dns防護怎麽做？
1.授權DNS服務器限制名字服務器遞歸查詢功能，遞歸dns服務器要限制遞歸訪問的客戶（啟用白名單IP段）
2.限制區傳送zonetransfer，主從同步的DNS服務器範圍啟用白名單，不在列表內的DNS服務器不允許同步zone文件
allow-transfer{};
allow-update{};
3.啟用黑白名單
已知的攻擊IP加入bind的黑名單，或防火墻上設置禁止訪問；
通過acl設置允許訪問的IP網段；
通過acl設置允許訪問的IP網段；通過acl設置允許訪問的IP網段；
4.隱藏BIND的版本信息；
5.使用非root權限運行BIND；
4.隱藏BIND的版本信息；
5.使用非root權限運行BIND；
6.刪除DNS上不必要的其他服務。創建壹個DNS服務器系統就不應該安裝Web、POP、gopher、NNTPNews等服務。
建議不安裝以下軟件包：
1）X-Windows及相關的軟件包；2）多媒體應用軟件包；3）任何不需要的編譯程序和腳本解釋語言；4）任何不用的文本編輯器；5）不需要的客戶程序；6）不需要的其他網絡服務。確保域名解析服務的獨立性，運行域名解析服務的服務器上不能同時開啟其他端口的服務。權威域名解析服務和遞歸域名解析服務需要在不同的服務器上獨立提供；
7.使用dnstop監控DNS流量
#yuminstalllibpcap-develncurses-devel
下載源代碼/tools/dnstop/src/dnstop-20140915.tar.gz
#；
9.增強DNS服務器的防範Dos/DDoS功能
使用SYNcookie
增加backlog,可以壹定程度減緩大量SYN請求導致TCP連接阻塞的狀況
縮短retries次數:Linux系統默認的tcp_synack_retries是5次
限制SYN頻率
防範SYNAttack攻擊:#echo1>/proc/sys/net/ipv4/tcp_syncookies把這個命令加入/etc/rc.d/rc.local文件中；
10.：對域名服務協議是否正常進行監控，即利用對應的服務協議或采用相應的測試工具向服務端口發起模擬請求，分析服務器返回的結果，以判斷當前服務是否正常以及內存數據是否變動。在條件允許的情況下，在不同網絡內部部署多個探測點分布式監控；
11.提供域名服務的服務器數量應不低於2臺，建議獨立的名字服務器數量為5臺。並且建議將服務器部署在不同的物理網絡環境中;使用入侵檢測系統，盡可能的檢測出中間人攻擊行為;在域名服務系統周圍部署抗攻擊設備，應對這類型的攻擊;利用流量分析等工具檢測出DDoS攻擊行為，以便及時采取應急措施；
12.：限制遞歸服務的服務範圍，僅允許特定網段的用戶使用遞歸服務；
13.：對重要域名的解析結果進行重點監測，壹旦發現解析數據有變化能夠及時給出告警提示;部署dnssec；
14.建立完善的數據備份機制和日誌管理系統。應保留最新的3個月的全部解析日誌，並且建議對重要的域名信息系統采取7×24的維護機制保障，應急響應到場時間不能遲於30分鐘。
ddos攻擊防護思路？
1、采用高性能的網絡設備首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做壹下流量限制來對抗某些種類的DDOS攻擊是非常有效的。
2、盡量避免NAT的使用無論是路由器還是硬件防護墻設備要盡量避免采用網絡地址轉換NAT的使用，因為采用此技術會較大降低網絡通信能力，其實原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多CPU的時間，但有些時候必須使用NAT，那就沒有好辦法了。
3、充足的網絡帶寬保證網絡帶寬直接決定了能抗受攻擊的能力，假若僅僅有10M帶寬的話，無論采取什麽措施都很難對抗現在的SYNFlood攻擊，當前至少要選擇100M的***享帶寬，最好的當然是掛在1000M的主幹上了。但需要註意的是，主機上的網卡是1000M的並不意味著它的網絡帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等於就有了百兆的帶寬，因為網絡服務商很可能會在交換機上限制實際帶寬為10M，這點壹定要搞清楚。
4、升級主機服務器硬件在有網絡帶寬保證的前提下，請盡量提升硬件配置，要有效對抗每秒10萬個SYN攻擊包，服務器的配置至少應該為：P42.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，若有誌強雙CPU的話就用它吧，內存壹定要選擇DDR的高速內存，硬盤要盡量選擇SCSI的，別只貪IDE價格不貴量還足的便宜，否則會付出高昂的性能代價，再就是網卡壹定要選用3COM或Intel等名牌的，若是Realtek的還是用在自己的PC上吧。
5、把網站做成靜態頁面大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩，至少到現在為止關於HTML的溢出還沒出現，看看吧！新浪、搜狐、網易等門戶網站主要都是靜態頁面，若妳非需要動態腳本調用，那就把它弄到另外壹臺單獨主機去，免的遭受攻擊時連累主服務器，當然，適當放壹些不做數據庫調用腳本還是可以的，此外，最好在需要調用數據庫的腳本中拒絕使用代理的訪問，因為經驗表明使用代理訪問妳網站的80%屬於惡意行為。
6、增強操作系統的TCP/IP棧Win2000和Win2003作為服務器操作系統，本身就具備壹定的抵抗DDOS攻擊的能力，只是默認狀態下沒有開啟而已，若開啟的話可抵擋約10000個SYN攻擊包，若沒有開啟則僅能抵禦數百個，具體怎麽開啟，自己去看微軟的文章吧！《強化TCP/IP堆棧安全》。也許有的人會問，那我用的是Linux和FreeBSD怎麽辦？很簡單，按照這篇文章去做吧！《SYNCookies》。
7、安裝專業抗DDOS防火墻
8、其他防禦措施以上幾條對抗DDOS建議，適合絕大多數擁有自己主機的用戶，但假如采取以上措施後仍然不能解決DDOS問題，就有些麻煩了，可能需要更多投資，增加服務器數量並采用DNS輪巡或負載均衡技術，甚至需要購買七層交換機設備，從而使得抗DDOS攻擊能力成倍提高，只要投資足夠深入。
移動寬帶dns哪個好？
對於大部分互聯網用戶來說，“DNS（域名系統）”這個名詞稍顯陌生。但實際上，作為網絡基礎設施的重要組成部分，DNS以其“調度員”的角色，將網址/域名解析成IP地址，在我們的上網過程中承擔著不可或缺的重要地位。
壹旦DNS服務器出現故障、被攻擊或配置不合理，可能導致網絡癱瘓、網站被劫持修改、網速緩慢、彈出廣告等種種安全問題。
通常情況下，大家上網都是采用默認的DNS節點，由運營商就近提供。但事實上，為提升上網體驗，很多網友都自行選擇不錯的免費公***DNS，對自己的電腦進行自行設置。目前市面上的公***DNS比較多，良莠不齊，特意搜集比較熱點的幾款公***DNS進行對比，優缺點各異，供大家選擇參考。
互聯網巨頭Google家的公***DNS
首選地址：8.8.8.8
備用地址：8.8.4.4
功能測評：互聯網巨頭Google的產品向來是有品質保證的，這個公***DNS也不例外，基本能夠滿足諸多DNS需求，這個可能也是目前全球範圍內使用量最大的公***DNS。BUT，這個公***DNS的機房在國外，國內沒有節點，也就是說，對於國內上網的盆友們，壹旦妳配置了谷歌的公***DNS，就意味著走了壹條“出口轉內銷”的路線，大大延長了上網速度，實在是不甚友好啊。
國內用戶量較大的114DNS
首選地址：114.114.114.114
備選地址：114.114.114.115
功能測評：114DNS在國內的用戶量相當巨大，其DNS解析成功率高，同時滿足電信、聯通、移動各運營商用戶，能訪問更多的國內外網站。114DNS做得比較早，有壹定的技術積累，穩定性不錯，速度雖然沒有很優秀但也能讓人滿意。
我國首個IPv6公***DNS
首選地址：240c::6666
備選地址：240c::6644（僅作為純IPv6過渡測試使用）
功能測評：這兩年，由於國家政策的推動，國內通過IPv6上網的趨勢明顯增加，所以基於IPv6的公***DNS就顯得非常必要。由下壹代互聯網國家工程中心推出的240c::6666，在安全性、穩定性、防劫持等方面都不錯，節點在國內部署比較多，因此訪問速度也是可以的。除此之外，為方便IPv6用戶訪問IPv4相關服務，IPv6公***DNS還有DNS64解析的測試服務，即通過該解析系統同樣可以響應純IPv6用戶對純IPv4網絡資源的解析請求，這也在壹定程度上避免了IPv4至IPv6過渡期所帶來的內容尚未完全改造升級的困擾。
號稱全球最快的CloudFlareDNS
首選地址：1.1.1.1
備選地址：1.0.0.1
功能測評：CloudFlare是全球最大的CDN/DDOS防護服務提供商之壹，其遍布全球的基礎設施資源極其豐富，資金和技術實力相當雄厚，因此CloudFlareDNS號稱是全球最快的公***DNS。不過和Google家的公***DNS同理，國內網友只能是可望而不可及。
國內互聯網巨頭阿裏家的AliDNS
首選地址：223.5.5.5
備選地址：223.6.6.6
功能測評：聯想到阿裏巴巴和阿裏雲在國內及雲領域的技術實力，阿裏雲推出的免費DNS遞歸解析系統還是值得嘗試的，宣稱全球數百臺服務器組成的集群，擁有充足的帶寬資源，目標是成為國內互聯網基礎設施的組成部分，支持BGPAnycast以及ECS技術。
當然，除了以上這些，市面上還有很多公***DNS，宣稱的功能也大同小異，用戶還是要結合自己的實際需要及所處的城市來綜合判斷。