dns и трафик паразит

Доброго времени суток. Я работаю в небольшой компании, имеется локалка на 50 машин, шлюз dns, squid, iptables. Недавно решил помониторить dns трафик и увидел вот такую картину

Query Name                Count      %
--------------------- --------- ------
vkontakte.ru                 75   19.2
yandex.ru                    32    8.2
google.com                   23    5.9
odnoklassniki.ru             21    5.4
ya.ru                        18    4.6
com.ua                       12    3.1
mail.ru                      11    2.8
youtube.com                   6    1.5
ytimg.com                     5    1.3
twitter.com                   5    1.3
adriver.ru                    5    1.3
vk.com                        5    1.3
wpad.local                    4    1.0
yandex.net                    4    1.0
redtram.com                   3    0.8
dt00.net                      3    0.8
facebook.com                  3    0.8
wikipedia.org                 3    0.8
microsoft.com                 3    0.8
ietf.org                      3    0.8
isatap.local                  3    0.8
godaddy.com                   3    0.8
0.1                           3    0.8
gemius.pl                     3    0.8
fbcdn.net                     2    0.5
in.ua                         2    0.5
meta.ua                       2    0.5
bigmir.net                    2    0.5
snfdszfgzf.local              2    0.5
jzqdeulwfe.local              2    0.5
hworhbrpkx.local              2    0.5
24smile.org                   2    0.5
rambler.ru                    2    0.5
qip.ru                        2    0.5
modcos.com                    2    0.5
msftncsi.com                  2    0.5
feedburner.com                2    0.5
thematicmedia.ru              2    0.5
blogspot.com                  2    0.5
google.ru                     2    0.5
yadro.ru                      2    0.5
google-analytics.com          2    0.5
habrahabr.ru                  2    0.5
retracker.local               2    0.5
oetiker.ch                    2    0.5
informer.com                  2    0.5
lg.ua                         2    0.5
googleusercontent.com         2    0.5
tns-counter.ru                2    0.5
rutube.ru                     1    0.3
vkontaktike.com               1    0.3
prime-tass.ru                 1    0.3
org.ua                        1    0.3
kp.ru                         1    0.3
ain.ua                        1    0.3
mixstatus.com                 1    0.3
facebook.net                  1    0.3
odplus.ru                     1    0.3

Статистика примерно 3 минутного мониторинга.
За социальные сети понятно, но вот все остальное скорее всего вирусы. Лечить каждого клиента пока что нет времени. Как бы зарезать трафик так, что бы dns не работал в пустую. Читал статью на хабре по ограничению запросов в минуту, но мне интересно как вы боретесь с такими вещами ?

Честно говоря, не вижу ни одного левого запроса, все вполне себе приличные сайты и прочие сервисы. Что вас тут насторожило?

riso написал:

мне интересно как вы боретесь с такими вещами ?

iptables

vkontaktike.com хотя бы.
Vadimsky приведите примеры пожалуйста.

riso написал:

vkontaktike.com хотя бы.

Сайт как сайт. Весь список пересмотрел - ну ничего подозрительного.

действительно, сказал не посмотрев, скорее всего банер.

Режу соц сети и всякую лабуду скриптом. Нефиг баловать пользователей. Надо работать.
[console]#!/bin/bash
lan3="192.168.3.0/24"
inet="eth1"
BLACKLIST="/var/blacklist.url"

if [ -z "`iptables -n -L | grep -i "chain check_ip"`" ]; then iptables -N check_ip; fi
if [ -f $BLACKLIST ];
then
iptables -F check_ip;
iptables -I FORWARD 1 -s $lan3 -o $inet -j check_ip
cat $BLACKLIST | while read line
do
echo -e "${line}"
iptables -A check_ip -d "${line}" -j DROP
done
iptables -A check_ip -j RETURN
fi[/console]

--=XliN=--, один большой минус при добавлении большого числа блокируемых IP - могут в бан попасть и нормальные.
Я кстати чуть по другому в итоге сделал

BLOCKDB=”/root/ip.blocked”
IPS=$(grep -Ev "^#" $BLOCKDB)
for i in $IPS
do
 iptables -I FORWARD 1 -s $i -j DROP
done

Вот ещё на заметку
http://ru.wikipedia.org/wiki/DNSBL
http://caravan.ru/reference/faq/hosting/dnsbl/
И нелестный отзыв DNSBL http://www.differentlocal.ru/2011/02/14/why_dnsbl_sucks/

newzenon написал:

Я кстати чуть по другому в итоге сделал

У меня просто скрипт чуть сложнее из-за создания новой цепочки. Если честно, то можно просто в iptables добавлять блокировку по имени хоста, он сам распарсит IP ему принадлежащие. В теме где этот вопрос поднимался это проверили )) Хотя скриптом мне больше нравится. ))

--=XliN=--, да я помню сам же и проверял... :D

newzenon написал:

--=XliN=--, да я помню сам же и проверял...

Ну да, просто не стал искать ту тему. Между прочим скрипт который вы наваяли отлично справляется. Врачи слюнями достали плеваться. ))

--=XliN=-- написал:

Врачи слюнями достали плеваться. ))

Жестко ты их дай лазейку на 5Kb/s... :lol:

newzenon написал:

Жестко ты их дай лазейку на 5Kb/s...

Всегда можно договориться. Я же не монстр. ))) Беру натурой. Конфеты и и шоколадки не пью. Кстате идея. Как можно их перенаправить на мою страницу, если они пытались зайти на одноклассники? Есть какой редирект в iptables?

P.S. У меня бан лист еще маленький. Вот еще список всех радиостанций откопать, было бы хорошо.

odnoklassniki.ru
vk.com
facebook.com
vkontakte.ru
my.mail.ru
rutracker.org
nnm-club.ru
rutor.org
riper.am
free-torrents.org
lostfilm.tv
rutube.ru
youtube.com
twitter.com
vkontaktike.com
xhamster.com

Только на IP redirect, но можешь попробовать как-то так

iptables -t nat -A PREROUTING <что то тут> -j DNAT --to-destination 192.168.20.4

Надо попробовать....
ы. А вообще сквидом надо пробовать.

newzenon написал:

<что то тут>

Что тут писать?
Если указать интерфейс, то он все редиректит, а надо только список из бан листа.

[added]
Разобрался... в цикл скрипта добавил
iptables -t nat -A PREROUTING -d "${line}" -j DNAT --to-destination 192.168.1.77

Все гуд.

)))

Тему можно закрывать. Всем спасибо.