DNS Server Absichern

Hey Leute,

hab vor nen paar Tagen ne vorsorgliche, weitergeleitete Nachricht von abuse@netcup bekommen, ... wegen eines public DNS Servers. Auf einem meiner vServer läuft dnsmasq bzw. Pihole. Ich nutze den DNS nur für meinen privaten Rechner, bzw. für den VPN auf der gleichen IP.

So nun meine Frage, hat wer nen paar Tipps, wie man den DNS Server gut absichert? Oder evtl. nur für den VPN den Port 53 freigibt und alle anderen IPs blockiert. Je nach Setting läuft hier garnix mehr.

Hatte den Server zwischenzeitlich ganz dicht und nur die Hand voll Ports die benötigt werden geöffnet, ... aber mit mäßigem Erfolg:

iptables -A INPUT -m state --state
ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state
ESTABLISHED,RELATED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT -p tcp --dport 22448 -j
ACCEPT # ssh
iptables -A INPUT -p tcp --dport 21 -j
ACCEPT # ftp
iptables -A INPUT -p tcp --dport 8887 -j
ACCEPT # znc
iptables -A INPUT -p tcp --dport 21212 -j
ACCEPT # znc_web
iptables -A INPUT -p tcp --dport 80 -j
ACCEPT # http
iptables -A INPUT -p tcp --dport 443 -j
ACCEPT # https
iptables -A OUTPUT -p udp --dport 53 -j
ACCEPT # dns
iptables -A OUTPUT -p tcp --dport 53 -j
ACCEPT # dns
iptables -A INPUT -p tcp \! --syn -j ACCEPT
iptables -A OUTPUT -p tcp \! --syn -j
ACCEPT
iptables -A INPUT -p udp --sport 53 -j
ACCEPT # dns responses
iptables -A INPUT -p icmp --icmp-type
destination-unreachable -j ACCEPT
iptables -t raw -I PREROUTING -j NOTRACK
iptables -t raw -I OUTPUT -j NOTRACK
iptables -A INPUT -p icmp --icmp-type
destination-unreachable -j ACCEPT # icmp routing messages
ipset create throttled-ips hash:ip timeout
600 family inet maxelem 100000
iptables -t raw -A PREROUTING -p udp -m set
--match-set throttled-ips src -j DROP
iptables -N LARGE_DNS_PACKET_TRACKING #
Create the destination chain
iptables -A OUTPUT -p udp --sport 53 -m
length --length 700:0xffff -j LARGE_DNS_PACKET_TRACKING
iptables -A LARGE_DNS_PACKET_TRACKING -m
hashlimit --hashlimit-mode dstip --hashlimit-dstmask 32 --hashlimit-upto
50kb/min --hashlimit-burst 10 --hashlimit-name large-dns-packets
--hashlimit-htable-max 100000 -j ACCEPT
iptables -A LARGE_DNS_PACKET_TRACKING -j
SET --add-set throttled-ips dstip --timeout 600 --exist
iptables -A LARGE_DNS_PACKET_TRACKING -j
LOG --log-prefix "DNS-amplification protection: "
iptables -A LARGE_DNS_PACKET_TRACKING -j
DROP

Bin für alle Vorschläge offen. Danke

Bzw Hab ich irgend einen Denkfehler beim Freigeben nur für den VPN?

iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

iptables -A INPUT -p udp --dport 53 -s 127.0.0.1 -j
ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 127.0.0.1 -j
ACCEPT

Quote from CmdrXay

Hay,

Ist ein bißchen spät, kann sein, dass ich selbst einen Denkfehler mache

Das VPN / tun-Interface hat doch eine eigene IP-Adresse bzw. ein Netzwerk, je nachdem wie Du das konfiguriert hast (beide Seiten vom VPN!). Das musst Du für die Regel nehmen - localhost macht zwar nichts kaputt, aber auch nicht fürs VPN erreichbar.

CU, Peter

Display More

Hey, danke für die schnelle Antwort!

Habs auch schon mit der VPN IP versucht, 10.8.0.0, ... leider ohne Erfolg ?

Quote from CmdrXay

Weil es mich nicht einschlafen ließ... 10.8.0.0/24 ist doch richtig.

Sagte ich ja. Haha.

Aber hier die Lösung, mit der zumindest ich jetzt sehr gut schlafen kann.

Zumindest was den zugriff nur via vpn angeht.

iptables -I INPUT -i tun0 -j ACCEPT

iptables -A INPUT -i tun0 -p tcp --destination-port 53 -j ACCEPT
iptables -A INPUT -i tun0 -p udp --destination-port 53 -j ACCEPT
iptables -I INPUT -i lo -j ACCEPT

in diesem Sinne. Gute Nacht!

Ich habe aber noch eine Frage bzgl. des OUTPUT, wenn ich den ganz droppe, läuft fast nichts mehr, selbst wenn ich den für das tun Interface freigebe

Wie genau sind die Freigaben hierbei zu wählen?

Würde mich über ne Antwort freuen!

Quote from oliver.d

Hi, als Basic Firewall Regeln nutze ich die hier

External Content gist.github.com

Content embedded from external sources will not be displayed without your consent.

Display all external content

Through the activation of external content, you agree that personal data may be transferred to third party platforms. We have provided more information on this in our privacy policy.

Display Spoiler

Nur als Tipp

Thx Oliver, werde mich da mal durchwühlen.

Theoretisch muss ich den OUTPUT nicht droppen, oder irre ich? Ich mein ist ja eh nur das, was rausgeht vom Server. Oder macht es Sinn den Output per iptables auch zu spezifizieren? Ist halt etwas nervig, gerade wenn mehr auf dem System läuft.