알 수없는 프로그램에서 대량 DNS 요청. 식별하는 방법?

Aug 15 2020

PiHole dns 서버를 실행하는데 Ubuntu Server에서 mariadb 도메인에 대한 대량 DNS 요청이 계속 표시됩니다. 하루에 약 50,000, 10 초마다 3A 및 3AAAA. 나는 그들을 보내는 프로그램을 식별하는 방법을 찾을 수없는 것 같습니다. 항목을 / etc / hosts에있는 존재하지 않는 IP로 수동으로 설정하려고 시도했지만 잠시 동안 요청을 중지했지만 다시 돌아와서 어떤 프로그램이 전송했는지 식별 할 방법이 없었습니다. 이 작업을 수행하는 프로그램을 식별하는 방법을 찾고 있습니다. 구성을 확인하고 생각할 수있는 거의 모든 프로그램을 일시적으로 중지했으며 요청은 계속되었습니다.

업데이트 : 이러한 DNS 요청은 내 pihole의 DNS 쿼리 로그에 표시되고 가끔 오버로드됩니다. 이것이 내가 pihole이 관련이 있다고 생각한 이유이고, pihole은 다른 시스템에서 실행되고 있으며,이 시스템은 "systemd-resolved stub resolver"를 제외하고는 dns와 관련이있는 어떤 것도 실행하지 않습니다. Mariadb는 bookstack 용 도커 컨테이너 (도커 화됨)의 서버에서 실행되고 mysql은 여러 워드 프레스 사이트의 서버 (도 커가 아님)에서 실행되지만 이러한 서비스 중 어떤 것도 조회하도록하는 구성이 없습니다. "mariadb"도메인. 워드 프레스 사이트에 필요한 경우 PHP7.4.9가 설치됩니다.

답변

Ron Aug 16 2020 at 02:16

DNS 서버 에서 실제 트래픽을 확인하고 요청을 수신 한 소스 IP를 식별하는 데 root사용할 수 있습니다 tcpdump. 다음과 같은 것 :

tcpdump -vvnn tcp port 53 or udp port 53

많은 양의 출력이 표시되어야하므로이 출력을 파일에 저장하고 소스 IP를 인식 할 수없는 경우 여기에 일부를 첨부 할 수 있습니다.