intDataBlog
← ЖурналМаршруты обучения ↗

DNS-сервер без amplification: что проверить перед публикацией

Публичный DNS полезен только тогда, когда он отвечает за свои зоны. Открытая рекурсия превращает его в чужой инструмент для усиления трафика.

Главное правило простое: authoritative DNS отвечает внешнему миру за свои зоны, а recursive DNS обслуживает только доверенные сети. Смешивать эти роли без явной политики опасно.

Отключить открытую рекурсию

dig @ns.example.com example.com A
dig @ns.example.com google.com A

Первый запрос может быть штатным, если сервер обслуживает зону. Второй не должен работать для любого клиента из интернета.

  • recursion no для authoritative-сервера.
  • allow-recursion только для доверенных подсетей, если рекурсия всё же нужна.
  • allow-query и allow-transfer задаются явно, без случайного открытия AXFR.

Ограничить усиление

Rate limiting, минимальные ответы и контроль больших UDP-ответов снижают эффект amplification. Это не заменяет сетевую защиту, но уменьшает ущерб от неверной конфигурации.

dig @ns.example.com example.com ANY +notcp
dig @ns.example.com example.com DNSKEY +dnssec

Наблюдать за аномалиями

  • Следите за ростом UDP/53 исходящего трафика.
  • Логируйте всплески запросов к несуществующим именам.
  • Отдельно проверяйте DNS после миграции зоны, смены провайдера или установки панели управления.