一、选择一个可靠的主机

DNS DDoS攻击是指利用DNS协议特点，对DNS服务器进行分布式拒绝服务攻击，通过控制僵尸网络对DNS服务器发送大量的域名解析请求，从而导致被攻击的DNS服务器无法响应正常请求。

由于DNS通常采用无连接不可靠的UDP协议，攻击者可以将请求伪装成来自不同地方的IP地址，更好地隐藏自己不被追溯，使得针对DNS发动DDoS攻击变得更加容易，也更加难以防范。

为了有效抵御DNS DDoS攻击，可以考虑从以下几个方面做出应对：

1.增强DNS服务器的性能和带宽，采用高性能的服务器和网络设备，提高DNS服务器的处理能力和抗攻击能力，是应对DNS DDoS攻击的主要手段之一。

然而DDoS攻击并非经常发生，长时间购入超大宽带并不现实，因此弹性带宽被广泛采用。中科三方云解析DNS系统所采用的弹性带宽功能，能够有效应对DDoS攻击所带来的带宽消耗问题。当服务器未遭受攻击时，云解析DNS带宽设定为保障用户可以正常请求的资源量。一旦监测到服务器遭受DDoS攻击，带宽会在瞬间放大，保证有足够的冗余流量，确保解析线路不被拥塞，能够快速响应正常的解析请求。

此外，还可以考虑CDN等外部服务来扩展DNS服务器的带宽以及抗攻击能力。

2.使用DNS缓存机制。DNS缓存机制可以避免每次都进行全球递归查询，直接从缓存中获取记录结果，缩短了DNS解析查询的时间。此外DNS缓存机制的使用，还能减少权威解析服务器的查询压力，从而降低DNS DDoS攻击对DNS服务器的影响。但需要注意的是DNS缓存是一把双刃剑，它的好处是可以提升解析效率，降低权威服务器的压力，其弊端是DNS缓存容易被攻击者利用进行投毒攻击，将访客引导至错误的站点。

3.建立全局的监控和预警机制。建立全局的监控和预警机制可以及时发现和应对DNS DDoS攻击，通过使用安全审计、日志分析、流量监测等手段来实时监控DNS服务器的运行状态，及时发现异常情况并作出处理。

中科三方云解析在海内外设置多个解析监测节点，能够通过ping命令、TCP/UDP探测和http（s）协议等方式对服务器健康情况进行监测，当遭受DDoS攻击时，云解析系统会根据负载均衡策略，将流量分摊至不同服务器，保障各条线路都有一定的流量冗余。

4.限制DNS请求频率和IP地址数量。可以通过速率限制、IP封锁和反垃圾邮件等技术控制DNS请求的频率和IP地址数量，能够有效减少DNS DDoS攻击的影响。

中科三方除了利用弹性带宽去“硬抗”DDoS攻击外，还能根据特定的流量算法，对发起解析请求的IP地址做出精准判断，智能识别哪些是正常的请求，哪些是恶意的攻击，从而对恶意流量做出及时过滤和清洗。

5.安装DDoS 防火墙。中科三方云解析配备专业的DDoS防火墙，可有效抵御DDoS、UDP Flood、ICMP、GMP、SYN Flood、ARP攻击、非TCP/IP协议层攻击等其他多种的未知攻击，DDoS防火墙独特的抗攻击算法，可实现使用极少资源防御大量攻击的效果。DDoS防火墙还具备监控功能，一旦发现服务器遭受攻击，客户端和服务器端将同时收到警告信息。

6.加强网络安全意识和培训。网络安全意识和培训是防御DNS DDoS攻击的重要环节，对网络管理员进行专业技能培训，提高网络安全意识，能够避免在工作中造成安全漏洞和失误。