Open recursive resolver - как закрыть?

Меня всегда поражало, что люди на форуме поисковых систем не умеют ими пользоваться.

Если бы все всё умели, у вас не было бы возможности поумничать и набивать посты на форуме поисковых систем. ;)

Проверил два своих сервера с помощь nslookup.

На обоих рекурсия ДНС не работает.

Хотя в настройках bind этих строк у меня нет.

options {

allow-recursion { localnets; localhost; };

};

iptables -I INPUT -p udp --dport 53 -j DROP -m connlimit --connlimit-above 1

tw5, зачем?

1. Отключение рекурсии решает вопрос полностью, в отличии от вашего правила;

2. Однажды имел возможность наблюдать за результатом такого правила. Даже при connlimit-above 3 было множество жалоб от посетителей что не могут попасть на сайт.

в свежих версиях отключена по умолчанию

---------- Добавлено 03.01.2014 в 23:56 ----------

:) костыли в ход пошли.

Если используются NS-серверы от регистратора домена или хостинга, можно смело глушить bind и убрать из автозагрузки, или кардинальный и простой способ - удалить его нафиг в месте с удалением всех потенциально открытых в будущем дыр :)

Если CentOS, подключаетесь по SSH и выполняете:

service named stop
yum erase named
y

Гопода, советы по отключению рекурсии не помогли: добавление этого правила в настройки на результат теста никак не влияет.

---------- Добавлено 04.01.2014 в 01:40 ----------

1. Если бы...

как бы то ни было, пока я вижу единственно хоть какой-то результат именно от этой настройки, тем более, что в абузе шла речь про UDP-порты. С доступом на сайт тоже все нормально.

aprika, а вы уверены что рекурсия закрыта?

Да и может дело не в рекурсии, а просто сервер хакнули и льют udp.

А если нет? :)