Salve a tutti.
Dopo che sono stato contattato dal mio provider, ho rilevato diverse richieste (pare siano DNS) che arrivano sulla mia macchina e che (cosa peggiore) la mia macchina continua a rispondere.
Da un log con iptraf ho rilevato:

 UDP (64 bytes) from 117.109.***:25345 to 95.110.****:53 on eth0        │
│ UDP (64 bytes) from 95.110.*****:53 to 117.109.******:25345 on eth0        │
│ UDP (65 bytes) from 95.110.****:53 to 63.141.****:53 on eth0            │
│ UDP (66 bytes) from 69.22.****:53 to 95.110.*****:53 on eth0            │
│ UDP (64 bytes) from 95.110.*****:53 to 117.109.*****:25345 on eth0 

L'ip che inizia con 95.110 è la mia macchina, l'altro...non so chi sia!


Queste richieste sono numerossisime (in media ho 76Kb/s continui di traffico sulla eth0).
Questi ip (dopo che tento di bloccarli con iptable) cambiano e continuo a ricevere richieste da altre parti.

Si tratta di semplici richieste DNS che vengono fatte dall'esterno verso la mia macchina, la quale poi dovrebbe risponde alla sorgente..giusto? Come posso evitare che questo succeda?
Questa è la mia configurazione del named:

options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes;
allow-recursion {[MYFRISTIP]/24;};
};

Dove sbaglio?

Grazie mille.
Fabio.

Ciao.
Ho provato come mi hai detto, così ho trasformato la configurazione in:

acl trusted-servers  {
        95.110.*****;  //ns1
        95.110.*****;   //ns2
};

options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
recursion yes;
allow-query { any; };
allow-recursion { trusted-servers; };
};

Il risultato non cambia, facendo iptraf visualizzo un traffico altissimo...come è possibile? Se fermo il servizio named ricevo un sacco di chiamate UDP sulla 50 da ip diversi...quando lo avvio i miei due ip cominciano a rispondere alle richieste...Ho visto i processi httpd per vedere se veniva fatta una chiamata http ma niente, ho provato anche a riavviare la macchina con il servizio httpd non attivo ma le chiamate partono lo stesso...

Grazie ancora.
Fabio.

Ciao Fabio,
questo capita quando ci si improvvisa e non si studia.
Iniziamo a fare un disegno di tutta questa roba, indica che tipo di servizi gestiscono e i flussi applicativi chi deve fare cosa.
Magari capiamo qualcosa in + su come aiutarti.

Ciao

Ciao!
Stiamo parlando di un webserver, che gestisce i principali servizi web, ovvero: apache2, php, mysql, postfix e bind per la gestione dns. Le zone dns dei singoli domini sono gestite dal bind sulla macchina stessa che funge anche da ns con due differenti ip.
Chiaramente ho cercato di fare tutto da solo, un po qua e un po la.

Quello che penso (l'unica idea plausibile) sta nel fatto che i miei due ip sono stati presi di mira da qualche malintenzionato che continua a fare richieste al mio server per risolvere i dns di altri domini...possibile?

Grazie.
Fabio.

scusa ma a te cosa serve avere un dns in questo contesto? per di più esposto al mondo?

Mah io ho sempre pensato a un discorso, anche se non ho trovato una documentazione valida per averne una certezza.
Io ho pensato: al momento in cui registro un dominio pippo.it, devo registrare almeno 2 ns per il dominio. Se registro ns1.provider.ext e ns2.provider.ext per il dominio pippo.it nel caso il ns del provider vada giù (si lo so, raro, come è anche raro il fatto che un meteorite cada sulla macchina parcheggiata qui fuori, ma non impossibile) ho preferito farmi una zona dns mia.

Quindi succede che i ns del dominio pippo.it diventano:
ns1.ilmioserver.ext
ns2.ilmioserver.ext

e quindi anche il dominio pluto.it avrà:

ns1.ilmioserver.ext
ns2.ilmioserver.ext

in questo modo sono indipendente dal provider, no?
Chiaramente la soluzione al problema è: lascia perdere, usa i ns del provider e chiudi la 53. Ma questa soluzione preferisco non adottarla per capire meglio cosa ho sbagliato e capirne un po di più con degli esperti come voi =)

Grazie.
Fabio.

quindi hai fatto una cosa "sbagliata"/in modo non corretto e fondamentalmente inutile ai fini pratici e la stai tenendo in piedi, lamentandoti che viene abusata, per capire dove hai sbagliato? :-)

io intanto la tirerei giù, visto che per far funzionare i siti non ti serve, e iniziarei a documentarmi e studiare.. poi, sai, la macchina è tua..

Ciao.
Non metto in dubbio il fatto che possa essere una cosa sbagliata, vorrei solamente capirne il motivo. Ti spiego: inizialmente ho pensato di fare una cosa del genere per gestirmi da solo la zona dns senza ogni volta entrare nel pannello di controllo del provider. Non è una soluzione corretta? Oltre ovviamente al motivo che ti ho scritto sopra.
Utilizzare bind da come mi dici tu è fondamentalmente inutile allora, no? Cioè se io utilizzo i ns del provider, bind non mi servirebbe a niente, dico bene?

a meno che tu non sia un provider e/o ospiti centinaia siti, è inutile.. anche perchè se la tua macchina va giù, va giù dns e siti.. se, ad esempio, avessi dei mail server separati e va giù il dns, anche la posta andrebbe giù..
usando dns di gente che ha intere stanze di macchine deputate a quello scopo e in una infrastruttura probabilmente più.. "struttura" della tua sei certamente più sicuro.. non trovi?
"per non entrare nel pannello di controllo del provider" è indice di pigrizia :-)

Non sono un provider, ma sarebbe interessante capire come funziona. Attualmente ospito una 20 di siti, configurando tutti i dns sulla stessa macchina. Chiaramente non posso dire ai miei clienti (fortunatamente per ora amici e conoscenti), ah certo se vuoi modificare la zona dns vai sul sito provider.ext entra con il mio account e cambiati la zona del tuo dominio...potrebbe essere problematico!
Quindi ho pensato a gestirmi i dns per i fatti miei e dirgli ok, entra nel tuo pannello (ispconfig) e cambiati i dns come ti pare e piace.
Questo discorso l'ho anche fatto per un motivo di controllo dns, se uno fa il whois almeno non risolve su ns1.provider.ext, dico bene?

Che alternative ci sono? Da dove mi consigli di iniziare a documentarmi su queste cose? Capiscimi che mi sto avvicinando a questo mondo da qualche annetto, bene o male adesso due cosine riesco a farle e di questi risultati ne sono fiero, anche se giustamente da imparare ne ho ancora molto.

Grazie.
Fabio.