DNS LACNOG May 2012

dns@listas.nog.lat

18 participants
6 discussions

[dns-esp] Ataque a mis DNS
by Francisco Vargas Piedra 04 Jun '12

04 Jun '12

Buenas tardes, Mi nombre es Francisco Vargas y soy ingeniero de una compañía de cable. Estoy encargado de la administración de los DNS. He recibido un ataque que consistió en la saturación de mis servidores a través de peticiones a "ripe.net". Parece ser una especie de botnet que se propagó por varios CPUs (108 direcciones IP consultaban desmedidamente hacia ese dominio) de nuestros clientes. Mis DNSs están configurados con Bind y la plataforma sólo responde a las direcciones IP de nuestros clientes. ¿Alguien sabe de algún virus que pueda causar este tipo de problemas? Otro punto importante es que se activó en el mismo momento; es decir, parece que el botnet pudo haber sido activado a través de un C&C. Justo antes del ataque logré capturar esta petición sospechosa (que fue denegada): May 28 11:53:21 XXXXXXXX named[5841]: client 80.82.70.138#53: query (cache) 'ripe.net/ANY/IN<http://ripe.net/ANY/IN>' denied May 28 11:28:15 XXXXXXXX named[4367]: client 80.82.70.138#53: query (cache) 'ripe.net/ANY/IN<http://ripe.net/ANY/IN>' denied Además las peticiones que inundaron mis servidores eran de la siguiente forma (elimino la dirección IP por no ser de interés): 29-May-2012 14:53:11.185 client DIRECCION_IP#32768: query: ripe.net IN ANY +ED (DIRECCION_IP_DE_NUESTRO_SERVER) Quisiera alguna retroalimentación; en estos momentos estoy controlando el ataque mediante listas de acceso que deniegan solicitudes de estos clientes. ¿Alguien sabe alguna forma de hacer que Bind deniegue respuestas a IPs que hacen peticiones desmedidas? ¿O alguna forma de control similar? LES RUEGO AYUDARME CON ESTE ASUNTO. Saludos, Ing. Francisco Vargas

13 34

[dns-esp] Configuración de la lista
by Juan Manuel Doren 30 May '12

30 May '12

Al administrador de la lista usando el mail de google ( supongo que con otros será igual ), a responder un mail se va al autor de la pregunta y no a la lista. acá los headers que me llegan en los mails, especialmente este es que puede estar dando(me) el problema: From: Pabluster <pabluster(a)gmail.com> Delivered-To: jmdoren(a)ok.cl Received: by 10.231.36.6 with SMTP id r6csp135852ibd; Tue, 29 May 2012 15:58:04 -0700 (PDT) Received: by 10.68.237.166 with SMTP id vd6mr42438629pbc.139.1338332284568; Tue, 29 May 2012 15:58:04 -0700 (PDT) Return-Path: <dns-esp-bounces(a)listas.nic.cl> Received: from mail.nic.cl (mail.nic.cl. [200.1.123.8]) by mx.google.com with ESMTPS id rg2si16221875pbc.111.2012.05.29.15.58.03 (version=TLSv1/SSLv3 cipher=OTHER); Tue, 29 May 2012 15:58:04 -0700 (PDT) Received-SPF: pass (google.com: domain of dns-esp-bounces(a)listas.nic.cl designates 200.1.123.8 as permitted sender) client-ip=200.1.123.8; Authentication-Results: mx.google.com; spf=pass (google.com: domain of dns-esp-bounces(a)listas.nic.cl designates 200.1.123.8 as permitted sender) smtp.mail=dns-esp-bounces(a)listas.nic.cl Received: from mail.nic.cl (localhost.localdomain [127.0.0.1]) by mail.nic.cl (Postfix) with ESMTP id DC90FCC8280; Tue, 29 May 2012 18:58:00 -0400 (CLT) Received: from mail.nic.cl (localhost.localdomain [127.0.0.1]) by mail.nic.cl (Postfix) with ESMTP id A6177CC8184; Tue, 29 May 2012 18:58:00 -0400 (CLT) X-Original-To: dns-esp(a)listas.nic.cl Delivered-To: dns-esp(a)listas.nic.cl Received: from mail.nic.cl (localhost.localdomain [127.0.0.1]) by mail.nic.cl (Postfix) with ESMTP id DA225CC81F7 for <dns-esp(a)listas.nic.cl>; Tue, 29 May 2012 18:57:58 -0400 (CLT) Received: from mail-gh0-f178.google.com (mail-gh0-f178.google.com [209.85.160.178]) (using TLSv1 with cipher RC4-MD5 (128/128 bits)) (No client certificate requested) by mail.nic.cl (Postfix) with ESMTP id 6BD6DCC8184 for <dns-esp(a)listas.nic.cl>; Tue, 29 May 2012 18:57:58 -0400 (CLT) Received: by ghbf1 with SMTP id f1so2791836ghb.23 for <dns-esp(a)listas.nic.cl>; Tue, 29 May 2012 15:57:56 -0700 (PDT) MIME-Version: 1.0 Received: by 10.50.100.137 with SMTP id ey9mr5046677igb.61.1338332275988; Tue, 29 May 2012 15:57:55 -0700 (PDT) Received: by 10.231.233.195 with HTTP; Tue, 29 May 2012 15:57:55 -0700 (PDT) Date: Tue, 29 May 2012 18:57:55 -0400 Message-ID: <CABiG3wWMobSnwo_-7HKCNHupv6Fy3a_Yt2s7aFOnzsyAQYSb2Q(a)mail.gmail.com> From: Pabluster <pabluster(a)gmail.com> To: dns-esp(a)listas.nic.cl X-Virus-Scanned: ClamAV using ClamSMTP on Tue May 29 18:57:58 2012 -0400 (CLT) Subject: [dns-esp] Reverse DNS FAILED! This is a problem.. X-BeenThere: dns-esp(a)listas.nic.cl X-Mailman-Version: 2.1.9 Precedence: list List-Id: =?iso-8859-1?q?DNS_en_espa=F1ol?= <dns-esp.listas.nic.cl> List-Unsubscribe: <https://listas.nic.cl/mailman/listinfo/dns-esp>, <mailto:dns-esp-request@listas.nic.cl?subject=unsubscribe> List-Archive: <https://listas.nic.cl/pipermail/dns-esp> List-Post: <mailto:dns-esp@listas.nic.cl> List-Help: <mailto:dns-esp-request@listas.nic.cl?subject=help> List-Subscribe: <https://listas.nic.cl/mailman/listinfo/dns-esp>, <mailto:dns-esp-request@listas.nic.cl?subject=subscribe> Content-Type: multipart/mixed; boundary="===============0472594590286181328==" Sender: dns-esp-bounces(a)listas.nic.cl Errors-To: dns-esp-bounces(a)listas.nic.cl X-Virus-Scanned: ClamAV using ClamSMTP on Tue May 29 18:58:01 2012 -0400 (CLT)

3 2

[dns-esp] DNS que responda siempre lo mismo
by Juan Manuel Doren 30 May '12

30 May '12

Estimados: estoy tratando de configurar un dns que siempre responda lo mismo a las preguntas, algo como para que a un cliente de hosting le diga, pon el dns tanto como primario, el tanto como secudario y le funcione sin tener que agregar la zona. ¿Conocen algo que haga eso, algún hack de bind ? Gracias

2 1

Re: [dns-esp] Reverse DNS FAILED! This is a problem..
by Del Solar Navarrete Maria Cristina 30 May '12

30 May '12

Estimado La consulta dig -x te arroja diferentes nombres para un solo IP ? Atte MDS ________________________________ De: dns-esp-bounces(a)listas.nic.cl Para: dns-esp(a)listas.nic.cl Enviado: Tue May 29 19:24:06 2012 Asunto: Re: [dns-esp] Reverse DNS FAILED! This is a problem.. cristian : al hacer un dig -x ip me retorna lo siguiente ; <<>> DiG 9.7.3 <<>> -x 164.77.84.xx ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23058 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 2, ADDITIONAL: 4 ;; QUESTION SECTION: ;xx.84.77.164.in-addr.arpa. IN PTR ;; ANSWER SECTION: xx.84.77.164.in-addr.arpa. 129600 IN PTR mail.dominio.cl. xx.84.77.164.in-addr.arpa. 129600 IN PTR fw.dominio.cl. ;; AUTHORITY SECTION: 84.77.164.in-addr.arpa. 129600 IN NS ns1.dominio.cl. 84.77.164.in-addr.arpa. 129600 IN NS ns2.dominio.cl. ;; ADDITIONAL SECTION: ns1.dominio.cl. 604800 IN A 164.77.84.xx ns1.dominio.cl. 604800 IN A 172.16.1.2 ns2.dominio.cl. 604800 IN A 172.16.1.3 ns2.dominio.cl. 604800 IN A 164.77.84.xx ;; Query time: 8 msec ;; SERVER: 127.0.0.1#53(127.0.0.1) ;; WHEN: Tue May 29 19:16:29 2012 ;; MSG SIZE rcvd: 192 se ve mas bonito que la respuesta anterior y por lo que puedo deducir estaria OK la respuesta... Alex me indicaba: Revisa que el reverso DNS concuerde con el MOTD de tu servidor de correo. pero mi ignorancia es mas grande que la respuesta, desconosco que es el MOTD, tampoco se donde ubicarlo dentro del DNS y menos dentro del servidor de correo, estoy usando Zimbra. Espero que no este haciendo un OT del tema inicial. -- ********************************************* Pablo Figueroa Alvarez Linux user N° 379917 - counter.li.org <http://counter.li.org/> ********************************************* 2012/5/29 Cristian Rojas R. <crrojas(a)nic.cl> Hola Pablo. En el ejemplo de dig que envías pareciera que estuvieras consultando por la IP de 164.77.84.xx y no por el reverso. Lo llamaste con -x? (ie dig -x 200.7.7.3) Atte. CR Pabluster wrote: Hola listeros: Primero que todo me presento, son nuevo en la lista dns-esp... y venia a molestar con un problemilla que me ha dado un montón de dolores de cabeza. al realizar un chequeo del domino con la pagina http://www.mxtoolbox.com me retorna todo ok, en especial el mx que es donde estoy enfocado en este momento, pero al realizar un chequeo del smtp me indica que todo esta OK menos el reverso. Al realizar un host 164.77.84.xx desde una maquina en la red local me retorna lo siguiente xx.84.77.164.in-addr.arpa domain name pointer fw.dominio.cl. xx.84.77.164.in-addr.arpa domain name pointer mail.dominio.cl. por lo visto todo ok. Cuando hago un dig desde la misma maquina me arroja lo siguiente ; <<>> DiG 9.7.3 <<>> 164.77.84.xx ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 15935 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;164.77.84.xx. IN A ;; AUTHORITY SECTION: . 9366 IN SOA a.root-servers.net. nstld.verisign-grs.com. 2012052901 1800 900 604800 86400 ;; Query time: 6 msec ;; SERVER: 164.77.84.xx#53 ;; WHEN: Tue May 29 18:54:41 2012 ;; MSG SIZE rcvd: 105 alguna idea? de antemano agradezco la ayuda -- ********************************************* Pablo Figueroa Alvarez Linux user N° 379917 - counter.li.org <http://counter.li.org/> ********************************************* _______________________________________________ dns-esp mailing list dns-esp(a)listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp -- Cristian A. Rojas R. <crrojas(a)nic.cl> <mailto:crrojas@nic.cl> NIC Chile Miraflores 222, Piso 14, Codigo Postal 832-0198, Santiago Chile Phone: (562) 940 77 00 <tel:%28562%29%20940%2077%2000> Fax: (562) 940 77 01 <tel:%28562%29%20940%2077%2001> La informaci�n contenida en esta transmisi�n (y sus documentos adjuntos), es confidencial y no puede ser usada o difundida por personas distintas a su(s) destinatario(s). El uso no autorizado por los representantes legales de ENTEL S.A., de la informaci�n contenida en esta transmisi�n puede ser sancionado criminalmente de conformidad con la ley chilena. Si ha recibido esta transmisi�n por error, por favor destr�yala y notifique al remitente. Atendido que no existe certidumbre que el presente mensaje no ha sido modificado como resultado de su transmisi�n por correo electr�nico, o retrasmitido sin alteraci�n alguna; Entel S.A. no ser� responsable del contenido del mismo ni puede entenderse como emanado de sus representantes legales o transmitido con la autorizaci�n previa de ellos.

3 3

[dns-esp] Reverse DNS FAILED! This is a problem..
by Pabluster 29 May '12

29 May '12

Hola listeros: Primero que todo me presento, son nuevo en la lista dns-esp... y venia a molestar con un problemilla que me ha dado un montón de dolores de cabeza. al realizar un chequeo del domino con la pagina http://www.mxtoolbox.com me retorna todo ok, en especial el mx que es donde estoy enfocado en este momento, pero al realizar un chequeo del smtp me indica que todo esta OK menos el reverso. Al realizar un host 164.77.84.xx desde una maquina en la red local me retorna lo siguiente xx.84.77.164.in-addr.arpa domain name pointer fw.dominio.cl. xx.84.77.164.in-addr.arpa domain name pointer mail.dominio.cl. por lo visto todo ok. Cuando hago un dig desde la misma maquina me arroja lo siguiente ; <<>> DiG 9.7.3 <<>> 164.77.84.xx ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 15935 ;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0 ;; QUESTION SECTION: ;164.77.84.xx. IN A ;; AUTHORITY SECTION: . 9366 IN SOA a.root-servers.net. nstld.verisign-grs.com. 2012052901 1800 900 604800 86400 ;; Query time: 6 msec ;; SERVER: 164.77.84.xx#53 ;; WHEN: Tue May 29 18:54:41 2012 ;; MSG SIZE rcvd: 105 alguna idea? de antemano agradezco la ayuda -- * ********************************************* Pablo Figueroa Alvarez Linux user N° 379917 - counter.li.org **********************************************

3 4

[dns-esp] Sobre Zonas Principales
by Yosvany Hechavarria 17 May '12

17 May '12

Hola Lista Soy nuevo por aca, les dire mi problema Estoy montando un Servidor DNS principal, pero ni idea, se me atrofiado las ideas. MI pregunta, con ejemplo tengo varios subdominios llamemolos Casa.job.net Trabajo.job.net Vacaciones.job.net como ven el dominio es job.net y para el cree una zona principal, ahora mi duda es para estos subdominios tengo que crear zonas secundarias o dentro de la zona principal crear dominios con sus MX Espero que me pueda ayudar saludos Yosvany

2 1

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

DNS LACNOG May 2012