[Sysadmins] Тысяча и один коннект BIND

[Sysadmins] Тысяча и один коннект BIND

[Павел Караваев]

Приветствую!

С недавнего времени начал замечать, что bind изредка на вполне нормальные домены стал выдавать "SERVFAIL". Тут же повторишь запрос - резолвит. Обнаружил, что несколько клиентов постоянно заваливают запросами вида "A? hyxhvpioqbmfsak.www.ludashi12345.com" пару определенных внешних dns серверов. На данный момент картина такая:

[root@ns1 zone]# netstat -an|grep ':53'|wc -l
1014
[root@ns1 zone]# 

[root@ns2 zones]# netstat -an|grep ':53'|wc -l
1012
[root@ns2 zones]# 

Т.е. явно упирается в какое-то ограничение. Включил debug 3 - в логах никакой ругани. Покурил маны по опциям bind, похожих опций не нашел. Посмотрел limits.conf - там лимит в 4096 файлов. Где еще может быть собака зарыта? Хотя думаю, что повышение лимита результата не даст - он опять моментально будет достигнут...

В качестве временной меры дропаю исходящие пакеты на эти пару серверов, но это же не выход... Как бороться?

Re: [Sysadmins] Тысяча и один коннект BIND

[Вадим Илларионов]

17 февраля 2015 10:42:29 от Павел Караваев поступило следующее:
> С недавнего времени начал замечать, что bind изредка на вполне нормальные
> домены стал выдавать "SERVFAIL". Тут же повторишь запрос - резолвит.
> ...
> В качестве временной меры дропаю исходящие пакеты на эти пару серверов, но
> это же не выход... Как бороться?

Использовать в качестве кэширующих ДНСов специально заточенные под это unbound 
и/или pdns_recursor?
_______________________________
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [Sysadmins] Тысяча и один коннект BIND

[alexei]

----- Исходное сообщение -----
> От: "Вадим Илларионов" <gbimobou@gmail.com>
> Кому: "ALT Linux sysadmins' discussion" <sysadmins@lists.altlinux.org>
> Отправленные: Вторник, 17 Февраль 2015 г 15:46:40
> Тема: Re: [Sysadmins] Тысяча и один коннект BIND

> 17 февраля 2015 10:42:29 от Павел Караваев поступило следующее:
>> С недавнего времени начал замечать, что bind изредка на вполне нормальные
>> домены стал выдавать "SERVFAIL". Тут же повторишь запрос - резолвит.
>> ...
>> В качестве временной меры дропаю исходящие пакеты на эти пару серверов, но
>> это же не выход... Как бороться?
> 
> Использовать в качестве кэширующих ДНСов специально заточенные под это unbound
> и/или pdns_recursor?

В данном случае (типичная DDoS ботнетом), вы такими средствами просто увеличите
мощность атаки.

Re: [Sysadmins] Тысяча и один коннект BIND

[alexei]

----- Исходное сообщение -----
> От: "Павел Караваев" <pppd@yandex.ru>
> Кому: "ALT Linux sysadmins discussion" <sysadmins@lists.altlinux.org>
> Отправленные: Вторник, 17 Февраль 2015 г 15:42:29
> Тема: [Sysadmins] Тысяча и один коннект BIND

> Приветствую!
> 
> С недавнего времени начал замечать, что bind изредка на вполне нормальные домены
> стал выдавать "SERVFAIL". Тут же повторишь запрос - резолвит. Обнаружил, что
> несколько клиентов постоянно заваливают запросами вида "A?
> hyxhvpioqbmfsak.www.ludashi12345.com" пару определенных внешних dns серверов.
> На данный момент картина такая:
> 
> [root@ns1 zone]# netstat -an|grep ':53'|wc -l
> 1014
> [root@ns1 zone]#
> 
> [root@ns2 zones]# netstat -an|grep ':53'|wc -l
> 1012
> [root@ns2 zones]#
> 
> Т.е. явно упирается в какое-то ограничение. Включил debug 3 - в логах никакой
> ругани. Покурил маны по опциям bind, похожих опций не нашел. Посмотрел
> limits.conf - там лимит в 4096 файлов. Где еще может быть собака зарыта? Хотя
> думаю, что повышение лимита результата не даст - он опять моментально будет
> достигнут...
> 
> В качестве временной меры дропаю исходящие пакеты на эти пару серверов, но это
> же не выход... Как бороться?

Во-первыз, заблочить прием запросов от этих клиентов. Во-вторых, провести
профилактические беседы с этими несколькими клиентами по поводу поселившихся
у них ботов. Блокируя исходящие запросы на атакуемые DNS вы проблему с
дескрипторами не решаете.

Re: [Sysadmins] Тысяча и один коннект BIND

[Вадим Илларионов]

17 февраля 2015 16:48:51 от alexei@taf.ru поступило следующее:
> Во-первыз, заблочить прием запросов от этих клиентов.

С этим поможет fail2ban
_______________________________
Мимо крокодил.
WBR, rednex CIO.
Cell: +7(964)103-65-67
Viber = Cell
JID = <mailto:>
Skype = $local_part@<mailto:>

Re: [Sysadmins] Тысяча и один коннект BIND

[Sergey]

On Tuesday 17 February 2015, Павел Караваев wrote:

> С недавнего времени начал замечать, что bind изредка на вполне
> нормальные домены стал выдавать "SERVFAIL". Тут же повторишь
> запрос - резолвит. Обнаружил, что несколько клиентов постоянно
> заваливают запросами вида "A? hyxhvpioqbmfsak.www.ludashi12345.com"
> пару определенных внешних dns серверов. На данный момент картина такая:    
 
Во-первых, можно, как в анекдоте про колорадского жука, там, где
"нехай обожрётся": например, "recursive-clients 10000;". Рекурсию
для чужих, разумеется не включать. Этот лимит просто местным оставит
возможность спрашивать.

Другой вариант - обновиться до версии из Сизифа (ну или пересобрать
её себе в бранч): http://bugzilla.altlinux.org/show_bug.cgi?id=30398

-- 
С уважением, Сергей.

Re: [Sysadmins] Тысяча и один коннект BIND

[Michael Shigorin]

On Wed, Feb 18, 2015 at 11:57:28AM +0400, Sergey wrote:
> Во-первых, можно, как в анекдоте про колорадского жука, там,
> где "нехай обожрётся": например, "recursive-clients 10000;".
> Рекурсию для чужих, разумеется не включать.

А это и получится для чужих, проникших за периметр.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info