Como posso proibir consultas DNS de um domínio indesejado no meu servidor?

Question

Não tenho certeza se o título da minha pergunta é explícito, então tentarei explicá-lo da melhor maneira possível.

Eu tenho um servidor dedicado de hospedagem na web rodando Linux (Gentoo). Há alguns sites hospedados nele e, portanto, alguns nomes de domínio de vários provedores têm suas configurações de zona DNS definidas para apontar para o meu servidor.

Existe um site específico que costumava ser hospedado neste servidor, mas foi removido. No entanto, parece que seu nome de domínio ainda está apontando para o meu servidor. Se eu cat /var/log/messages :

Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/A/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied
Jan 16 03:13:36 stock named[25829]: client XX.XX.XX.XX#XXXXX: query (cache) 'the-goddamn-domain.com/MX/IN' denied

Como você pode ver, eu tenho dezenas destes um segundo .

Posso fazer algo para proibir essas solicitações (exceto entrar em contato com o proprietário e solicitar que ele altere suas configurações de zona DNS)? O servidor já os nega, mas acho que ainda tenta e desperdiça alguns microssegundos para cada um deles, o que tudo somado não é bom para mim. Pensei em proibir os IPs, mas eles sempre parecem mudar (acho que as solicitações vêm de vários servidores DNS em todo o mundo).

    

Answer 1

Você está perguntando "Posso fazer algo para proibir essas solicitações?" mas parece que você já está fazendo isso. Não é exatamente isso que 'the-goddamn-domain.com/A/IN' denied significa?

Se você está pensando em adicionar outra coisa para fazer a filtragem na frente do servidor DNS para salvar microssegundos, então não faz muito sentido fazê-lo. O novo filtro ainda desperdiçará ciclos filtrando a solicitação antes que ela passe para o servidor DNS real. O que você tem agora é a solução ideal.

Se você está preocupado com o espaço em disco desperdiçado no log, pode haver uma maneira de silenciar a mensagem de erro dos logs. Se nada mais, você pode simplesmente filtrar a mensagem na configuração do seu syslog.

Ou você pode simplesmente adicionar a zona de volta com apenas um registro SOA.

    

Answer 2

Não. É realmente assim que você descreve: a zona de DNS de nível superior ainda aponta para o seu servidor para that-goddamn-domain.com. Computadores de todo o mundo entrarão em contato com seu servidor para solicitar seu endereço, para que você não possa bloqueá-los. Entre em contato com o proprietário primeiro e isso não ajuda o registrador.