刚搭的dns server就有贱人跑dns反射放大攻击，据说bind高版本没洞，但是日志刷刷的跑，感觉也不放心，而且毕竟dns是返回了请求的，所以找了点资料备忘
先设定不受限制的网段
iptables -v -A INPUT -t filter -s 11.11.11.0/24 -j ACCEPT
加载个模块
iptables -v -A INPUT -p udp --dport 53 -m recent --set --name dnsanyquery
1秒内10次就kill掉（手工试了下，除了恶意攻击，还是很难达到这个手速的...）
iptables -v -A INPUT -p udp --dport 53 -m recent --name dnsanyquery --rcheck --seconds 1 --hitcount 10 -j DROP
也可以用tcpdump抓包设定query规则
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。