信息安全 - 远程流氓 DNS 客户端是否设法通过 Linux DNS 服务器的第一个 iptables 规则？ - 吾爱随笔录

Ubuntu 20.04
iptables 1.8.4-1

我遇到了这样一种情况，远程系统似乎能够通过位于 NAT 路由器后面的 Linux 服务器的第一个iptables 规则：

-A INPUT -s <remote_ip_addresses_range> -j DROP

尽管有上述规则，我还是能够使用以下快照见证pktstat -tF -i <wired_ethernet_interface>：

udp <remote_fqdn>:29937 <-> <server_fqdn>:domain
udp <remote_fqdn>:21862 <-> <server_fqdn>:domain
udp <remote_fqdn>:37097 <-> <server_fqdn>:domain
udp <remote_fqdn>:1886 <-> <server_fqdn>:domain
udp <remote_fqdn>:16824 <-> <server_fqdn>:domain
udp <remote_fqdn>:43989 <-> <server_fqdn>:domain
udp <remote_fqdn>:49939 <-> <server_fqdn>:domain
udp <remote_fqdn>:25297 <-> <server_fqdn>:domain
udp <remote_fqdn>:13319 <-> <server_fqdn>:domain
udp <remote_fqdn>:62586 <-> <server_fqdn>:domain
udp <remote_fqdn>:24825 <-> <server_fqdn>:domain
udp <remote_fqdn>:52733 <-> <server_fqdn>:domain
udp <remote_fqdn>:44866 <-> <server_fqdn>:domain
udp <remote_fqdn>:19691 <-> <server_fqdn>:domain
udp <remote_fqdn>:31634 <-> <server_fqdn>:domain
udp <remote_fqdn>:36689 <-> <server_fqdn>:domain
udp <remote_fqdn>:20213 <-> <server_fqdn>:domain
udp <remote_fqdn>:38816 <-> <server_fqdn>:domain
udp <remote_fqdn>:62049 <-> <server_fqdn>:domain
udp <remote_fqdn>:51384 <-> <server_fqdn>:domain
udp <remote_fqdn>:55557 <-> <server_fqdn>:domain
udp <remote_fqdn>:39710 <-> <server_fqdn>:domain
udp <remote_fqdn>:56031 <-> <server_fqdn>:domain
udp <remote_fqdn>:50839 <-> <server_fqdn>:domain
udp <remote_fqdn>:53202 <-> <server_fqdn>:domain
udp <remote_fqdn>:39416 <-> <server_fqdn>:domain
udp <remote_fqdn>:25693 <-> <server_fqdn>:domain
udp <remote_fqdn>:55591 <-> <server_fqdn>:domain
udp <remote_fqdn>:30182 <-> <server_fqdn>:domain

我是肯定<remote_fqdn>的<remote_ip_addresses_range>。

对于这种情况，我只看到两种可能的解释：

pktstat 在 iptables 过滤发生之前嗅探数据包，我怀疑这是可能的
iptables 存在安全漏洞

tcpdump 跟踪显示所有恶意 DNS 查询都是相似的；攻击者试图通过对一个奇怪的 DNS 域进行递归 DNS 搜索来劫持服务器：packet.cf（不是由服务的域<server_fqdn>）。

有线索的人吗？