DNS放大攻击涨了两倍，解析服务怎么加固

伪造源 IP 打开放解析器，小查询换大响应，把带宽和连接表一次性打满。四步加固解析服务，顺带自查是否在无意中成了别人的放大器。

DNS 放大攻击是反射放大类攻击里最老也最有效的一种：攻击者伪造受害者的 IP，向互联网上大量开放的 DNS 解析器发送很小的查询请求，解析器把几十倍大的响应包回给受害者，最终把受害者的带宽和连接表打满。近期的安全季度报告里，这类攻击的占比明显抬头，原因很简单，开放递归解析器在互联网上仍然大量存在，攻击成本几乎为零。 很多站长以为自己只是受害者，其实也可能在不知不觉中成为帮凶。自建 BIND 或 Windows DNS 时如果保留了默认的开放递归，任何人都能拿你的服务器当放大器；允许 ANY 查询、不限制单 IP 响应速率，会进一步放大这个风险。 加固可以从四个方向入手。 先关掉开放递归。只对授权网段开启 recursion，对公网只提供权威解析；如果这台机器本来只做权威解析，递归功能应该整体关闭。改完从外部网络用 dig 测一次，确认拿不到递归结果。 再做响应速率限制。主流 DNS 软件都支持对同一目标网段的响应速率做限速，超出部分直接丢弃；同时关闭 ANY 查询、精简响应内容，能显著降低被利用的价值。 第三，权威解析尽量交给带 Anycast 的托管解析服务，而不是单机自建。解析入口分散在多地，单点被攻击时其他节点仍可服务，也不必自己维护补丁和限速策略。 第四，入口侧加一层过滤。在机房或清洗设备上丢弃异常的 UDP 53 大包和伪造源地址的流量，把放大流量挡在到达服务器之前。 自查清单可以很简单：从外网测试是否存在开放递归、是否响应 ANY 查询、53 端口是否对全网开放、解析服务版本是否还在维护期内。四项都过关，才算基本安全。 加速IDC 的域名服务支持托管解析与解析防护配置，配合高防服务器的流量清洗，可以把解析层和入口层的风险一起收住。