প্রতি সেকেন্ড এবং উইন্ডোতে প্রতিক্রিয়াগুলির জন্য DNS রেট-সীমা এবং মানকে বাঁধুন


8

আমার ডিএনএস সার্ভারে নামযুক্ত.কনফ আমি দেখতে পাচ্ছি

    rate-limit {
            responses-per-second 5;
            window 5;
    };

এর আসলে কী অর্থ? এবং এটি ডিএনএস ক্লায়েন্টদের সমস্যার কারণ হতে পারে? এটি কি খুব কড়া একটি কনফিগারেশন?


উত্তর:


7

এটি কোনও একক ডিএনএস ক্লায়েন্ট একটি সেকেন্ডে পেতে পারে এমন অভিন্ন প্রতিক্রিয়ার সংখ্যা সীমিত করে। window 5বিকল্প 5 * 5 প্রতিক্রিয়া একটি ব্রাস্ট পারেন।

"আইডেন্টিকাল রেসপন্স" এবং "একক ডিএনএস ক্লায়েন্ট" এখানে কিছুটা অ-স্পষ্ট শর্তাবলী, আরও তথ্যের জন্য এটি পড়ুন: http://web.archive.org/web/20140209100744/http://ss.vix.su/~ vjs / rl-arm.html

সাধারণত রেট-সীমাবদ্ধকরণের পক্ষে ভাল জিনিস - কোনও দিন কোনও ডস আক্রমণ করার ক্ষেত্রে আপনাকে সহায়তা করতে পারে। ডিফল্ট বেশিরভাগ ক্ষেত্রে ঠিক থাকা উচিত।


প্রথম অনুচ্ছেদে "বিস্ফোরণ" সম্পর্কে অংশটি ভুল। windowকেবলমাত্র টাইমস্প্যানটি নিয়ন্ত্রণের জন্য ব্যবহৃত হয় যার মধ্যে প্রতিটি "একক ডিএনএস ক্লায়েন্টকে" প্রেরিত "অভিন্ন প্রতিক্রিয়াগুলি" ট্র্যাক করা হয়। BIND- র 9 প্রশাসক রেফারেন্স ম্যানুয়াল পদ বলে: [ক্লায়েন্টের RRL] অ্যাকাউন্ট প্রতি সেকেন্ডে সীমার চেয়ে বেশি ইতিবাচক হতে পারে না বা চেয়েও বেশি নেতিবাচক windowবার প্রতি সেকেন্ডে সীমা। ভার্নন শ্রাইভারের এই বার্তাটি অ্যালগরিদমের আচরণটি আরও বিশদে ব্যাখ্যা করে।
কেম্পনিউ

11

BIND 9.9 এর জন্য প্রশাসকের রেফারেন্স ম্যানুয়ালটি আপনার পড়া উচিত ।

মূলত, responses-per-secondপ্রতি সেকেন্ডে একটি একক গন্তব্যে প্রেরণ করা যায় এমন অভিন্ন উত্তরগুলির সংখ্যা। সংজ্ঞাগুলি জটিল।

একটি একক গন্তব্য হ'ল নেটওয়ার্ক অ্যাড্রেসগুলির একটি ব্লক যা আকারে প্রযোজ্য ipv4-prefix-lengthবা ipv6-prefix-lengthহিসাবে প্রযোজ্য of সুতরাং, যদি ipv4-prefix-length24 হয়, এবং উভয় 192.0.2.1এবং 192.0.2.2DNS সার্ভার অনুসন্ধান করছে, তারা এই কোটা ভাগ করবে এবং শুধুমাত্র তাদের দুজনের মধ্যে অনেক প্রশ্নের পাঠাতে পারেন।

সনাক্তকারী জবাব হ'ল নির্দিষ্ট অস্তিত্বের নামের জন্য বা কোনও অস্তিত্বের নামের জন্য কোনও নির্দিষ্ট আরআর টাইপের প্রশ্নের জন্য জবাব। নিম্নলিখিত প্রশ্নগুলি সমস্ত স্বতন্ত্র:

IN A example.net.
IN A www.example.net.
IN AAAA example.net.
IN A nonexistent.domain.example.net.

যাইহোক, নিম্নলিখিত প্রশ্নের সমস্তগুলি অভিন্ন (ধরে নেওয়া nonexistent.domain.example.net.ইত্যাদি তাদের নামের সাথে জড়িত ):

IN A nonexistent.domain.example.net.
IN A nonexistent.domain2.example.net.
IN SOA other.nonexistent.domain.example.net.

windowজিনিসগুলিকে আরও কিছুটা জটিল করে তোলে। এটি সেকেন্ডের সংখ্যা যার জন্য কোটা ব্যাংক করা যায়। গুণমান windowএবং responses-per-secondসর্বাধিক দেয় যার দ্বারা কোনও কোটা ইতিবাচক হতে পারে, বা আরও মূল শর্তে, বিস্ফোরণ ক্ষমতা।

একটি ক্যাচ-সব উদাহরণ দিতে:

আপনি ননক্রিসিং, প্রামাণ্য নেমসার্ভার example.net.। কল্পনা করুন যে গত 10 সেকেন্ডে কোনও ডিএনএস ট্র্যাফিক দেখা যায়নি এবং প্রশ্নের কনফিগারেশনটি বিশ্বব্যাপী প্রযোজ্য। নিম্নলিখিত ঘটনাগুলি ধারাবাহিকভাবে ঘটে:

  1. হোস্ট 198.51.100.1 এর জন্য 100 টি প্রশ্নের পাঠায় IN NS example.net.। 25 এর অনুমতি দেওয়া হবে এবং বাকি 75 টি উপেক্ষা করা হবে।
  2. হোস্ট 198.51.100.1 এর জন্য 100 টি প্রশ্নের পাঠায় IN A nonexistent.example.net.। 25 এর অনুমতি দেওয়া হবে এবং বাকি 75 টি উপেক্ষা করা হবে।
  3. হোস্ট 198.51.100.1 এর জন্য 1 টি ক্যোয়ারী প্রেরণ IN MX nonexistent-domain.example.net. করেছে কারণ অস্তিত্বশীল ডোমেনগুলির সীমাটি পৌঁছে যাওয়ার কারণে এটি এড়ানো হবে।
  4. হোস্ট 198.51.100.1 এর জন্য 1 টি ক্যোয়ারী প্রেরণ করে IN A example.net.। এটা অনুমোদিত.
  5. 192.0.2.1 থেকে 192.0.2.150 এর মধ্যে 192.0.2.1 এর হোস্টগুলি প্রত্যেকের জন্য একটি একক কোয়েরি প্রেরণ করে IN NS example.net.। তাদের 25 টি উত্তর পেয়েছে এবং 25 টি উপেক্ষা করা হবে; 198.51.100.0/24 এর কোটা এই হোস্টগুলির জন্য প্রযোজ্য নয়, তবে তারা 192.0.2.0/24 এর জন্য কোটা ভাগ করে।
  6. এক সেকেন্ড পাস
  7. 192.0.2.250 এর মধ্য দিয়ে 192.0.2.26 এর মাধ্যমে হোস্টগুলি তাদের প্রশ্নের পুনরাবৃত্তি করুন IN NS example.net.। তাদের মধ্যে 5 টি উত্তর পেয়ে থাকে এবং বাকি 20 টি উপেক্ষা করা হয়, যেহেতু কোটা প্রতি সেকেন্ডে 5 টি কোয়েরি দ্বারা কেবল পুনরায় পূরণ করা হয়।

4
iptables -A INPUT -p udp --dport 53 -m recent --set --name dnslimit
iptables -A INPUT -p udp --dport 53 -m recent --update --seconds 60 --hitcount 11 --name dnslimit -j DROP 

আইপেটেবলগুলি পাশাপাশি কাজ করতে পারে। কোনও আক্রমণ পাওয়া গেলে ট্র্যাফিক পুরোপুরি পরিষেবা থেকে দূরে রাখে।


অসাধারণ! আমি iptables সম্পর্কেও ভাবিনি। তবে ইংরেজিতে এর অর্থ কী? আমি অনুমান করতে পারি ... যদি কিছু আইপি 11 বা ততোধিক ডিএনএস কোয়েরি প্রেরণ করে তবে সেগুলি 60 সেকেন্ডের জন্য অবরুদ্ধ করে, তাই না?
রেড ক্রিকেট

না, অনুবাদটি হ'ল: 60 সেকেন্ডের সময়সীমার মধ্যে 11 টির বেশি প্যাকেট গ্রহণ করবেন না, অন্য সমস্ত প্যাকেট ফেলে দিন।
ড্রিস্লাস

1
আমার একটি সমস্যা হয়েছিল, আপনার দুর্দান্ত সমাধানটি প্রয়োগ করার চেষ্টা করার পরে আমার যেমন একটি ত্রুটি হয়েছিল: "আইপেটেবলস: ফায়ারওয়াল বিধি প্রয়োগ করা: iptables-بحال v1.4.7: -সি প্যাকেট কাউন্টার সংখ্যায় নয় ত্রুটি ঘটেছিল লাইনে: 17" লাইন 17 প্রথম তোমার একটা আমার কিছু নির্দিষ্ট মডিউল লোড করা উচিত?

প্রথম লাইনটি নিম্নলিখিত হিসাবে হওয়া উচিত: iptables -A INPUT -p udp -m udp --dport 53 -m সাম্প্রতিক --set

2
আমি যতদূর বলব যে এটি "ঠিক তেমন কাজ করে"। এই হারটি কোনও ধারণা ছাড়াই সীমাবদ্ধ করে যদি এটি আসলে একই ক্যোয়ারীটি স্প্যামযুক্ত বা বিভিন্ন প্রশ্নের হয় তবে পরবর্তীকালে বৈধ ট্র্যাফিক হতে পারে।
হাকান লিন্ডকভিস্ট

0

আমি সীমাবদ্ধতা রেট করা ভাল ধারণা বলে মনে করি না, নিজেকে জিজ্ঞাসা করুন: আপনি কি ওয়েবসভার প্রতিক্রিয়াগুলিকেও সীমাবদ্ধ করেন? আপনি কী ভাবেন যে ডিএনএস প্রতিক্রিয়াগুলি ওয়েব সার্ভার প্রতিক্রিয়াগুলির চেয়ে কম গুরুত্বপূর্ণ?
এমনকি আপনি যদি সীমাটি রেট করেন তবেও এটি 5 রেখা / সেকেন্ড খুব কম শোনায়।


2
ওয়েবসার্ভার প্রতিক্রিয়াগুলি হারে চলা নির্দিষ্ট কিছু ক্ষেত্রে এই জাতীয় ধারণা হতে পারে। তবে ডিএনএস বেশিরভাগ ইউডিপি, যা সহজেই ছদ্মবেশী হয় (HTTP এর বিপরীতে), তাই রেট সীমাবদ্ধকরণ আপনাকে নামকরণকারীদের প্রশস্তকরণ বা প্রতিবিম্বের আক্রমণে ব্যবহার করতে বাধা দেয়।
আরজার্জ

তিনি যদি ওপেন রেজোলভার না হন তবে আমি প্রতিবিম্ব / প্রশস্তকরণের আক্রমণগুলির পক্ষে এটি একটি ভাল লক্ষ্য মনে করি না, তবে আপনার অধিকার আছে। 5 রেকর্ড / সেকেন্ড আমি এখনও খুব কম বলে মনে করি।
স্যান্ডর মার্টন

1
এটি নির্দিষ্ট করে না যে এটি কোনও পুনরাবৃত্তিযোগ্য বা কোনও অনুমোদিত সার্ভার। একটি অনুমোদিত সার্ভার রেট জন্য এখনও সীমাবদ্ধ গুরুত্বপূর্ণ। এছাড়াও, এটি প্রতি সেকেন্ডে কেবল 5 টি অনুরোধ নয়, এটি প্রতি সেকেন্ডে একই উত্তরগুলির 5 টি, এবং আপনি বিভিন্ন উত্তর উত্পন্ন করলে এমনকি সংশোধনও করেছেন। সাধারণত প্রতি সেকেন্ডে 5 টি অনুরোধ বিন্যাসে জরিমানা হয় (কারণ একটি বৈধ সার্ভারও এর মধ্যে অন্যান্য প্রশ্ন জিজ্ঞাসা করে)।
আরজার্জ

ঠিক আছে, আমি দস্তাবেজগুলি পরীক্ষা করে দেখেছি যে হারের সীমাটি প্রতি ক্লায়েন্টের সেটিং হিসাবে প্রতি সার্ভারের জন্য নয় is আমি এই ধারণাটির মধ্যে ছিলাম যে 5req / s হলে বাঁধাই মোটের মধ্যে সীমাবদ্ধ থাকবে। প্রতি ক্লায়েন্ট 5req / সেকেন্ড ঠিক আছে।
স্যান্ডর মার্টন
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.