek zayıf bir nokta olabilir. Bir saldırgan, yetkili bir sunucuda barındırılan bir alan için sorguları sınırlayan bir sorguyu selle doldurursa, söz konusu geri alanın meşru kullanıcıları artık saldırı altındaki alandaki kayıtları çözemeyebilir. Bu saldırı, yaygın bir şekilde dağıtılmayan NSEC / NSEC3'ün Agresif kullanımı ile hafifletilebilir .
kasperd

Yanıtlar:


19

Sunucunuz, yalnızca sizinki gibi yetkili sorguları yanıtlayacak şekilde ayarlanmış olsa bile, bir yükseltme saldırısı için kullanılması hala mümkündür - ANYbir bölgenin köküne karşı olan sorgular, bölge kökünün verme eğiliminde olduğundan, oldukça ağır bir UDP yanıtını tetikleyebilir özellikle SPF / DKIM / DNSSEC ile birlikte bir dizi kayıt.

Bu, sisteminizde olanları muhtemeldir - tcpdumponaylamak için kullanın . Yetkili kayıtlarınızı bir amplifikasyon saldırısında kullanıyorlarsa, en iyi seçenekleriniz basit bir şekilde yeni bir IP'ye geçmek ve izlememelerini ummak, daha az etkili bir amplifikasyon vektörü yapmak veya uygulamak için bölge kök kayıtlarınızı değiştirmek olacaktır. Yanıt oranı sınırlaması (BIND'iniz destekliyorsa).


Bölgelerimi sorgulamıyorlar ama ... cevap vermek yerine sunucum bunları düşürmemeli mi?
Russell Anthony,

4
@RussellAnthony Gördüğünüz günlük girişleri için, evet, onları düşürdüğüne inanıyorum - ancak başarılı bir saldırı trafiği için, günlük girişi oluşturulamaz, bu nedenle günlükler açısından bant genişliği kullanımı görünmezdir. Eğer saldırı hala devam ediyorsa (hala yeni kütük kayıtları alıyor musunuz?) Bahse girerim, ANYbaşarısız olanların yanında bir sürü başarılı sorgu var.
Shane Madden

2
Eklendi rate-limit { responses-per-second 1; };ve biraz trafik düşmüş gibi görünüyor. Bağlamanın RRL'nin kendi içinden yapabileceğini bilmiyordum.
Russell Anthony,

1
Gerçekten de yetkili kayıtlar için sorgu gönderiyorlarsa, etki alanı adını bilmeleri gerekir. Bu durumda, yeni bir IP'ye geçmenin, yeni IP adresini yasal kullanıcılar kadar hızlı bir şekilde bulabilmeleri için yardımcı olacağı muhtemel değildir.
kasperd

6
Hız sınırlamanızın bir DoS saldırı vektörüne dönüşmediğinden emin olun: saldırgan yanıt sınırını aşarsa, meşru önbellekler (OpenDNS ve google gibi) adınızı çözmede başarısız olabilir.
Jonas Schäfer
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.