DNS放大攻擊漲了兩倍，解析服務怎麼加固

偽造源 IP 開啟放解析器，小查詢換大響應，把頻寬和連線表一次性打滿。四步加固解析服務，順帶自查是否在無意中成了別人的放大器。

DNS 放大攻擊是反射放大類攻擊裡最老也最有效的一種：攻擊者偽造受害者的 IP，向網際網路上大量開放的 DNS 解析器傳送很小的查詢請求，解析器把幾十倍大的響應包回給受害者，最終把受害者的頻寬和連線表打滿。近期的安全季度報告裡，這類攻擊的佔比明顯抬頭，原因很簡單，開放遞迴解析器在網際網路上仍然大量存在，攻擊成本幾乎為零。 很多站長以為自己只是受害者，其實也可能在不知不覺中成為幫兇。自建 BIND 或 Windows DNS 時如果保留了預設的開放遞迴，任何人都能拿你的伺服器當放大器；允許 ANY 查詢、不限制單 IP 響應速率，會進一步放大這個風險。 加固可以從四個方向入手。 先關掉開放遞迴。只對授權網段開啟 recursion，對公網只提供權威解析；如果這臺機器本來只做權威解析，遞迴功能應該整體關閉。改完從外部網路用 dig 測一次，確認拿不到遞迴結果。 再做響應速率限制。主流 DNS 軟體都支援對同一目標網段的響應速率做限速，超出部分直接丟棄；同時關閉 ANY 查詢、精簡響應內容，能顯著降低被利用的價值。 第三，權威解析儘量交給帶 Anycast 的託管解析服務，而不是單機自建。解析入口分散在多地，單點被攻擊時其他節點仍可服務，也不必自己維護補丁和限速策略。 第四，入口側加一層過濾。在機房或清洗裝置上丟棄異常的 UDP 53 大包和偽造源地址的流量，把放大流量擋在到達伺服器之前。 自查清單可以很簡單：從外網測試是否存在開放遞迴、是否響應 ANY 查詢、53 埠是否對全網開放、解析服務版本是否還在維護期內。四項都過關，才算基本安全。 加速IDC 的域名服務支援託管解析與解析防護配置，配合高防伺服器的流量清洗，可以把解析層和入口層的風險一起收住。