Регистрация Войти
Рейтинг:0
hancack avatar Server

Стоит ли устанавливать и настраивать fail2ban для авторитетного DNS-сервера Bind9?

флаг cn
hancack

В инфраструктуре нашего проекта у нас есть сервер имен, основанный на bind9. Этот сервер имен настроен как первичный и авторитетный, поэтому он очень важен. Вопрос в том, должен ли я установить и настроить fail2ban для защиты этого DNS-сервера? Стоит ли оно того? Я попытался найти конфигурации fail2ban для Bind9/named, но их всего несколько, и похоже, что люди не так много делают (по крайней мере, публикуют).

Если это имеет значение, Bind9 работает в контейнере докеров с открытым портом 53/udp.

120
0 + 0
флаг in
NiKiZe
Какой в ​​этом смысл, если это государственная служба? (также UDP можно подделать, но помните, что DNS использует как UDP, так и TCP) Если первичный DNS имеет решающее значение, оставьте его только внутренним и выставляйте только ведомое устройство. также добавьте хотя бы одного ведомого устройства вне сайта. (Вы можете получить их бесплатно на he.net и Fear.org)
0
Ответить
hancack avatar
флаг cn
hancack
@NiKiZe спасибо за отличное предложение о разоблачении только рабов! А что касается точки установки fail2ban, я подумал, что, возможно, это добавит мощности серверу, заблокировав подозрительные IP-адреса или что-то в этом роде.
0
Ответить
Patrick Mevzek avatar
флаг cn
Patrick Mevzek
Дайте определение «подозрительному» :-) Существует немного инструментов, специально предназначенных для DNS, поэтому часто бывает плохой идеей помещать вещи перед DNS-сервером. Есть два пути, по которым вы можете пойти: посмотрите на функцию bind RRL, которая ограничивает скорость, и для действительно важных нужд посмотрите на `dnsdist`, который находится впереди на серверах имен и позволяет точно контролировать трафик.
1
Ответить
hancack avatar
флаг cn
hancack
@PatrickMevzek Я думаю, что какой-то клиент, пытающийся сделать чрезмерное количество запросов к серверу, может попасть в категорию «подозрительных», я не знаю :) В настоящее время проект только начинается, поэтому я думаю, что было бы нормально оставить привязку без какой-либо дополнительной защиты. Спасибо за ваш ответ, я обязательно посмотрю инструменты, которые вы упомянули!
0
Ответить
djdomi avatar
флаг za
djdomi
я в основном создал новое правило для спама, вы можете взглянуть на мой репозиторий github https://github.com/djdomi/fail2ban-rules
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.