Нагрузочное тестирование новых версий стандалон bind'а показывает, что он может обслуживать десятки тысяч одновременных запросов (максимум пара сотен тысяч). Это много, тем не менее, это не бесконечный ресурс. Если ваш DNS-сервер обслуживает десятки/сотни тысяч доменных зон, обычно используется DNS-сервер (не обязательно bind) c SQL-бекендом для хранения зон. Производительность такого решения несколько ниже. Кластеризацией вы увеличите производительность в разы (но не на порядки).
+ протокол UDP нее требует установки соединения, поэтому можно проводить атаку на уровне L7 ( на приложение) подставляя поддельные обратные адреса. Фильтровать эти вещи сложно, если, конечно, по периметру сети не стоят Arbor'ы или перед DNS не стоит Radware :)
На вас реально никогда не приходил DDoS на приложение масштаба нескольких миллионов запросов?
Ну, и DDoS не обязательно будет именно как на службу, а просто забивать UDP трафиком на 53й порт, фильтровать который ACL'ями на L4 не получится.
Я что-то пропустил и все статические сайты уже хостятся на амазоне, а не на вирт. хостингах с сотнями других ни в чём неповинных клиентов? А даже если и на амазоне, за любой объём трафика, создаваемый ДДоСом не каждый конечный клиент готов платить. В конце концов, ДДоС на DNS-сервера никто не отменял, с которым бороться немного сложнее. Завалить можно что угодно и где угодно, это лишь вопрос цены.
У меня МТС :) И я даже не знаю, что такое Мегафон-Навигатор.
Зачем мне в принудительном порядке делиться с вами своими контактами?
На мой взгляд не логично.
А зачем приложение Яндекс.карты при установке/апдейте запрашивает доступ к записной книге?
Только не говорите «для того, чтобы друзей искать на карте» :)
Если не сложно, было бы интересно. На моей памяти о взломах инфраструктуры вышеозвученных отечественных хостеров в открытых источниках информации не появлялось.
+ протокол UDP нее требует установки соединения, поэтому можно проводить атаку на уровне L7 ( на приложение) подставляя поддельные обратные адреса. Фильтровать эти вещи сложно, если, конечно, по периметру сети не стоят Arbor'ы или перед DNS не стоит Radware :)
На вас реально никогда не приходил DDoS на приложение масштаба нескольких миллионов запросов?
Ну, и DDoS не обязательно будет именно как на службу, а просто забивать UDP трафиком на 53й порт, фильтровать который ACL'ями на L4 не получится.
Зачем мне в принудительном порядке делиться с вами своими контактами?
На мой взгляд не логично.
Только не говорите «для того, чтобы друзей искать на карте» :)