iptables 와 tcpdump 간의 우선 순위

어느날 갑자기 서버의 outbound 트래픽이 증가하여 원인을 찾아보는데,

서버의 로그에는 별다른 로그가 남아 있지 않다. 

한참을 찾아 보니, DNS Attack 으로 진단 되었다. 

DNS 공격으로 판단하고, tcpdump 로 모니터링 하고 iptables 로 차단을 하는 작업을 하였다. 

그런데, iptables 에서 차단 룰을 적용 시켰는데도, tcpdump 로 보면 해당 트래픽이 보인다.

iptables 룰이 잘 못되었나 해서 다시 살펴 보아도 구문에는 별 문제는 없어 보인다. 

알고 보니, tcpdump 로는 해당 트래픽이 보이지만, 차단은 되고 있었다. ^^

iptables 와 tcpdump 중에서 tcpdump 가 좀더 우선순위가 높은 모양이다. ^^

DNS 공격이 들어오는 곳은 아래로 파악된다.

http://en.utrace.de/?query=134.174.40.84

그리고, DNS Attack 을 막을 수 있는 iptables 룰 이다. 

http://tdoodle.tistory.com/entry/DNS-%ED%8A%B8%EB%9E%98%ED%94%BD%EC%9D%B4-%EC%9C%A0%EB%82%9C%ED%9E%88-%EB%86%92%EC%9D%84-%EB%95%8C