dns服务器该怎么写iptables规则

bobopu

bind做的校园内的递归dns服务器，最近频繁出现
DNS request timed out.
timeout was 2 seconds.
初步怀疑是有人攻击，现在需要用iptables对解析量做个限制
1.只开放udp53、tcp53和udp9001端口（用于ssh管理）
2.每ip每10秒查询DNS请求超过600次即拦截1200秒，1200后放行
3.需要对个别ip加入白名单，不受第二条限制，例如192.68.1.2、192.168.1.8、192.168.0.11等
4.每ip每60秒访问超过6个端口即拦截1200秒，1200秒后放行。（防止恶意端口扫描）
5.每ip每10秒发送ICMP超过100个即拦截1200秒，1200秒后放行
请问这种复杂的iptables规则该怎么写，这样对恶意攻击DNS服务器的行为有效果么

lyhabc

iptables -A INPUT -p tcp --dport 53 -p udp --dport 53 -p udp --dport 9001  -d 127.0.0.1   -j ACCEPT

iptables -I INPUT -p icmp --icmp-type 8 -j DROP

iptables -I INPUT -m iprange --src-range 192.168.1.2,192.168.1.8,192.168.0.11 -j ACCEPT

bobopu

谢谢。但是这个没法对解析频率做出限制，怎样才能对解析频率做限制呢？回复 2# lyhabc


   

shang2010

复杂的包处理工具有么，感觉iptable需要加强了

chenyx

2楼,你的iptables指令能执行?

ziluopao

iptables 马上就要被淘汰了,建议楼主学学firewalld吧,其中的zone很强大的说

bobopu

centos6.5能安装firewalld吗？

ziluopao 发表于 2015-04-23 08:38
iptables 马上就要被淘汰了,建议楼主学学firewalld吧,其中的zone很强大的说

chenyx

Firewalld目前只是7支持,还没看出来必然取代Iptacles的迹象.

jixuuse

查下是否有补丁没打

前段时间发现过一个bug，一台设备的DNS请求能把千兆接口堵塞，最后发现是设备镜像里面DNS相关代码有漏洞被人利用

另外你也可以在DNS前面挂个设备限制请求频率，比如panabit或者专业的防火墙

bobopu

嗯，把bind升级到9.10.2了，暂时用linux安全狗把udp包限制为每ip每10秒1000个了，情况有所改善。在研究如何用bind最新的rate-limit模块限制查询速率。

jixuuse 发表于 2015-04-24 11:23
查下是否有补丁没打

前段时间发现过一个bug，一台设备的DNS请求能把千兆接口堵塞，最后发现是设备镜像里 ...