RouterOS 被大量流量攻擊

小笨賢

4336分

11樓

小笨賢

個人積分：4336分

文章編號：79354820

gfx wrote:
routeros dns...(恕刪)

不會耶~
我都沒勾... 所以不曾被攻擊~~~

不過我 DHCP自動取得IP 配發HInet DNS
不配發 RouterOS 的 DNS

gfx

1603分

12樓

gfx

個人積分：1603分

文章編號：79354935

小笨賢 wrote:
不會耶~
我都沒勾....(恕刪)

與理解不太一樣

我以為關了router就無法回應client，配置與server相同的dns server。

cafebug

1243分

13樓

cafebug

個人積分：1243分

文章編號：79355479

"allow remote requests" 不用關，只要在Firewall裏頭設2條規則就可以防止Internet上的人來把你當成DNS server了...

那就是把來自PPPoE(任何當WAN的)介面目標是UDP/TCP port 53全部drop掉就好了，這樣內網的LAN IP介面繼續可以當內網裏頭DNS server的功能

rule: 1
chain=input action=drop protocol=udp in-interface=pppoe-out1
dst-port=53 log=no log-prefix=""

rule:2
chain=input action=drop protocol=tcp in-interface=pppoe-out1
dst-port=53 log=no log-prefix=""

小笨賢

4336分

14樓

小笨賢

個人積分：4336分

文章編號：79355540

gfx wrote:
與理解不太一樣我以為(恕刪)

這個跟 centos 的 dns server 一樣，預設只能 local 端可以查詢，但是RouterOS 居然開放可以遠端查詢
開放遠端可以查詢，就會受到遞迴放大攻擊

假如自架Linux dns server 要給內部跟網站做正反解，與做dns查詢, 就只能開放，不然不會更新資料....

所以不勾時要配發 8.8.8.8 或 hinet dns，用戶不能指定192.168.88.1

===========
完整DNS Server 有提供正反解+快取...2大功能
(前提53 port UDP + TCP 都要開放)
正反解部分:
1. 任何IP都可以連線
2. 限定Local 與特定 IP連線 (只能提供給上層連線拿取你的正反解資料)

快取部分: (也是可以限定連線IP)
1. 沒提供其他DNS server 查不到就放棄
2. 提供其他DNS server , 自己快取沒有就往上查