Защита DNS от DDoS: где ломают сервис, а где ломается архитектура

Защита DNS от DDoS: где ломают сервис, а где ломается архитектура

Давайте разберем флоу запроса. DNS чаще всего валят не «сложной магией», а банальным исчерпанием ресурсов: UDP-flood, NXDOMAIN-запросы, reflection/amplification и вынос авторитативных серверов по RTT. Если у вас один узел, одна площадка и один аплинк — это не инфраструктура, а точка отказа с красивым именем.

Базовая защита строится слоями:
— Anycast для распределения нагрузки и локализации инцидента;
— несколько независимых PoP с разными upstream;
— rate limiting на входе и контроль QPS на авторитативе;
— жесткая политика для zone transfer и минимизация открытых сервисов.

Отдельно проверяем, не превращаем ли сами себя в усилитель атаки: закрываем рекурсию там, где она не нужна, режем «лишние» ответы, настраиваем минимизацию ответа и не публикуем ненужные записи. Для мониторинга важны не только падения, но и рост NXDOMAIN, размер ответа, доля TCP fallback и отклонения по latency. Проверим влияние на RTT и консистентность зон.

Итог простой: DDoS на DNS не лечится одним фильтром или «мощным сервером». Нужны распределение, ограничение поверхности атаки и автоматизация реакций. Стабильность DNS — это фундамент, а не опция.