Новые ответы

named (ограничение на количество запросов),

halt, 29-Янв-07, 15:29 [смотреть все]

Привет.
Есть такая задача:
Например есть пользователь который обращает запросы к днс серверу. Допустим что пользователь заражен вирусом или у него глюк в софте. В случае в вирусами идет подбор доменов, поиск mx записей, а если таких пользоателей штук 50 то это создает немаленькую нагрузку на named. Покопавшись в документации я не нашел опций которые защищают от dos атак. Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?

Ответить | Сообщить модератору

named (ограничение на количество запросов), vlad11, 15:44 , 29-Янв-07 (1)

>Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?
Для этого существует firewall.
Ответить | Сообщить модератору

named (ограничение на количество запросов), halt, 15:51 , 29-Янв-07 (2)
>
>>Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?
>
>Для этого существует firewall.
Давайте представим сколько будет потреблять ресурсов процессора фаирвол (например ipfw) для анализа каждого пакета приходящего на сетевой интерфейс если за минуту сервер обрабатывает порядка 10000 запросов. Ограничения должны быть именно в named!
Ответить | Сообщить модератору

named (ограничение на количество запросов), vlad11, 16:31 , 29-Янв-07 (3)
>>
>>>Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?
>>
>>Для этого существует firewall.
>
>Давайте представим сколько будет потреблять ресурсов процессора фаирвол (например ipfw) для анализа
>каждого пакета приходящего на сетевой интерфейс если за минуту сервер обрабатывает
>порядка 10000 запросов. Ограничения должны быть именно в named!

tcp-clients
The maximum number of simultaneous client TCP connections that the server will accept. The default is 100.
tcp-listen-queue
The listen queue depth. The default and minimum is 3. If the kernel supports the accept filter "dataready" this also controls how many TCP connections that will be queued in kernel space waiting for some data before being passed to accept. Values less than 3 will be silently raised.

P.S. Средствами pf, например, можно ограничить количество коннектов к интерфейсу.
Ответить | Сообщить модератору
named (ограничение на количество запросов), PavelR, 16:47 , 29-Янв-07 (4)
>>
>>>Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?
>>
>>Для этого существует firewall.
>
>Давайте представим сколько будет потреблять ресурсов процессора фаирвол (например ipfw) для анализа
>каждого пакета приходящего на сетевой интерфейс если за минуту сервер обрабатывает
>порядка 10000 запросов. Ограничения должны быть именно в named!
На основании чего вы думаете что файрволл будет потреблять больше ресурсов процессора чем пользовательское приложение ?
Ответить | Сообщить модератору
named (ограничение на количество запросов), newser, 16:53 , 29-Янв-07 (5)
>>
>>>Есть ли какие-нибудь встроенные функции ограничения от dos атак на named?
>>
>>Для этого существует firewall.
>
>Давайте представим сколько будет потреблять ресурсов процессора фаирвол (например ipfw) для анализа
>каждого пакета приходящего на сетевой интерфейс если за минуту сервер обрабатывает
>порядка 10000 запросов. Ограничения должны быть именно в named!
Эээ, скажите, уважаемый, где такую траву дают??? Для чего, по-Вашему, фаерволы придуманы?
Ответить | Сообщить модератору

named (ограничение на количество запросов), halt, 18:21 , 29-Янв-07 (6)
Господа!
Спроить о том что больше грузит процессор пакетный фильтр или пользовательский процесс я не буду. Вот например в sendmail'e есть куча фичей от dos атак, в apeche дополнительно подключаются модули в принципе если подумать то можно без проблем продолжать список приложений в которых есть защита от dos'a.
Ответить | Сообщить модератору