En esta página
Puntos clave
- UDP/53 es sensibleBloquear todo puede romper servicios DNS reales.
- Open resolvers amplificanEsta referencia ayuda a tratar «Mitigación DDoS por amplificación DNS» con un ángulo preciso sobre los PPS.
- Spoofing crea reflexiónLos reflectores responden a la IP víctima.
- La entrega limpia importaEl DNS útil debe seguir llegando a la infraestructura correcta.
Definición del problema
DNS amplification abusa de resolutores abiertos o servidores DNS capaces de devolver respuestas más grandes que la consulta recibida. El atacante suplanta la IP de la víctima y hace que servidores DNS de terceros respondan al objetivo.
El reto es específico: DNS es normal y crítico. Un paquete UDP/53 no es automáticamente hostil. La mitigación debe distinguir respuestas inesperadas, flujos autoritativos legítimos, tráfico de resolutor del cliente y ruido reflejado.
- UDP/53 es sensible
- Bloquear todo puede romper servicios DNS reales.
- Open resolvers amplifican
- la amplificación DNS abusa de respuestas grandes y obliga a separar DNS legítimo, recursión abierta y tráfico suplantado. La auditoría debe separar ancho de banda, PPS, comportamiento del protocolo y el punto exacto donde el servicio deja de estar disponible.
- Spoofing crea reflexión
- Los reflectores responden a la IP víctima.
Por qué es importante
DNS sostiene casi todo: sitios web, paneles, APIs, launchers, dominios de servidores de juego y monitorización. Una mitigación brusca puede dejar un servicio inaccesible aunque la gráfica de ataque parezca más tranquila.
Para proveedores que venden hosting o tránsito protegido, la disponibilidad DNS afecta directamente la confianza. Si los dominios no resuelven, el cliente piensa que todo está caído aunque las máquinas sigan funcionando.
Soluciones posibles
La prevención consiste en evitar resolutores abiertos, aplicar reglas de acceso y limitar respuestas en los DNS propios. Pero para la víctima, cerrar su propio DNS no basta: los reflectores suelen pertenecer a otras redes.
La mitigación del lado víctima debe filtrar aguas arriba respuestas DNS imposibles, revisar tamaños, puertos, direcciones de flujo y la relación entre consultas observadas y respuestas recibidas, sin romper usos legítimos.
Modelo de filtrado para Mitigación DDoS por amplificación DNS
La entrega limpia se elige según la arquitectura: anuncio BGP para prefijos, GRE/IPIP/VXLAN para servidores existentes, cross-connect en datacenter o proxy cuando lo principal es la experiencia de usuario.
Caso concreto de uso
Una plataforma SaaS aloja su web, API y panel detrás de varios dominios. Durante DNS amplification, el enlace recibe respuestas UDP/53 masivas que la plataforma interna nunca solicitó.
Errores frecuentes
El primer error es bloquear todo UDP/53 sin comprobar la necesidad. Puede servir para una IP que nunca debe usar DNS, pero no para DNS autoritativo, resolutores controlados o plataformas con dependencias DNS.
El segundo error es confundir prevención con mitigación de la víctima. Asegurar tus propios DNS es esencial, pero no elimina reflectores de terceros. También hace falta una ruta de red protegida.
Preguntas y respuestas
¿Puedo bloquear UDP 53 durante un ataque?
No de forma indiscriminada. Distinga puertos de origen y destino, consultas y respuestas, y la función de la dirección afectada. Bloquear todo el DNS puede interrumpir la resolución. Preserve los intercambios DNS legítimos por UDP y TCP.
¿Qué es un resolver abierto?
Un resolver DNS recursivo que responde a clientes ajenos a su público previsto. Restrinja la recursión a los clientes autorizados. Un servidor DNS público autoritativo tiene otra función y debe responder a las consultas públicas legítimas.
¿DNSSEC influye en la amplificación?
Las firmas y los registros adicionales de DNSSEC pueden aumentar las respuestas legítimas. Una respuesta grande no demuestra un ataque. Preserve la validación y el recurso a TCP mientras limita la reflexión abusiva.
