named, view external + denied + 2 млн. запросов за пару дней ;)

Однозначно стоит, ибо это могут быть поддельные IP жертв, на которые вы шлете трафик

Рекурсивная атака?

---------- Добавлено 13.06.2013 в 13:58 ----------

Мдя, пара минут работы fail2ban около 2500 фейлов, 30 ипшников в баню.... :) Капец, что же за интернет такой :D

гляньте tcpdump-ом с какого порта идут к вам запросы.

год назад меня флудили udp-шками с 53-го порта на мой 53-й

закрыл в файрволе, через неделю отстали

Romka_Kharkov, нет, запрос на скачку файла зоны выглядит не так.

Выступая иногда и как клиент хостинга тоже, посоветую вам НЕ ДЕЛАТЬ НИЧЕГО во избежание создания сложных запутанных проблем и банов невиновных.

Ответ на запросы посылается ? - Нет.

Атака усиливается (DNS Amplification)? - Нет.

Мир во всем мире возможен ? - Нет.

Это в первую очередь следовало бы проверить. Что там по проблемным доменам?

С случайных портов в дальнем диапазоне.

Поддерживаю предыдущего оратора.

Ну как сказать, какой-то трафик то уходит.... хотя бы тот с тем же denied. Тачка шуршит, днс шуршит, если напрасно - нафик надо.... ?

Это ж вроде тут не при чем, у меня не рекурсор.

Вы не умеете его готовить (c)... :)))))

Так а что проверять, практически все домены которые фигурируют в логах когда-то были у нас на хосте, и ДНС у регистратора до сих пор наш.... при этом домены не используются владельцами, у нас из ДНС удалены так же , давным давно.... Но есть так же пришедшие запросы по таким доменам например:

alt1.aspmx.l.google.com/A/IN

ALT1.aspmx.l.google.com/A/IN

aspmx2.googlemail.com/A/IN

ASPMX2.GOOGLEMAIL.com/A/IN

мало вероятно, что они были у нас когда либо :D

Пока все таки натравил fal2ban на эту штуку.... при каких условиях могут страдать невинные клиенты? Если они аналогичных запросов сделают 50 за 5 минут?

Пока собрал вот такую штуку в фильтрах:

Может быть возвернуть домены в ДНС и начать трафик собирать с них? :)

насколько я понимаю, не уходит. Неудобство только в засорении логов. Проверьте tcpdump-ом трафик с этих IP. Заодно может еще какие-то аномалии заметите.

Например, клиент сначала указывает у регистратора домен, а спустя время T1 заводит домен в панели. За это время T1 крупные региональные рекурсоры банятся на время T2 скриптом и весь регион не может открыть сайт. В худшем случае можно забанить google dns.

Просто сложные проблемы возникают там где админу не сидится спокойно.

эээ, тут я имел ввиду схему, когда подделывают адрес отправителя запроса и сервер отправляет в ответ. Cейчас это редкость ввиду того, что сетевики озаботились борьбой с ddos, но наверное еще не все.

В общем запросы приходят в том случае, если идет простое обращение к домену... стало быть кто-то в браузере или еще как запрашивает резол домена и оно прямиком ко мне приходит... :) Аж интересно стало, что же там за домены такие :D

---------- Добавлено 13.06.2013 в 15:23 ----------

А с какого простите хрена.... рекурсоры ломанутся проверять домен которого еще нет ..... ? Это выходит ситуация когда чувак не добавляя в ДНС домена на всех форумах кричит "заходи на мой сайт" ... так что ли выходит? :) Ну а гугл давно пора забанить :D

Romka_Kharkov, нет, чувак УЖЕ сменил у регистратора старый домен, а к вам ЕЩЕ не успел. Или у него интернет обрубился на пару часов во время работы с вашей панелью.

Неприятность, которая затянет переезд на время T2, которое вы выбираете и это может быть больше чем обычное ожидание в пару суток.

В общем, схемы возникновения сложных проблем бесконечно разнообразны. Не создавайте предпосылок и все.