मेरा DNS सर्वर 20mbps को आगे बढ़ा रहा है, क्यों?

22

मैं EC2 में एक DNS सर्वर चला रहा हूं, और जब मैंने अपने बिलिंग डैशबोर्ड की जाँच की तो कल 20mbps पर जोर दे रहा था और इस महीने में 1.86 टीबी इस्तेमाल किया हुआ डेटा मिला। यह मेरी छोटी परियोजना प्रयोगशाला के लिए एक बड़ा बिल है। मैंने कभी भी प्रदर्शन की बूंदों पर ध्यान नहीं दिया और ट्रैफ़िक थ्रेशर को पहले सेट करने की जहमत नहीं उठाई, लेकिन मेरे पास अब से है, जिससे मुझे बैंडविड्थ चार्ज में $ 200 + खर्च हुए।

ऐसा लगता है कि किसी ने मेरे DNS सर्वर को एक प्रवर्धन हमले के हिस्से के रूप में उपयोग किया है, हालांकि मैं कैसे के लिए नुकसान में हूं।

विन्यास नीचे है। 

// BBB.BBB.BBB.BBB = ns2.mydomain.com ip address

options {
        listen-on port 53 { any; };
//      listen-on-v6 port 53 { ::1; };
        directory "/var/named";
        dump-file "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-transfer { BBB.BBB.BBB.BBB; };
        allow-query-cache { BBB.BBB.BBB.BBB; };
        allow-query { any; };
        allow-recursion { none; };

        empty-zones-enable no;
        forwarders { 8.8.8.8; 8.8.4.4; };

        fetch-glue no;
        recursion no;

        dnssec-enable yes;
        dnssec-validation yes;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.iscdlv.key";

        managed-keys-directory "/var/named/dynamic";
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
        type hint;
        file "named.ca";
};

zone "mydomain.com" IN {
        type master;
        file "zones/mydomain.com";
        allow-transfer { BBB.BBB.BBB.BBB; localhost; };
};

इस विन्यास को देखते हुए, मुझे जोन के लिए स्थानीय रूप से सही होस्ट नहीं करने के लिए किसी भी प्रश्न का उत्तर नहीं देना चाहिए? यह सर्वर कुछ डोमेन के लिए SOA है, लेकिन मेरे अन्य सर्वर (हर कोई OpenDNS या Google के खिलाफ हल करता है) द्वारा कुछ भी देखने के लिए उपयोग नहीं किया जाता है। मेरे यहाँ क्या निर्देश गलत है, या क्या मैं भूल रहा हूँ? मेरे लॉग (63MB +) इस से भरे हुए हैं:

client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 58.215.173.155#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 218.93.206.228#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 50.19.220.154#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
client 123.207.161.124#4444: query (cache) 'cpsc.gov/ANY/IN' denied
linux  domain-name-system  amazon-ec2  bind 
— रसेल एंथोनी
स्रोत
9
यह आपके प्रश्न का उत्तर नहीं देता है, लेकिन आपको बिलिंग अलर्ट docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/…
— Tim
क्या RFC 7873 सपोर्ट के बिना सभी क्लाइंट्स के लिए TCP को बलबैकबैक देना आपके लिए स्वीकार्य होगा?
— कैस्परल्ड
1
BIND में दर सीमित
— रुई एफ रिबेरो
आधिकारिक DNS सर्वरों पर @RuiFRibeiro दर सीमित करना उपयोगी हो सकता है। लेकिन दर सीमित करना ही एक कमजोर बिंदु हो सकता है जो कि DoS के हमलों में शोषण किया जा सकता है। यदि कोई हमलावर दर-दर सीमित करने वाले आधिकारिक सर्वर पर होस्ट किए गए डोमेन के लिए क्वेरी के साथ पुनरावर्ती को बाढ़ देता है, तो उस पुनरावर्ती के वैध उपयोगकर्ता अब हमले के तहत डोमेन में रिकॉर्ड को हल करने में सक्षम नहीं हो सकते हैं। उस हमले को NSEC / NSEC3 के आक्रामक उपयोग से कम किया जा सकता है जो व्यापक रूप से तैनात नहीं है।
— कैस्परल्ड

जवाबों:

19

यहां तक ​​कि अगर आपका सर्वर केवल आधिकारिक प्रश्नों का उत्तर देने के लिए सेट है जैसा कि आपका है, तो यह अभी भी संभव है कि इसका उपयोग प्रवर्धन हमले के लिए किया जाए - ANYज़ोन की जड़ के विरुद्ध क्वेरीज़ काफी भारी यूडीपी प्रतिक्रिया को ट्रिगर कर सकती हैं, क्योंकि ज़ोन रूट के पास है विशेष रूप से SPF / DKIM / DNSSEC के साथ कई रिकॉर्ड।

यह संभावना है कि आपके सिस्टम पर क्या हो रहा है - tcpdumpपुष्टि करने के लिए उपयोग करें। यदि वे एक प्रवर्धन हमले में आपके आधिकारिक रिकॉर्ड का उपयोग कर रहे हैं, तो आपके सबसे अच्छे विकल्प बस एक नए आईपी पर जाने वाले हैं और आशा करते हैं कि वे इसका पालन नहीं करेंगे, इसे कम प्रभावी प्रवर्धन वेक्टर बनाने के लिए अपने जोन रूट रिकॉर्ड को बदलें, या कार्यान्वित करें। प्रतिक्रिया दर सीमित (यदि आपका BIND इसका समर्थन करता है)।

— शेन मैडेन
स्रोत
हालांकि वे मेरे ज़ोन की क्वेरी नहीं कर रहे हैं ... क्या मेरा सर्वर जवाब देने के बजाय इन्हें छोड़ नहीं रहा है?
— रसेल एंथोनी
4
@RussellAnthony आपके द्वारा देखी जा रही लॉग प्रविष्टियों के लिए, हाँ, मेरा मानना ​​है कि यह उन्हें गिरा रहा है - लेकिन, सफल आक्रमण ट्रैफ़िक के लिए, कोई लॉग प्रविष्टि नहीं बनाई जाएगी, इसलिए लॉग के संदर्भ में बैंडविड्थ का उपयोग अदृश्य है। अगर हमला अभी भी चल रहा है (अभी भी नई लॉग एंट्री मिल रही है?) मुझे यकीन है कि ANYइन असफल लोगों के साथ सफल प्रश्नों का एक समूह है।
— शेन झुंझलाना
2
जोड़ा गया है rate-limit { responses-per-second 1; };और यह यातायात का एक बहुत गिरा दिया है लगता है। मुझे पता ही नहीं था कि RRL अपने अंदर से ही बांध सकता है।
— रसेल एंथनी
1
यदि वे वास्तव में आधिकारिक रिकॉर्ड के लिए प्रश्न भेज रहे थे तो इसका मतलब है कि उन्हें डोमेन नाम पता होना चाहिए। उस स्थिति में यह संभावना नहीं है कि एक नए आईपी पर जाने में मदद मिलेगी क्योंकि वे नए आईपी पते को वैध उपयोगकर्ताओं के रूप में तेजी से ढूंढने में सक्षम होंगे।
— कास्परड
6
बस यह सुनिश्चित करें कि आपकी दर-सीमा एक DoS अटैक वेक्टर में नहीं बदल जाती है: यदि हमलावर प्रतिक्रिया की सीमा समाप्त कर देता है, तो वैध कैश (जैसे OpenDNS और google) आपका नाम भी हल करने में विफल हो सकता है।
— जोनास श्फर
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.