Proteção anti-abuso e DDoS

Onde fica: Configuração DNS › Proteção e Segurança › Monitor DDoSDesde a v2.0.0

O servidor DNS é um alvo frequente de abuso: um aparelho infectado que dispara milhares de consultas, ataques de amplificação, consultas aleatórias para sobrecarregar o servidor. Estas telas mostram quem está consultando demais e deixam o sistema bloquear sozinho o IP que passa do limite — sem derrubar o DNS dos demais clientes.

Antes de começar

Observação

Comece sempre em Observação ou em Modo simulação: o sistema calcula tudo e mostra quem seria bloqueado, mas não bloqueia ninguém. Só ative o bloqueio real depois de ajustar o limite com folga, principalmente se a sua rede usa CGNAT.

• Para alterar limites, modo e auto-bloqueio: perfis Administrador e NOC. Os demais perfis só consultam.

Passo a passo

1. Escolher o modo e o limite

1. Abra Configuração DNS › Proteção.
2. Veja os quatro cartões:
   • Modo Atual — Observação (só registra) ou Proteção Ativa (aplica os bloqueios). O botão alterna entre os dois.
   • Rate Limit por IP — quantas consultas um IP pode fazer dentro da janela de detecção antes de virar candidato a bloqueio. Digite o valor e clique em Salvar.
   • Auto-bloqueio — ativo ou inativo, e a duração do bloqueio em segundos (0 = permanente).
   • Janela de Detecção — o intervalo observado (padrão 5 minutos). Ajusta-se no Monitor DDoS.
3. Salve. A alteração vale em até cerca de 1 segundo no servidor DNS.

2. Acompanhar e calibrar no Monitor DDoS

Segurança › Monitor DDoS reúne a detecção em nível 1 (regras, sem IA):

• Cartões de Auto-bloqueio (ATIVO, INATIVO ou SIMULAÇÃO), Modo de Proteção, consultas por janela e por hora, Threshold e Auto-bloqueios Ativos.
• Presets rápidos, que trocam várias opções de uma vez (confirmação antes de aplicar):
  • Residencial conservador — limite de 500, bloqueio de 10 minutos.
  • ISP empresarial padrão — limite de 200, bloqueio de 10 minutos.
  • Modo crise (ataque em andamento) — limite de 80, janela de 1 minuto, bloqueio de 30 minutos.
• Detecção (Level 1 — sem IA): janela (de 1 minuto a mais), threshold (consultas por IP na janela), duração do bloqueio e as chaves Auto-bloqueio habilitado e Modo simulação (dry-run).
• Listas de Top IPs e Auto-bloqueios recentes, com o tempo restante de cada bloqueio.

Atenção

Os presets também mudam as configurações da análise com IA (modo reativo ou contínuo). Aplicar um preset sobrescreve as configurações atuais.

3. Calibrar com dados reais — Baseline Rate-limit

Segurança › Baseline Rate-limit analisa as últimas horas em janelas de 1 minuto a 1 dia e mostra a média e os percentis (p50, p90, p95, p99, p99,9) e o máximo, a linha do tempo e a curva dos 10 IPs que mais consultam. Ela sugere três limites — seguro, balanceado e agressivo — com botão Aplicar. É o jeito de escolher um limite que não pegue clientes legítimos.

4. Redes CGNAT

Quando muitos assinantes saem por um mesmo IP (CGNAT), o limite padrão gera bloqueios indevidos. Em Segurança › Redes CGNAT cadastre a faixa (CIDR), um rótulo e um multiplicador de 1 a 100. O limite daquela faixa passa a ser o limite padrão vezes o multiplicador — por exemplo, 200 com multiplicador 10 vira 2.000 para a faixa. Os demais IPs continuam com o limite normal.

5. Outros sinais de ataque

• Segurança › Ameaças e IPs lista IPs suspeitos das últimas 24 horas, os IPs bloqueados ativos e os domínios mais bloqueados, e permite bloquear um IP manualmente (Administrador e NOC).
• Segurança › DNS Tunneling aponta IPs que usam o DNS para esconder tráfego: o sistema analisa janelas de 5 minutos e dá uma nota de 0 a 100 considerando a variedade de subdomínios, nomes muito longos, aleatoriedade dos nomes e proporção de consultas TXT/NULL. Notas a partir de 30 geram um alerta e podem ser bloqueadas com um clique.
• Segurança › Bloqueios de Login mostra os bloqueios automáticos de quem errou a senha do painel muitas vezes.
• Segurança › Visão Geral DDoS resume o cenário de segurança.

Proteções automáticas do servidor

Independentemente do que você configurar, o servidor DNS já traz:

• Limite de consultas por IP, que manda o cliente repetir por TCP quando passa do limite.
• Consultas do tipo ANY (usadas em amplificação) forçadas para TCP.
• Detecção de inundação de NXDOMAIN ("water torture") e de SERVFAIL: o IP que passa de 30 respostas NXDOMAIN por segundo, de forma sustentada por 10 segundos, é bloqueado por 60 segundos.
• Limites de conexões TCP por cliente, contra ataques de conexão lenta (slowloris).
• Cookies DNS e validação DNSSEC no resolvedor.

Regras que a tela aplica

Atenção

• Em Observação ou Simulação, nada é bloqueado — só registrado.
• IPs da lista de confiança (TrustedIP) nunca são bloqueados automaticamente.
• Todo bloqueio manual ou automático fica na auditoria, e qualquer bloqueio pode ser desfeito.

O que acontece depois

• O IP bloqueado deixa de ser respondido pelo DNS (as consultas são descartadas) pelo tempo configurado; ao fim do prazo, ele volta ao normal.
• Se configurado, o sistema avisa por webhook (Telegram, Slack, Discord ou endereço próprio, em Administração › Webhooks) quando um ataque começa e quando termina — o aviso só dispara depois de dois ciclos seguidos de detecção e só encerra depois de cinco, para evitar alarme falso.

Perguntas frequentes

Um cliente legítimo foi bloqueado. Remova o bloqueio em Segurança › Ameaças e IPs, veja o IP no Baseline e, se for CGNAT, cadastre a faixa em Redes CGNAT.

Qual limite devo usar? Rode o Baseline e comece pela sugestão "segura", em Modo simulação.

Leia também

• DDoS com IA
• Relatórios e visibilidade