Можно ли закрыть 53 порт на роутере?

Question

[DimiDr0lik]

На роутере открыт 53 порт во внешку, можно ли его закрыть и какие будут последствия?

Comments

[Ogogon]

Вы хотите закрыть его для доступа извне, изнутри или вообще?

Answer 1

[Руслан Федосеев]

лучше закрыть.
Вот буквально ночью на весь диапазон пришел маленький такой ddos по 53 порту ;) клиентским роутерам с открытым 53 портом было тяжело ;)

Answer 2

[Сайпутдин Омаров]

Это вроде днс, если тебе не чего отдавать, можно закрывать.

Answer 3

[techn0_spb]

думаю , что люди находящиеся в сети с роутером, у которых днсом стоит не ваш роутер а сторонний сервер находящийся за роутером, просто не смогут к нему обращаться ... ну и отсюда все последствия

Comments

[Руслан Федосеев]

вы вообще о чем?

[techn0_spb]

Руслан Федосеев: может я и не прав, если это так - объясните. А я о том , что к примеру есть ноут , он получает настройки сети по dhcp с роутера. В этих настройка прописано, что днсом является роутер. А теперь ситуация, когда настройки ноутбук получает с роутера, но днс прописан у ноутбука заранее, к примеру 8.8.8.8 . если мы закроем на роутере 53 порт, будет ли на ноуте резолвиться к примеру ya.ru ?

[Руслан Федосеев]

запрос от ноута идет jn 192.168.0.44:64003 на 8.8.8.8:53 (исходящий порт случайный).
на роутере оно натится, получается от 5.5.5.5:64003 на 8.8.8.8:53. Ответ ДНС сервера идет обратно по цепочке. ВНимание вопрос - ну и где тут участвует 53 порт на роутере?

В вопросе речь идет о следующем. Кстати, тем же страдает и микротик. Как только на роутере включаешь DNS сервер, чтобы он принимал запросы от локальной сети, резолвил через провайдера, 8.8.8.8, еще что нить - то это сервер начинает слушать запросы на всех интерфейсах. В том числе и на внешних. Это приводит к тому, что в принципе использовать ваш роутер в качестве резолвера может кто угодно в интернете ;) Так вот, я советую закрывать на самом роутере на входе 53 порт на всех интерфейсах, кроме локальных.

[techn0_spb]

Руслан Федосеев: Спасибо за объяснение

Answer 4

[Дмитрий Алексеев]

Если речь про доступ наружу, т.е. DNS 53/UDP, то закрывать можно, но доступ как минимум к своему провайдеру необходимо оставить. Так же неплохо бы оставить доступ к корневым DNS-серверам (root DNS servers) и публичным DNS-серверам google (8.8.8.8,8.8.4.4).
Если закрыть весь доступ - сайты открываться не будут (кроме тех, что в локальном кэше, но это где-то часов на 8).

Comments

[MVFko]

А можно поподробнее про локальный кэш и открытие сайтов?

[bassoon48]

Какая то каша.

ИЗНУТРИ во ВНЕШКУ udp 53 tcp 53 должны быть открыты всегда чтобы для клиентов происходил резолв имён.

А вот ИЗ ВНЕШКИ во ВНУТРЬ (и в локалку и на сам шлюз) НЕ НУЖНО открывать udp 53 так как любая босота и васян укажет в днс твой белый ip и будет онанировать твой шлюз и твои локальные днс сервера.

Я понятно выразился? ))

Есть случаи когда открывать нужно, но это если у тебя несколько внешних доменом. Несколько днс серверов по всему миру и тебе надо резолвить за счёт первичного. Но это проблемы масштабов гугл так шоооо