আপনি খোলার ডিএনএস পুনরাবৃত্তিকারী বা কোনও অনুমোদিত ডিএনএস সার্ভার চালিয়ে যাচ্ছেন না কেন, সমস্যাটি একই এবং সম্ভাব্য সমাধানগুলির বেশিরভাগই একই।
সবচেয়ে ভালো সমাধান
ডিএনএস কুকিজ একটি প্রস্তাবিত মান যা ক্লায়েন্টের আইপি অ্যাড্রেসটি স্পোফ করা হয়নি তা প্রমাণ করার জন্য ডিএনএস সার্ভারকে ক্লায়েন্টদের কুকি প্রেরণের জন্য একটি উপায় দেয়। প্রথম দেখার জন্য এটির জন্য একটি অতিরিক্ত রাউন্ডট্রিপ ব্যয় করতে হবে, যা কোনও সমাধানের প্রস্তাব সবচেয়ে কম ওভারহেড।
পুরানো ক্লায়েন্টদের জন্য ফ্যালব্যাক
ডিএনএস কুকিজগুলি এখনও মানসম্মত হয়নি বলে অবশ্যই এখন এবং আগামী বছরগুলিতে পুরানো ক্লায়েন্টদের সমর্থন করা প্রয়োজন।
আপনি ডিএনএস কুকি সমর্থন ছাড়াই ক্লায়েন্টদের কাছ থেকে সীমাবদ্ধতার অনুরোধগুলি রেট করতে পারেন। তবে হার সীমাবদ্ধতা একজন আক্রমণকারীকে আপনার ডিএনএস সার্ভারের জন্য ডস করতে আরও সহজ করে। সাবধান হন যে কিছু ডিএনএস সার্ভারের রেট সীমা বৈশিষ্ট্যটি কেবল প্রামাণিক ডিএনএস সার্ভারের জন্য ডিজাইন করা হয়েছে। যেহেতু আপনি একটি পুনরাবৃত্তাকারী সমাধানকারী সম্পর্কে জিজ্ঞাসা করছেন, এই জাতীয় হার সীমাবদ্ধকরণ আপনার জন্য প্রযোজ্য নয়। ডিজাইনের মাধ্যমে হারের সীমাটি আপনার সার্ভারের জন্য বাধা হয়ে দাঁড়াবে এবং এভাবে কোনও রেট সীমা না থাকলে তার আক্রমণকারীর চেয়ে বৈধ অনুরোধগুলি বাদ দেওয়ার জন্য আক্রমণকারীকে আপনাকে কম ট্রাফিক পাঠাতে হবে।
হার সীমাবদ্ধতার একটি সুবিধা হ'ল যদি কোনও আক্রমণকারী আপনার ডিএনএস সার্ভারকে ডিএনএস অনুরোধে বন্যা করে তোলে তবে আপনার সম্ভাবনা বেশি থাকার সম্ভাবনা রয়েছে যা আপনাকে সার্ভারে ছিটকে পড়তে এবং পরিস্থিতি তদন্ত করতে দেবে। অতিরিক্ত হারের সীমাটি প্রাথমিকভাবে ক্লায়েন্ট আইপি থেকে অনেক অনুরোধ প্রেরণকারীদের অনুরোধগুলি ফেলে দেওয়ার জন্য ডিজাইন করা যেতে পারে, যা ক্লায়েন্টের আইপিগুলিতে ছদ্মবেশ ধারণ করে না এমন আক্রমণকারীদের থেকে আপনাকে ডস থেকে রক্ষা করার জন্য যথেষ্ট হতে পারে।
এই কারণে আপনার প্রকৃত ক্ষমতার অধীনে হারের সীমাটি একটি ভাল ধারণা হতে পারে, যদিও এটি বাস্তবে পরিবর্ধনের বিরুদ্ধে রক্ষা না করে।
টিসিপি ব্যবহার করে
কোনও ক্লায়েন্টকে ত্রুটি কোড প্রেরণ করে টিসিপি ব্যবহার করতে বাধ্য করা ইঙ্গিত করে যে উত্তরটি ইউডিপির পক্ষে খুব বড়। এটিতে বেশ কয়েকটি ত্রুটি রয়েছে। এটির জন্য অতিরিক্ত দুটি রাউন্ডট্রিপস ব্যয় হয়। এবং কিছু ত্রুটিযুক্ত ক্লায়েন্ট এটি সমর্থন করে না।
দুটি অতিরিক্ত রাউন্ডট্রিপগুলির ব্যয় এই পদ্ধতির সাহায্যে কেবলমাত্র প্রথম অনুরোধের মধ্যে সীমাবদ্ধ হতে পারে:
যখন ক্লায়েন্টের আইপি নিশ্চিত করা হয়নি, ক্লায়েন্টকে টিসিপিতে স্যুইচ করতে বাধ্য করার জন্য ডিএনএস সার্ভার একটি সংক্ষিপ্ত প্রতিক্রিয়া পাঠাতে পারে। সংক্ষিপ্ত প্রতিক্রিয়া অনুরোধের মতো সংক্ষিপ্ত হতে পারে (বা ক্লায়েন্ট যদি EDNS0 ব্যবহার করে এবং প্রতিক্রিয়া না দেয় তবে সংক্ষিপ্ত) যা প্রশস্তকরণটি সরিয়ে দেয়।
কোনও ক্লায়েন্ট আইপি যা কোনও টিসিপি হ্যান্ডশেক সম্পূর্ণ করে এবং সংযোগে ডিএনএস অনুরোধ প্রেরণ করে তা অস্থায়ীভাবে শ্বেত তালিকাভুক্ত করা যেতে পারে। একবার শ্বেত তালিকাভুক্ত হলে আইপি ইউডিপি কোয়েরি প্রেরণ করতে এবং 512 বাইট (EDNS0 ব্যবহার করে 4096 বাইট) পর্যন্ত ইউডিপি প্রতিক্রিয়া পেতে পারে। যদি কোনও ইউডিপি প্রতিক্রিয়া আইসিএমপি ত্রুটি বার্তাকে ট্রিগার করে, আইপিটি আবার হোয়াইটলিস্ট থেকে সরানো হবে।
ব্ল্যাকলিস্ট ব্যবহার করেও এই পদ্ধতিটি বিপরীত করা যেতে পারে, যার অর্থ হ'ল ক্লায়েন্ট আইপিগুলিকে ডিফল্টরূপে ইউডিপি-র উপর জিজ্ঞাসা করার অনুমতি দেওয়া হয় তবে কোনও আইসিএমপি ত্রুটি বার্তা আইপিটিকে কালো তালিকাভুক্ত করার জন্য ব্ল্যাকলিস্ট থেকে নামার জন্য একটি টিসিপি কোয়ের প্রয়োজন হয়।
সমস্ত প্রাসঙ্গিক IPv4 ঠিকানার সাথে বিচ্ছুরিত বিটম্যাপটি 444MB মেমরির মধ্যে সংরক্ষণ করা যেতে পারে। আইপিভি addresses ঠিকানা অন্য কোনও উপায়ে সংরক্ষণ করতে হবে।
কোনও ডিএনএস সার্ভার এই পদ্ধতির প্রয়োগ করেছে কিনা তা আমি জানি না।
আরও জানা গেছে যে কিছু টিসিপি স্ট্যাকের প্রশস্তকরণ আক্রমণে ব্যবহার করা যেতে পারে। এটি কেবলমাত্র ডিএনএস নয়, কোনও টিসিপি ভিত্তিক পরিষেবাতে প্রযোজ্য। এসইএনএন প্যাকেটের প্রতিক্রিয়াতে একাধিক প্যাকেট না প্রেরণের জন্য টিসিপি স্ট্যাক স্থির করা হয়েছে এমন কার্নেল সংস্করণে আপগ্রেড করার মাধ্যমে এ জাতীয় দুর্বলতাগুলি হ্রাস করা উচিত।