Bind9でネームサーバを構築しています。 時折、通信の送信率が100％になり回線が逼迫して通信負荷になることがあります。 いろいろと状況を調べていくうちにDNSの応答が原因ということがわかりました。 tcpdumpで確認すると、特定の外国のサーバへ返事をしているようですが、通信が止まってしまっては意味が無いので、ブロックすることにしました。named.confの設定変更やiptablesを使ってみたのですが、ある程度までは抑えたのですが、どうしても抑えきれずに逼迫してしまいます。すみませんが、このような状況の場合はどう対応すればよいか、教えてください。 OS:VineLinux 6.1 bind-9.6.ESV.R10.P2-1vl6.i686 回線はISDNで64kbで接続の為、すぐにパンクします。 tcpdumpの結果 [root@dns etc]# tcpdump -f -l -n -i eth0 port 53 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 01:33:40.505325 IP 94.73.145.212.61218 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:40.753848 IP 94.73.145.212.34507 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:40.768411 IP 94.73.145.212.65434 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:40.882969 IP 94.73.145.212.50341 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:40.919732 IP 94.73.145.212.36252 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:41.169956 IP 94.73.145.212.45889 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) 01:33:41.247576 IP 94.73.145.212.40822 > ***.***.***.131.domain: 10809+ [1au] ANY? isc.org. (36) --- EOF --- named.conf acl my-network { ***.***.***.129/29; 192.168.99.0/24; }; options { recursion yes; directory "/var/named"; listen-on port 53 {127.0.0.1;192.168.99.0/24;***.***.***.129/29; }; // query-source address * port 53; allow-query { localhost; my-network; }; allow-transfer { none; }; forwarders { プロバイダのネームサーバ; }; empty-zones-enable no; listen-on-v6 {none; }; recursive-clients 400; }; logging { category lame-servers { null; }; }; zone "." IN { type hint; file "named.ca"; }; zone "hoge.jp" { type master; file "hoge.zone"; allow-query { any; }; allow-transfer { ***.***.***.133; }; }; zone "129/29.***.***.***.in-addr.arpa" { type master; file "hoge.rev"; allow-query { any; }; allow-transfer { ***.***.***.133; }; }; --- EOF --- 追加したiptables iptables -A INPUT -i eth0 -s 94.73.145.0/24 -j DROP iptables -A OUTPUT -o eth0 -s 94.73.145.0/24 -j DROP --- EOF --- ※セキュリティ上、固定IPアドレスとドメインを伏せさせて頂きました。
↧