DNS反射攻击阻止

刚搭的dns server就有贱人跑dns反射放大攻击，听说bind高版本没洞，可是日志刷刷的跑，感受也不放心，并且毕竟dns是返回了请求的，因此找了点资料备忘

 

先设定不受限制的网段

iptables -v -A INPUT -t filter -s 11.11.11.0/24 -j ACCEPT
加载个模块
iptables -v -A INPUT -p udp --dport 53 -m recent --set --name dnsanyquery
1秒内10次就kill掉（手工试了下，除了恶意攻击，仍是很难达到这个手速的...）
iptables -v -A INPUT -p udp --dport 53 -m recent --name dnsanyquery --rcheck --seconds 1 --hitcount 10 -j DROP

也能够用tcpdump抓包设定query规则