阻止DNS放大攻击的iptables

上次我从NFOservers.com的DDoS通知器得到关于DNS放大攻击的警告

2015-12-30 23:28:52.609178 IP (tos 0x0, ttl 54, id 42635, offset 0, flags [+], proto UDP (17), length 1500) my.dns.ip.addr.53 > 63.251.20.x.18150: 41159| 20/0/1 cpsc.gov. MX hormel.cpsc.gov. 5, cpsc.gov.[|domain] 2015-12-30 23:28:52.609632 IP (tos 0x0, ttl 54, id 42636, offset 0, flags [+], proto UDP (17), length 1500) my.dns.ip.addr.53 > 63.251.20.x.18150: 41159| 20/0/1 cpsc.gov. MX stagg.cpsc.gov. 5, cpsc.gov.[|domain] .. 2015-12-30 23:28:52.610109 IP (tos 0x0, ttl 54, id 42637, offset 0, flags [+], proto UDP (17), length 1500) my.dns.ip.addr.53 > 63.251.20.x.18150: 41159| 20/0/1 cpsc.gov. MX hormel.cpsc.gov. 5, cpsc.gov.[|domain] 

有关信息

my.dns.ip.addr.53 – 我的VIP – 外部IP DNS地址

63.251.20.x.18150 – 不知道这个IP地址范围是什么

• bind9：example.com工作，www.example.com没有，以及如何阻止url
• 如何在DD-WRT中configurationiptables来阻止br1上的Skype？
• 如何在csf中阻止一个小的IP范围
• 为什么我的邮件被yahoo和hotmail阻止？
• 如何阻止鱿鱼的torrent下载？

我的服务器必须为我在bind9部分configuration的内部公司networking提供recursion查询：

  acl "trusted" { 172.16.0.0/16; localhost; localnets; }; options { ... allow-query { any; }; allow-recursion { trusted; }; allow-query-cache { trusted; }; ... } 

我也configuration了RRL – 响应速率限制：

 rate-limit { responses-per-second 5; window 5; }; 

看起来像我的DNS服务器（bind9）拒绝像日志中的错误查询： http ： //pastebin.com/A3XGwh04

但我想通过iptables阻止这样的查询。 我会做一些研究，发现IPTABLES块：

 iptables -A INPUT -p udp -m udp --dport 53 -m string --from 50 --algo bm --hex-string '|0000FF0001|' -m recent --set --name dnsanyquery --rsource iptables -A INPUT -p udp -m udp --dport 53 -m string --from 50 --algo bm --hex-string "|0000FF0001|" -m recent --name dnsanyquery --rcheck --seconds 10 --hitcount 1 -j DROP 

但是当我testing我的服务器从testing机器与命令： dig + nocmd @ my.ip.dsn.addr domain.com任何+ multiline + noall +答案我没有得到任何答案，而且在日志中仍然充满了查询与cpsc.gov所以我决定支持我的默认iptablesconfiguration

接下来的研究，我发现conntrack所做的裁决，但可能会导致NAT问题。 我的DNS是NAT的

当使用另一个在这里发现其他话题soultion：

 iptables -A INPUT -p udp --port 53 -m hashlimit --hashlimit 1/minute --hashlimit-burst 5 -j ACCEPT iptables -A INPUT -p udp --port 53 -j DROP 

得到了nagios warrings – SOA同步问题，域从未find等

我的下一个尝试：

 iptables --insert INPUT -p udp --dport 53 -m string --from 40 --to 56 --algo bm --hex-string '|637073632e676f76|' -j DROP -m comment --comment "DROP DNS Q cpsc.gov" iptables --insert INPUT -p udp --dport 53 -m string --from 40 --to 50 --algo bm --hex-string '|6370736303676f763f|' -j DROP -m comment --comment "DROP DNS Q cpsc.gov" -A INPUT -p udp -m udp --dport 53 -m string --string "cpsc.gov" --algo bm --from 40 --to 50 -m comment --comment "DROP DNS Q cpsc.gov" -j DROP 

但仍然在日志中查询

我仍然在研究解决scheme，但也许这里的任何人都有这样的攻击经验丰富，可以帮助我阻止像cpsc.gov这样的查询

 query-errors: info: client 93.48.40.139#54822 (cpsc.gov): rate limit drop REFUSED error response to 93.48.40.0/24 

任何帮助表示赞赏。

非常重要：即使我禁用ALL的recursion，我的日志充满了像速率限制下降 REFUSED 错误响应这就是为什么我想阻止它的iptables的warings。