Solusi 1:
Offset untuk bendera DNS dalam paket ip adalah 28bytes dan Anda perlu memeriksa 2 bit terakhir dalam aturan fieldu32 2byte untuk itu adalah "28&0x000F=0x03"
Aturan pengujian saya adalah:iptables -A INPUT -m u32 -p udp --sport 53 --u32 "28&0x000F=0x03" -j LOG
BTW Saya suka ide untuk menggunakan aturan firewall ini untuk DNS cakrawala terpisah, akan mengujinya untuk beberapa jaringan saya.
Solusi 2:
Ini menjatuhkan balasan "ditolak" BIND9 ke kueri UDP palsu saat ini!
iptables -F OUTPUT
#iptables -A OUTPUT -p udp --sport 53 -j LOG --log-prefix="OUT-UPD-RAW : "
#iptables -A OUTPUT -m u32 -p udp --sport 53 --u32 "28&0xFFFF=0x8105" -j LOG --log-prefix="STOPPED-DNS-REJECTED-REPLY "
iptables -A OUTPUT -m u32 -p udp --sport 53 --u32 "28&0xFFFF=0x8105" -j DROP
iptables -A OUTPUT -p udp --sport 53 -j LOG --log-prefix="OUT-UPD-SENT: "