forum.lissyara.su

Всем привет.
Нужна помощь. Есть вопрос, как ограничить количество запросов на dns сервер.
Под линукс делал это с помощью iptables фича "recent" просто ограничивал по количеству пакетов за минуту.
Пробовал статью , но тут возникла проблема как подобрать скорость пакетов и количество пакетов в очереди, для нормального среднестатистического пользователя dns.
Тут насколько я понял принцип pipe: нужно задать скорость передачи пакетов, что ни есть хорошо задержки на преобразования имен, а от суда все вытекающие в смысле ухудшения сервиса. И если они(пакеты) не будут успевать проходить, то станут в очередь и только из-за перенакопления в очереди будут отброшены последниипришедшии.
Может, кто поделится опытом по методам препятствия dns flooda или подсказать с pipe.
Спасибо.

Совсем забыл сама статья "сервер имен, FreeBSD и dummynet – так хорошо вместе!" http://www.nestor.minsk.by/sr/2005/05/sr50514.html. Система FreeBSD 7.1, сервер dns- BIND 9.6.1-P1.

Гость писал(а):Совсем забыл сама статья "сервер имен, FreeBSD и dummynet – так хорошо вместе!" http://www.nestor.minsk.by/sr/2005/05/sr50514.html. Система FreeBSD 7.1, сервер dns- BIND 9.6.1-P1.

Сори случайно под гостем зашол

Спасибо за ответ но: tcp 53 порт используется для длинных ответов на запросы и передачи зон, а для клиентских завсегдатых запросов используется udp 53. И на сколько я понял setup limit тянет только tcp.

Пробовал такое правило:
Без него ни чего не пропускает, а с ним проходит без ограничения.

Может у ково, есть какие еще соображения. Возможно, ли вообще в freebsd ограничивать udp?

Провел эксперимент. при добавлении правила типа: у меня вообще перестал ДНС отдаваться nslookup-у из локалки

если увеличить до 4 то 1 nslookup отрабатывает, а почти одновременно запущенный второй виснет
если увеличить до 10 то отрабатывают оба.

Нашел такое: http://forum.nag.ru/forum/index.php?s=9 ... ntry281505

Отсуда выплывает, что limit - выставлять лимит одновременных соединений, а "соединение" не применимо к udp запросам.

Раз другого выхода нет. Думаю копать в сторону утилиты dns_flood и автоматическо-прямой блокировки клиентского порта на свитче.