pupseg: согласно положению ripn все ДНС-серверы, на которые делегируется домен - должны находится в разных сетях класса С. но это положение каноническое, сейчас ради того что бы клиента ублажить - определенный перечень регистраторов позволяет делегировать домены на два айпи-адреса из одной сети.
у вас все правильно настроено, но у домена записей типа IN NS - должно быть минимум две, и на ходится они должны - в идеале в разных сетях, а не в идеале - зависит от регистратора.
есть небольшой перечень регистраторов, которые позволяют писать две IN NS на один и тот же айпи-адрес.
по поводу записей IN MX и почты - на этом сервере вы используете почтовый сервер ? именно почтовый сервер, а не "ну сайты у меня почту шлют". Если вы получаете через сервер корреспонденцию и отправляете с него - то IN MX - нужно, если нет - уберите вообще.
>>есть небольшой перечень регистраторов, которые позволяют писать две IN NS на один и тот же айпи-адрес
Мой регистратор это позволяет
dns некоторых сайтов посадил на один ip , причём тот же, что и ip самого сайта.
Для особо важного сайта выделил 2 отдельных ip для днс сервера, но они из одной подсети, по счёту один после другого :)
Интересно как относятся к таким DNS-ам поисковые роботы - гугл и яндекс?
На счёт почты
У меня вот такие сервисы есть:
Post-Office Protocol (pop3):110 открытый
Secure IMAP server:993 открытый
Secure POP3 server:995 открытый
Secure SMTP server:465 открытый
Secure WWW server:443 открытый
Alternative smtp:587 открытый
kgtu5: одну mail запись можно удалить ns1 A 1.1.1.1 ns2 A 3.3.3.3 (или 2.2.2.2 если хочется) -так и должно быть, нс-ы должны указывать на разные айпишники, таков принцип работы dns-сервера
---------- Добавлено 20.09.2013 в 19:27 ----------
записи ОБЯЗАТЕЛЬНО должны быть прописаны для одного домена на вашем сервере и соответственно для домена у регистратора прописать ns1.домен1.ru 1.1.1.1 ns2.домен1.ru 3.3.3.3
интерсено, а что будет если оба ns будут такие 1.1.1.1 ?
Я вообще то уже сделал, на тестовом сайте.
у регистратора прописал
ns1.домен1.ru 1.1.1.1
ns2.домен1.ru 1.1.1.1
Вроде ничего не сломалось. Или я чего то не замечаю? Чего?
MarcusTven: 1) Не заморачивайтесь с DNS. Используйте NS вашего провайдера. А bind вообще отключите в возможностях ISP Manager.
2) Это "фитча". Но можно убрать :)
madoff: Я струдом понимаю что вы хотите и как вы мониторите помогло или нет.
через отчёт трафика предоставляемый хостером, в контейнере vds (plesk)
отключение службы никак не избавит вас от входящего траффика, который генерируется извне другими узлами
если не напрягает - то просто филтруйте icmp и забейте, если траф слишком жирный нагнетают и упираетесь в лимиты - тогда думайте над защитой промежуточной между сервером и миром, ну или сначала обратитесь в дц, возможно они помогут со своей стороны чем-то
Я так и знал, но надежда умирает последней
net.ipv4.icmp_echo_ignore_all=1
Спасибо , я это и имел в виду.
Прямо сейчас трафик фильтруется сторонним сервером, иначе хостер отключит из за трафика.
Так, что попробовать не могу. На днях попробую.
Если не поможет, думаю придётся вечно фильтровать или покупать очень широкий канал
я не сеошник - но уже 100500 раз обсуждалось, что хоть у вас один сайт на одном айпи, что 20 сайтов на одном айпи - это на сео не влияет. и глупости все это типа, "арендую сервер с большим количеством айпи для сайтов". уж если на то пошло - я смею предположить, что ботам интересны пути достижимости тех или иных айпи на карте мировых автономных систем (AS), но никак не количество ip. но повторюсь - это мое предположение, подробнее тут про as и bgp: http://www.opennet.ru/docs/RUS/bgp_rus/
https://ru.wikipedia.org/wiki/%D0%90%D0%B2%D1%82%D0%BE%D0%BD%D0%BE%D0%BC%D0%BD%D0%B0%D1%8F_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0_%28%D0%98%D0%BD%D1%82%D0%B5%D1%80%D0%BD%D0%B5%D1%82%29
по поводу ботов - это только предположеие
Я не имею в виду - сколько сайтов на одном ip, а именно, тот факт, что днсы первый и второй и сам сайт на одном ip, или оба ip днс одинаковые
согласно положению ripn все ДНС-серверы, на которые делегируется домен - должны находится в разных сетях класса С. но это положение каноническое, сейчас ради того что бы клиента ублажить - определенный перечень регистраторов позволяет делегировать домены на два айпи-адреса из одной сети.
у вас все правильно настроено, но у домена записей типа IN NS - должно быть минимум две, и на ходится они должны - в идеале в разных сетях, а не в идеале - зависит от регистратора.
есть небольшой перечень регистраторов, которые позволяют писать две IN NS на один и тот же айпи-адрес.
по поводу записей IN MX и почты - на этом сервере вы используете почтовый сервер ? именно почтовый сервер, а не "ну сайты у меня почту шлют". Если вы получаете через сервер корреспонденцию и отправляете с него - то IN MX - нужно, если нет - уберите вообще.
>>есть небольшой перечень регистраторов, которые позволяют писать две IN NS на один и тот же айпи-адрес
Мой регистратор это позволяет
dns некоторых сайтов посадил на один ip , причём тот же, что и ip самого сайта.
Для особо важного сайта выделил 2 отдельных ip для днс сервера, но они из одной подсети, по счёту один после другого :)
Интересно как относятся к таким DNS-ам поисковые роботы - гугл и яндекс?
На счёт почты
У меня вот такие сервисы есть:
Secure IMAP server:993 открытый
Secure POP3 server:995 открытый
Secure SMTP server:465 открытый
Secure WWW server:443 открытый
Alternative smtp:587 открытый
Не все домены делегируются на такие нсы с одним IP
в смысле ? не все зоны (com,ru) ?
Если сайт открывается, значит всё в порядке, или он у каких то посетителей не откроется?
одну mail запись можно удалить
ns1 A 1.1.1.1
ns2 A 3.3.3.3 (или 2.2.2.2 если хочется) -так и должно быть, нс-ы должны указывать на разные айпишники, таков принцип работы dns-сервера
---------- Добавлено 20.09.2013 в 19:27 ----------
записи ОБЯЗАТЕЛЬНО должны быть прописаны для одного домена на вашем сервере и соответственно для домена у регистратора прописать
ns1.домен1.ru 1.1.1.1
ns2.домен1.ru 3.3.3.3
интерсено, а что будет если оба ns будут такие 1.1.1.1 ?
Я вообще то уже сделал, на тестовом сайте.
у регистратора прописал
ns1.домен1.ru 1.1.1.1
ns2.домен1.ru 1.1.1.1
Вроде ничего не сломалось. Или я чего то не замечаю? Чего?
1) Не заморачивайтесь с DNS. Используйте NS вашего провайдера. А bind вообще отключите в возможностях ISP Manager.
2) Это "фитча". Но можно убрать :)
Провайдер услуги ДНС сервера не предоставляет.
Linux Debian
Спасибо большое
Я струдом понимаю что вы хотите и как вы мониторите помогло или нет.
через отчёт трафика предоставляемый хостером, в контейнере vds (plesk)
если не напрягает - то просто филтруйте icmp и забейте, если траф слишком жирный нагнетают и упираетесь в лимиты - тогда думайте над защитой промежуточной между сервером и миром, ну или сначала обратитесь в дц, возможно они помогут со своей стороны чем-то
Я так и знал, но надежда умирает последней
Спасибо , я это и имел в виду.
Прямо сейчас трафик фильтруется сторонним сервером, иначе хостер отключит из за трафика.
Так, что попробовать не могу. На днях попробую.
Если не поможет, думаю придётся вечно фильтровать или покупать очень широкий канал
Всем спасибо за помощь. Всем + в репу :)
iptables -I INPUT -p icmp -j DROP
Сделал так. Поглядим через час на эффект
---------- Добавлено 15.09.2013 в 19:28 ----------
iptables -I INPUT -p icmp -j DROP
не помогло.
цепочка INPUT это входящий трафф отключает, за исходящий отвечает OUTPUT цепочка
Ну, прблема всё равно во входящем трафике.
Вот так тоже пропустил
iptables -A INPUT -p icmp -j DROP --icmp-type 8
iptables -A INPUT -p icmp -j DROP --icmp-type 11
iptables -A INPUT -p icmp -j DROP
iptables -A OUTPUT -p icmp -j DROP --icmp-type 8
iptables -A OUTPUT -p icmp -j DROP --icmp-type 11
iptables -A OUTPUT -p icmp -j DROP
Входящий трафик остался прежним, отрезался только исходящий.
Вот я и думаю, а что если отключить этот протокол, каким то образом совсем. Может поможет?
Думаю Iptables будет актуальнее нежели лазить по sysctl там вроде редиректы и echo
при ддос по icmp на вдс Iptables
iptables -A INPUT -p icmp -j DROP --icmp-type 8
iptables -A INPUT -p icmp -j DROP --icmp-type 11
iptables -A INPUT -p icmp -j DROP
полностью отключает исходящий трафик, но входящий остаётся такой же большой.
поэтому, хочу выключить этот протокол и посмотреть на трафик