DNS放大攻击之所以格外难缠，是因为攻击者用几十字节的伪造查询，就能让开放DNS服务器向受害者倾泻几十倍甚至上百倍的UDP响应，打满带宽的同时还很难溯源。 更麻烦的是，这类攻击成本几乎为零，却能让防护方按Gbps掏钱，形成一种极度不对等的“流量战争”。
DNS放大攻击是什么意思？一个查询包换来一场UDP风暴
DNS放大攻击的工作方式并不复杂：攻击者伪造受害者IP，向大量开放的DNS递归服务器发送查询请求，这些服务器会把回复发到受害者IP上，由于UDP协议没有连接状态，源IP可以随意伪造，DNS服务器又天生“勤快”，谁问都答,而且回答往往比查询大得多。
放大倍数是关键，一个典型的ANY查询可能只有几十字节，但DNS服务器返回的响应可能达到几百字节甚至几千字节，要是用上EDNS0填充，响应可以更大，攻击者只要短时间内向成千上万个开放DNS服务器发送这种小包，这些服务器就会像上万个扩音喇叭同时朝受害者喊话,每秒流量轻松打满骨干链路。
普通DDoS和DNS放大攻击有什么区别
普通DDoS，比如SYN Flood或HTTP Flood，需要攒肉鸡、租僵尸网络，源IP至少是真的（虽然可以伪造一部分，但维持状态很难），DNS放大攻击不需要，攻击者只需要一台能扫出开放DNS的机器，发送一批静态小包,就能获得极高流量。
- 普通DDoS消耗的是连接数或CPU,DNS放大直接打满带宽。
- 普通DDoS有真实源IP，可以在防火墙封禁；DNS放大的源IP是大量无辜的DNS服务器,封哪个都像误伤。
- 普通DDoS的攻击者要持续控制肉鸡,DNS放大的攻击者发完包就能断线跑路。
这就是为什么流量型攻击里，DNS放大特别让人头疼：它不是靠规模堆出来的，而是靠协议漏洞“借力打力”。
为什么DNS放大攻击格外难缠：三个硬伤
溯源难：攻击者藏在伪造IP背后
从受害者的视角看，攻击流量来自全球各地的DNS服务器IP，端口是53，协议是UDP，你拿NetFlow去看，也只能看到一堆“干净的”公共DNS和暴露的递归解析器，真正的攻击者IP在几百上千个查询包里一闪而过,根本抓不住。
清洗难：攻击流量长得太像合法DNS
DNS放大攻击的流量来源是真实DNS服务器，内容也是正经的DNS响应，清洗设备如果一刀切全丢53端口，自己的域名解析也会断，更麻烦的是，EDNS0和DNSSEC还能让每个包变得更大，特征还各不相同,简单限速很容易误伤正常用户。
成本倒挂：攻击几乎免费，防护却很贵
发动一次DNS放大攻击，攻击者不需要为流量付费，也不需要维护僵尸网络，相比之下，受害者想扛住，要么买高防IP，要么租清洗带宽，按Gbps计费，价格从几百到几万不等。现实中，经验不足的站长往往会问“DNS放大攻击价格有多高”，但实际上攻击者自己几乎不花钱，钱全花在了受害者的防护账单上。
行业共识认为，游戏服务器防御DDoS时，最先要处理的就是这类UDP大流量反射攻击，游戏服务器一般带宽大、连接数多，但DNS放大攻击不占连接，直接堵死网络出口，玩家一瞬间全员掉线,服务器本身甚至都不卡。
DNS放大攻击怎么防御：从源头到接入层的落地方法
第一层：别让自家DNS变成帮凶
开放DNS递归查询是攻击者的弹药库，国内大量家用路由器和企业内网DNS允许互联网任意IP查询，这是最容易被利用的源头,运维人员可以自查：
- 在BIND配置里加上：
allow-recursion { 10.0.0.0/8; 192.168.0.0/16; }; - 在Unbound中设置：
access-control: 127.0.0.0/8 allow,其余默认拒绝递归。 - 用在线工具或
dig @你的IP ANY test测试，如果从外网能得到大量响应,说明你的DNS正在帮别人放大攻击。
第二层：在路由器/防火墙上做源头过滤
对于自建机房的用户，在边界路由器上启用uRPF（单播逆向路径转发），丢弃源IP不属于本网段的包，能阻止伪造源IP的请求发出，虽然这不能完全阻止所有反射攻击，但能减少攻击者利用你网段内伪造源的能力，很多时候，ISP没有强制做BCP38,这是防护工作的一大空白。
第三层：在服务器和清洗设备上做特征限速
如果你的服务器本身不对外提供DNS服务，那处理就简单了，直接在防火墙上丢弃所有入向UDP/53：
iptables -I INPUT -p udp --dport 53 -j DROP如果你真在跑DNS服务，那就得做响应频率限制，BIND 9.10以上版本自带RRL：
options {
rate-limit {
responses-per-second 5;
slip 2;
};
};这样每个源IP每秒最多收到5个响应，超过的被丢弃或截断，行业标准做法是配合专门的高防清洗，把异常UDP流量引流到高防节点进行分析,只放行正常的DNS查询响应。
应急三步：确认、限速、上报
- 用
tcpdump -ni eth0 udp port 53 -w dns_attack.pcap抓包，看是否有大量来自不同IP、包长超过1500字节的UDP响应。 - 联系IDC或云服务商，开启近源清洗或黑洞路由,先保业务。
- 把抓包文件提交给服务商,让上游封禁可疑的开放DNS源端口。
游戏服务器防御DDoS，为什么第一个要处理DNS放大
很多人做游戏服务器防御DDoS时，第一反应是加高防带宽，却忽略了攻击类型判断，DNS放大攻击不直接攻击游戏协议，而是把服务器的出口带宽打满，玩家看到的不是卡顿,而是整个游戏区服无法连接。
游戏服务器通常有多个对外端口，如果只封53端口，攻击者还能换成NTP反射、SSDP反射等其他UDP放大手段，游戏服务器防御DDoS的关键是部署一套能识别多种反射攻击的流量清洗系统,而不是单纯堆带宽。
DNS放大攻击常见疑问：价格、国内态势和防御成本
DNS放大攻击价格高吗？
对于攻击者来说，发动一次针对小站点的DNS放大攻击，几乎不需要额外成本，只要用公开的扫描工具找出一批开放DNS，再伪造几个源IP，几分钟就能打满几十Gbps流量，防护方如果想扛住，则需要购买高防服务或临时扩容带宽，费用通常按实际清洗流量计费，一场攻击下来可能就是上千元，攻击成本与防御成本的差距,正是DNS放大攻击让中小网站难以为继的原因。
国内普通网站的DNS服务器会不会也被利用？
有可能，国内不少企业自建DNS时，为图方便直接允许所有来源递归查询，近年来，第三方安全巡检报告多次指出，互联网上仍有相当可观的开放DNS地址可被用于放大攻击，普通网站如果用的云解析服务，风险相对较小；如果自己托管DNS,最好立刻检查递归白名单。
为什么有些高防IP防不住DNS放大？
高防IP并不是万能的，有些高防系统只做了四层包过滤和基础限速，对DNS放大这类高PPS流量识别能力不足，更稳妥的方式是开启云清洗中心，结合协议指纹和行为分析来过滤异常响应，选择高防服务时，要问清楚是否支持反射攻击专项清洗,以及清洗后的回源链路是否足够宽。
DNS放大攻击难缠的本质，在于它把协议设计中的信任当成了武器，让正常DNS服务器替攻击者“出力”，防护思路不能停留在加带宽上，而要从关闭递归、入口过滤、限速清洗三层同时入手,才能把这类流量型攻击挡在门外。