缓解基于DNS的DDoS攻击的方法有哪些

缓解基于DNS的DDoS攻击的方法有以下这些：

• 屏蔽主动发送的DNS响应信息：如果服务器在没有接收到查询请求之前，就已经生成了对应的响应信息，那么服务器就应该直接丢弃这一响应信息。这种机制能够有效地缓解反射攻击所带来的影响。一个典型的DNS交换信息是由请求信息组成的。DNS解析器会将用户的请求信息发送至DNS服务器中，在DNS服务器对查询请求进行处理之后，服务器会将响应信息返回给DNS解析器。但值得注意的是，响应信息是不会主动发送的。

• 丢弃快速重传数据包：即便是在数据包丢失的情况下，任何合法的DNS客户端都不会在较短的时间间隔内向同一DNS服务器发送相同的DNS查询请求。因此，如果从相同源地址发送至同一目标地址的相同查询请求发送频率过高，那么服务器必须将这些请求数据包丢弃。

• 启用TTL屏蔽数据包：对于一个合法的DNS客户端而言，如果它接收到了响应信息，那么它就不会再次发送相同的查询请求。如果数据包的TTL生存时间到了，那么系统应该对每一个响应信息进行缓存处理。当攻击者通过大量查询请求来对DNS服务器进行攻击时，我们就可以屏蔽掉不需要的数据包了。

• 丢弃未知来源的DNS查询请求和响应数据：通常情况下，攻击者会利用脚本来对目标进行分布式拒绝服务攻击（DDoS攻击），而且这些脚本通常针对的都是软件中的漏洞。因此，如果我们能够在服务器中部署简单的匿名检测机制，我们就可以限制传入服务器的数据包数量了。

• 对未见过的数据包直接丢弃：这类请求信息很可能是由伪造的代理服务器所发送的，或者是由于客户端配置错误，也有可能是开发人员用于调试的请求信息。但是我们应该知道，这也有可能是攻击者发送的。所以无论是哪一种情况，都应该直接丢弃这类数据包。