"iptables 规则来保护面向公众的 DNS 服务器（pihole）"

Question

我部署了一个 DNS 服务器（pihole 实例）只是为了获得一点实践经验。 它被击中了数百万次，我不得不擦拭它并重新开始至少 5 次。 每次我设法让它更安全一点（无论是监控日志的 bash 脚本，还是新的 iptables 规则）。

我只是想获得一些关于如何使其更安全的建议。

设置<\/h2>

我租了一台服务器和 SSH，运行 docker 容器，其中包括 DNS 服务器本身、反向代理和管理 DNS 的 Web 界面。

IPTABLES 规则<\/h2>

所有传入流量首先通过 DOCKER-USER 链
XXXX<\/strong>是我的IP地址
SET-NAME<\/strong>是一组一直在攻击服务器（可能是僵尸网络）的 ip 地址 我使用 bash 脚本（分析 DNS 服务器日志）和 fail2ban 来填充这个列表
Y 和 Z<\/strong>是我的 Web 界面和尊崇代理运行的端口

-A DOCKER-USER -m set --match-set SET_NAME<\/strong> src -j DROP
-码头工人用户！ -s XXXX<\/strong> -p tcp -m 多端口 --dports 22,80,443, Y,Z<\/strong> -j DROP
-码头工人用户！ -s XXXX<\/strong> -p udp -m 多端口 --dports 22,80,443, Y,Z<\/strong> -j DROP \\

问题<\/h2>

我可以关闭除 UDP 和 TCP 53 之外的所有端口吗？ 只允许我的 XXXX 访问其他端口。<\/li>
• 如果SET_NAME<\/strong>变大并且 iptables 有数千个 IP 地址要阻止，我会用完资源吗？<\/li>
• 我可以在 iptables 中更改什么以提高效率吗？<\/li><\/ul>"