Hetzner и eDNS

[dadv]

Оказалось, что немецкий хостер-лоукостер Hetzner в порядке защиты своей инфраструктуры от атак режет, в частности, входящие фрагментированные пакеты UDP, что в современном интернете частично ломает DNS-сервис. Проблема актуальна только тем, кто держит собственные DNS-серверы на физических или виртуальных серверах в Hetzner.

Детально проблема расписана в базе знаний ISC (наш случай - пункт 4. DNS queries/responses using EDNS are allowed, but UDP fragmentation and reassembly is broken), но решение достаточно простое - настроить свой DNS-сервер сообщать другим серверам не посылать требующие фрагментации ответы. Этакий аналог TCP adjust mss, но для DNS через UDP. Более крупные ответы будут доставляться сразу по TCP вместо UDP.

Для сервера BIND достаточно прописать в секции options:

options {
  edns-udp-size 1432;
}

Comments

[dadv.livejournal.com]

Какую проблему решает такая фильтрация?

[dmarck.livejournal.com]

DDoS mitigation при невозможности тречить UDP flows, очевидно?

[dadv.livejournal.com]

А зачем нужен трекинг UDP?

[dmarck.livejournal.com]

не UDP как такового, а UDPflows: в фрагментах же нет номера порта

[dadv.livejournal.com]

Это ясно, что нету номера порта и что речь о потоках. Зачем нужно трекать потоки?

[dmarck.livejournal.com]

чтобы порезать "плохие" фрагменты, которыми чаcnj DDoS'ят, пропуская "хорошие"

[dadv.livejournal.com]

Но ведь режут-то не плохие фрагменты, а все и всегда - есть ли DDoS или нет его. Лекарство не должно быть хуже болезни.

[dmarck.livejournal.com]

Ну, мы об одном и том же, в общем-то ;)

мы решили промежуточным способом: фрагменты сильно зарейтлимитили

[(Anonymous)]

Я не вижу смысла передавать внутрь сети куски атак методом NTP/DNS-усиления. Которая будет грузить аплинки рэков или порты кастомеров.

[dadv.livejournal.com]

Но ведь это гробит не только флуд, но и полезный трафик, а какой смысл в "лекарстве", которое вредит?

[mikkotlv.livejournal.com]

По моей статистике 1-2 недовольных кастомеров в год, воспринимаю это как неизбежное зло.

[dadv.livejournal.com]

А ведь можно было не ломать eDNS и довольно просто.