Prevenção de ataques ao DNS
Atualmente, vemos muitos tipos de ataques de DNS ao NxFilter. Isso é especialmente verdadeiro quando você coloca o NxFilter na nuvem. Antigamente, não dávamos muita
atenção a esse problema, pois o NxFilter deveria estar em uma rede local. No entanto, temos cada vez mais usuários querendo executar o NxFilter
na nuvem e também temos o NxCloud, que é para provedores de serviços de filtragem baseados na nuvem. Portanto, queremos discutir alguns recursos que o NxFilter e o NxCloud
já possuem para evitar ataques de DNS.
Controle de acesso por blocos de IP
Você não precisa fornecer seu serviço a todos. Talvez você queira aceitar solicitações de DNS de
apenas países ou blocos de IP específicos. Você pode criar sua lista de controle de acesso por países ou blocos de IP
e adicioná-la em DNS > Access Control.
Quando o controle de acesso é muito grande, o navegador não consegue publicar todo o conteúdo. Nesse caso, é melhor criar o arquivo "dns-allow-ip.txt" para
"IP permitido para DNS" e "dns-block-ip.txt" para "IP bloqueado para DNS" no diretório /nxfilter/conf. Você pode preencher esses arquivos no mesmo formato
como na GUI. Quando você usa o clustering, precisa copiar esses arquivos em todos os nós.
Habilitar autenticação
O NxFilter é um servidor DNS que oferece suporte à autenticação de usuário. É necessário ativar a autenticação do usuário para restringir o acesso de usuários desconhecidos.
Ao ativar a autenticação, todos os usuários desconhecidos ou possíveis invasores serão redirecionados para a página de login.
Desativar redirecionamento de login
Quando você ativa a autenticação do usuário, o NxFilter responde a ataques de DNS com seu endereço IP de redirecionamento de login ou de redirecionamento de bloqueio.
Portanto, não há consultas de upstream e processamento adicional. No entanto, os invasores ainda acham que há um servidor DNS para atacar, pois recebem
uma resposta de qualquer forma. Para ocultar completamente seu servidor desses invasores, temos a opção "Disable Login Redirection" (Desativar redirecionamento de login) em System > Setup.
Para a NxCloud, o redirecionamento de login está desativado por padrão, pois deveria estar na nuvem em primeiro lugar.
Bloqueia tipos específicos de solicitação de DNS
Alguns invasores enviam apenas tipos específicos de solicitações de DNS para seus próprios fins. O caso mais conhecido é o uso de solicitações de DNS do tipo "Any" para
atacar um servidor vítima com pacotes DNS de tamanho maior. Você pode bloquear ou permitir apenas tipos específicos de solicitações em DNS > Server Protection.
Eliminar consultas para domínios locais
Quando você executa o NxFilter na nuvem, não deseja responder a consultas de domínios '.local' ou 'WPAD', como nomes de host sem domínios ou pesquisas reversas de IPs privados.
pesquisas reversas de IPs privados. Para bloquear domínios locais, você pode adicionar uma entrada para '.local' e '.localdomain' em Whitelist > Domain. Para nomes de host sem domínios
domínios e pesquisas reversas para IPs privados, já temos as opções necessárias em DNS > Server Protection.