Как организовать защиту DNS сервера на BIND от DDoS?

Question

[Алексей Андрианов]

Есть DNS сервер с BIND9, на нем только 5-6 доменных зон.
Есть fail2ban, который настроен на считывание security.log

Как правильно написать правила в named.conf, чтобы домены которые есть на данном DNS обрабатывались нормально, а левые запросы (доменов которых нет на DNS сыпались в security.log) ?

Answer 1

[Виталий Никсенкин]

https://www.cloudflare.com/hosting-partners используйте API этого сервиса

Comments

[26info]

Не лучшее решение, по тому как ip-адреса cloudflare время от времени попадают в черный список роскомнадзора.

Answer 2

[26info]

Если будет "качественный" ДДоС, то никак не защитить, а мелочь в 20-30 мегабит разруливается через iptables, но помнится (пару лет назад было), при атаке свыше сотни мегабит, уже ничего кроме куратора (аниддос сервиса) не помогало :) В итоге отбили тогда ДДоС в несколько гигабит (если память не подводит), а dns у провайдера держали, который сам свои проблемы решает :).