Router en DOS/hack aanval

[EelcoG]

Hoi,

Hopelijk in het juiste forum. Ik heb thuis glasvezel, een router en daar weer achter een servertje. Op dat servertje draait, normaal gesproken, ook een nameserver.
De laatste paar dagen had ik er last van dat mijn volledige netwerk extreem traag werd. Nu blijkt dat er, vanuit Rusland, pogingen ondernomen worden om of in te breken op die nameserver, of om hem gewoon plat te leggen. Er worden enkele 1000-en verzoeken per minuut naar poort 53 gestuurd.
Op zich is alles degelijk genoeg dat ze, gelukkig, tot nu toe geen schade aan hebben kunnen richten, behalve dan dat ik mijn poort 53 heb moeten dichtzetten. De router kan het blocken van die requests makkelijk aan, maar het doorsturen naar de server (en dan dus alle administratie daaromheen) kost te veel rekenkracht van de router. Daarnaast is het natuurlijk vragen om problemen om dit soort acties gewoon door te laten gaan. Als het een kraak poging is, bestaat de kans dat ze een keer op een zwak punt stuiten. Momenteel wordt alle poort 53 verkeer dus maar geblokkeerd, en werkt mijn nameserver dus ook niet meer.

Om nou alle russische ip-ranges te gaan blocken is ook weer zoiets, (alle aanvallen zijn te herleiden naar Rusland) maar als dat makkelijk kan is dat ook geen probleem. Helaas lijkt dat niet makkelijk te kunnen.

De router is een DIR-655. Heeft iemand een idee of daar bijvoorbeeld firmwares voor bestaan die automatisch ip adressen kunnen blackholen als ze bijvoorbeeld meer dan een x aantal aanvragen per seconde doen?

[Orion84]

Waarom zou die nameserver berijkbaar moeten zijn voor de buitenwereld? Dat je voor je interne netwerk een (caching) nameserver draait is redelijk normaal, maar die hoeft alleen op het interne netwerk naar DNS requests te luisteren.

Klinkt in elk geval alsof jouw server misbruikt wordt voor een DNS reflection DDOS aanval. De requests die jij ziet hebben als afzender het gespoofte adres van het slachtoffer, waardoor dat slachtoffer overspoeld wordt met de DNS responses van jouw ( en talloze andere) DNS server(s).

[ Voor 39% gewijzigd door Orion84 op 01-08-2013 21:13 ]

[eddie4nl]

Aangezien je al een server draait mogelijk een PFSense distrobutie in een VM als router opzetteb. Dan kan je aan udp en tcp connection limiting doen. Recent ook moeten doen van wegen DDoS aanval ik snap nog steeds niet waarom.

Ik had op het hoogste moment half miljoen connecties open staan. En dat kon PFSense keurig aan na wat tweaken met settings kreeg ik alles weer rustig.


Maar verdedigen tegen een DDoS aanval is altijd moeilijk en is een kwestie van wie de meeste resources heeft en de langste adem.

[ Voor 42% gewijzigd door eddie4nl op 01-08-2013 21:39 ]

[EelcoG]

Die moet bereikbaar zijn voor de buitenwereld omdat hij de nameserving doet van al mijn andere servers. Ik draai ook mijn eigen web- en mail-server. (En ja, ik weet dat het niet helemaal is zoals het hoort, aangezien er maar 1 enkele authorative nameserver is op deze manier)
Het lijkt geen gerichte aanval te zijn zoals Orion84 hem beschrijft, aangezien het telkens een paar uur is, en het ip adres wisselt. Het kan zijn dat verschillende dynamische ip-adressen (totaal verschillende ranges) in Rusland het doelwit zijn, maar het omgekeerde lijkt me logischer: Dat mijn ip adres op de 1 of andere manier in de script-kiddy lijsten terecht is gekomen. Stond ie al voor SSH, maar dat was erg eenvoudig op te lossen.

[eddie4nl]

Ohh bij PFSense kan je ook aan countryblocking doen.

[ihre]

Ik natuurlijk niet wat voor OS jij gebruikt voor je server, maar met een *nix distro zou je iptables rate-limiting kunnen gebruiken:

code:

iptables -A INPUT -p udp --port 53 -m hashlimit --hashlimit 1/minute --hashlimit-burst 5 -j ACCEPT
iptables -A INPUT -p udp --port 53 -j DROP

--hashlimit is max. aantal pogingen/tijd (ie 1/sec, 100/min)
--hashlimit-burst is het aantal pakketjes per poging.

Je hebt ook --limit, ipv --hashlimit, maar dat is is een algemeen limiet. Hashlimit is een limiet per source ip.

http://linux.die.net/man/8/iptables
http://www.mad-hacking.ne...ptables/rate-limiting.xml

[ Voor 37% gewijzigd door ihre op 01-08-2013 23:44 ]