[Barricade]

Mireczki taka sytuacja, sporo procka mi #bind zżera takim czymś

27-Sep-2018 21:37:07.961 queries: info: client 58.218.66.225#57391 (USADF.GOV): query: USADF.GOV IN ANY +E (192.168.0.200)
27-Sep-2018 21:37:07.965 queries: info: client 58.218.66.225#57391 (USADF.GOV): query: USADF.GOV IN ANY +E (192.168.0.200)
27-Sep-2018 21:37:07.976 queries: info: client 58.218.66.225#57391 (USADF.GOV): query: USADF.GOV IN ANY +E (192.168.0.200)
27-Sep-2018 21:37:07.978 queries: info: client 122.114.207.223#80 (aids.gov): query: aids.gov IN ANY +E (192.168.0.200)
27-Sep-2018 21:37:07.993 queries: info: client 104.13.223.83#80 (aids.gov): query: aids.gov IN ANY +E (192.168.0.200)

jak temu zaradzić?
#linux #serwery

[wytrzzeszcz]

@Barricade co to bind

[msichal]

@Barricade: a po co Ci tam bind?

[a231]

@Barricade: A nie stałeś się częścią botnetu przypadkiem? Bo kto normalny queruje amerykańskie .gov?

[BuMRK]

@Barricade tego bind masz w chroot jak nie to gratulacje

[botul]

@Barricade: Skonfiguruj poprawnie bind - opcje allow-query, allow-update

[Barricade]

@a231: jak to sprawdzić?
@BuMRK: to ispconfig3 więc nie wiem czy ma binda w chroot
@botul: możesz coś więcej napisać?

[BuMRK]

@Barricade If your DNS server is a local caching server, set

allow-query { ; };

in options. And, in each zone:

allow-query { any; };

If you are not using it as a caching server, set it on options to none;

allow-query { none; };

Basically, you don't want your server answering to domains you are not authoritative.

[Barricade]

@BuMRK: Dzięki mireczku, to mnie naprowadziło.
@a231: @BuMRK: @botul: Faktycznie okazało się, że hackery mnie wykorzystały od 6 rano
http://www.networkinghowtos.com/howto/prevent-dns-amplification-attacks-with-bind/
to mi pomogło :)

[Barricade]

@lis6502: jak żyć? ( ͡° ͜ʖ ͡°)
właśnie u mnie tak było.
Przestawiłem jedną opcję i nagle użycie procesora podskoczyło niesamowicie mocno XD

[BuMRK]

@lis6502
@Barricade albo możesz użyć fail2ban

https://debian-administration.org/article/623/Blocking_a_DNS_DDOS_using_the_fail2ban_package

[Barricade]

@BuMRK: no właśnie ten sposób coś mi pokrzaczył całego fail2ban
Teraz cały czas w logach f2b mam napisane, że adres już został dodany do listy zbanowanych, więc skoro znowu się pojawia to iptables wcale go nie wycina