# DNS Firewall e proteção DDoS para provedores | Edgium > DNS Firewall anycast para provedores de internet (ISP) e empresas com DNS próprio: as zonas continuam no seu servidor, e os ataques DDoS ao DNS, como subdomínio aleatório e NXDOMAIN, param na borda. Fonte: https://edgium.net/dns-firewall --- [Edgium](https://edgium.net/) / DNS Firewall # DNS Firewall para provedores: as zonas ficam no seu servidor, os ataques DDoS ficam na borda O seu DNS autoritativo continua com você, com as zonas de todos os clientes do jeito que estão. A Edgium responde na frente dele, numa rede anycast com pontos no Brasil e no exterior, e só deixa passar o que é consulta de verdade. Serve para provedores de internet, hospedagens e empresas com DNS próprio. [Proteger o DNS do provedor](https://edgium.net/contato?interesse=dns-firewall#formulario) Ver como funciona ![Escudo em verde-limão cercado por órbitas, ilustração do DNS Firewall](https://edgium.net/assets/img/firewall.webp) ## Um DNS virtual na frente do seu Os endereços dos seus nameservers passam a ser anunciados pela rede da Edgium. A consulta legítima é repassada ao seu servidor e a resposta volta para quem perguntou. Com mais de um servidor, a Edgium distribui as consultas entre eles, como um balanceador de DNS. A consulta de ataque para no primeiro ponto da rede que ela encontra. ## Contra quais ataques ao DNS ele protege Os ataques DDoS que mais derrubam DNS de provedor não são grandes. São consultas que nenhum cache segura e que obrigam o servidor a trabalhar em cada uma. ### Subdomínio aleatório Milhares de nomes que não existem, como `x7k2q.cliente.com.br`, para esgotar o servidor autoritativo. O firewall reconhece o padrão e limita. ### NXDOMAIN em massa Limite próprio para respostas de domínio inexistente, separado do tráfego normal, para que o ataque não leve junto quem pergunta certo. ### Consultas vazias e malformadas Pacotes sem pergunta válida param na borda e nem chegam ao seu servidor. ### Consultas ANY bloqueadas A consulta ANY, usada para amplificar ataques, é recusada. O seu DNS deixa de ser arma contra terceiros. ### Limites por segundo sob medida (rate limit) Consultas totais, respostas NXDOMAIN e SERVFAIL, cada uma com limite ajustado para o tráfego normal da sua rede. ### Inundação de SYN bloqueada Conexões TCP falsas, abertas só para ocupar o servidor, param na borda e não chegam ao seu DNS. ### Regras de bloqueio por origem Redes ou endereços que só mandam ataque podem ser bloqueados de vez, em todos os pontos da rede ao mesmo tempo. ### Servidores fora da vista Os IPs reais dos seus servidores deixam de ser o alvo. Quem ataca encontra a rede da Edgium, espalhada e preparada para isso. Prefere que a Edgium responda sozinha, com uma cópia das zonas? Isso é o [DNS Slave](https://edgium.net/dns#slave): o seu servidor vira o master oculto e nunca aparece na internet. ## O que muda para o provedor e para o assinante ### Para o provedor - **Sem mexer nas zonas:** nada de migrar domínio por domínio. As zonas e as ferramentas de hoje continuam iguais. - **Menos noite em claro:** o ataque que derrubava o DNS e lotava o suporte fica na borda. - **Menos hardware na linha de frente:** o servidor autoritativo atende só consulta de verdade. - **Argumento de venda:** DNS protegido para oferecer aos clientes corporativos que hospedam com você. ### Para o assinante e os clientes do provedor - **Sites e e-mails dos clientes respondem** mesmo durante um ataque ao DNS. - **Resposta mais rápida,** vinda do ponto da rede mais perto de quem perguntou. - **Nada para configurar:** para quem usa, o nameserver é o mesmo de sempre. ## Exemplos de uso Situações comuns e como a Edgium resolve cada uma. ### Provedor de internet (ISP) e hospedagem DNS que para de cair: zonas no seu servidor, ataque de subdomínio aleatório barrado na borda. [Ver o exemplo completo](https://edgium.net/casos-de-uso#provedor) ### Empresas com ERP, banco de dados e e-mail próprio ERP e e-mail acessíveis de fora, com o servidor da empresa escondido atrás da borda. [Ver o exemplo completo](https://edgium.net/casos-de-uso#empresas) ## Perguntas sobre o DNS Firewall ### Preciso mudar as zonas ou os domínios dos meus clientes? Não. As zonas continuam no seu servidor, do jeito que estão. Só os endereços dos seus nameservers passam a responder pela rede da Edgium. ### Qual a diferença entre o DNS Firewall e o DNS Slave? No DNS Firewall, cada consulta legítima é repassada ao seu servidor, que continua respondendo. No DNS Slave, a Edgium recebe uma cópia da zona e responde sozinha, sem consultar o seu servidor. ### O que é um ataque de subdomínio aleatório? É uma enxurrada de consultas a nomes que não existem, como x7k2q.cliente.com.br, que nenhum cache segura e que derruba o servidor autoritativo. O DNS Firewall reconhece o padrão e limita na borda. ### Os limites podem ser ajustados? Sim. Consultas por segundo, respostas NXDOMAIN e respostas de erro têm limites próprios, ajustados para o tráfego normal da sua rede. ### Dá para testar o DNS Firewall antes de contratar? Sim. Converse com a gente: a Edgium combina um teste com você, sem parar o serviço, e você acompanha as consultas passando pela borda antes de levar todos os nameservers. ## O seu DNS já passou por um ataque? Converse com a Edgium: conte quantas zonas e consultas o provedor tem, e a gente combina um teste com você, sem parar o serviço. [Combinar um teste](https://edgium.net/contato?interesse=dns-firewall#formulario) [Chamar no WhatsApp](https://wa.me/5547999659121?text=Ol%C3%A1%21%20Vim%20pelo%20site%20edgium.net%20e%20quero%20conversar%20sobre%20um%20teste%20do%20DNS%20Firewall.)