DNS反射攻击阻止

刚搭的dns server就有贱人跑dns反射放大攻击，据说bind高版本没洞，但是日志刷刷的跑，感觉也不放心，而且毕竟dns是返回了请求的，所以找了点资料备忘

 

先设定不受限制的网段

iptables -v -A INPUT -t filter -s 11.11.11.0/24 -j ACCEPT
加载个模块
iptables -v -A INPUT -p udp --dport 53 -m recent --set --name dnsanyquery
1秒内10次就kill掉（手工试了下，除了恶意攻击，还是很难达到这个手速的...）
iptables -v -A INPUT -p udp --dport 53 -m recent --name dnsanyquery --rcheck --seconds 1 --hitcount 10 -j DROP

也可以用tcpdump抓包设定query规则