Was wir tun · Netzwerk: Autoritatives DNS und Reverse DNS, betrieben als Infrastruktur
Wir betreiben unser eigenes autoritatives DNS auf PowerDNS, über zwei autonome Systeme und zwei Kontinente, mit einem Hidden Primary, der nie öffentlich erreichbar ist, und einer Regel: Jede IP-Adresse, die wir vergeben, bekommt einen Reverse-Eintrag. Ihre Zonen und unsere werden von derselben gehärteten Infrastruktur ausgeliefert.
Was es ist
Autoritatives DNS beantwortet für Ihre Domains die Frage «wo lebt dieser Name», und Reverse DNS beantwortet die umgekehrte Frage für Ihre Adressen. Wir betreiben beides als Kerninfrastruktur, mit derselben Redundanz, demselben Monitoring und derselben Änderungsdisziplin wie unsere Router.
Wie wir es bauen
- Ein Hidden Primary. Er repliziert über ein rein internes Netzwerk auf öffentliche Secondaries in Athen, in unterschiedlichen autonomen Systemen, und in Toronto, auf getrennten Virtualisierungsplattformen als unabhängige Failure Domains.
- dnsdist vor jedem öffentlichen Server. PowerDNS lauscht nur auf localhost. dnsdist hält den öffentlichen Port und setzt Kontrollen durch, die ein generischer Load Balancer nicht kann: ANY-Anfragen werden abgewiesen, die Anfragerate pro Adresse ist gedeckelt, Fluten fehlschlagender Abfragen lösen automatisch dynamische Sperren aus, und eine Begrenzung der Antwortrate macht Amplification wirkungslos.
- DNSSEC ohne Schlüsselverschiebung. Die Signaturschlüssel replizieren mit der Datenbank, sodass jeder Secondary identisch signiert, ohne eine separate Schlüsselverteilung, bei der etwas schiefgehen könnte.
- Reverse DNS als Regel, nicht als Wunsch. Jede Adresse, die wir einem Interface, einem Dienst oder einem Host zuweisen, bekommt in derselben Arbeitssitzung einen Reverse-Eintrag.
- Alle zehn Minuten geprüft. Ein Infrastruktur-Monitor prüft Zustand und Verzögerung der Replikation, vergleicht die Seriennummer jeder Zone auf jedem Server, vergleicht die Anzahl der Einträge und bestätigt, dass der Hidden Primary nie in einem öffentlichen NS- oder SOA-Eintrag aufgetaucht ist.
Wovor es Sie schützt
- Vor Amplification und Fluten zufälliger Subdomains, die Ihre Nameserver lahmlegen.
- Vor einem Ausfall eines einzelnen Standorts, einer Plattform oder eines Netzwerks, der Ihre Domain unauflösbar macht.
- Vor einer Reverse-DNS-Abweichung, die Ihre E-Mails abweisen lässt oder einen Compliance-Scan scheitern lässt.
- Vor einer Zone, die auf verschiedenen Nameservern stillschweigend unterschiedlich antwortet.
- Davor, den Server mit Ihren Stammdaten dem Internet auszusetzen.
In der Praxis
Ein Cutover, bewiesen vor der Änderung bei der Registry. Als wir einen großen Satz Zonen auf diese Infrastruktur umzogen, wartete die Änderung bei der Registry auf zwei vollständige Verifizierungsrunden, getrennt durch einen Kaltstart jedes Servers, um zu beweisen, dass die gesamte Infrastruktur von selbst sauber wieder hochkommt.
Warum EuroVPS
- Ein Hidden Primary und öffentliche Secondaries in getrennten Netzwerken und auf getrennten Kontinenten.
- dnsdist-Schutz auf jedem öffentlichen Server, gebaut für DNS-Angriffe statt für generischen Verkehr.
- DNSSEC-Signierung, die überall identisch ist, by design.
- Ein Reverse-Eintrag für jede Adresse, als feste Regel.
- Monitoring, das die Antworten prüft, nicht nur, ob die Server laufen.
Häufige Fragen
Können Sie das DNS meiner Domain hosten? Ja. Ihre Zonen werden von derselben Infrastruktur ausgeliefert wie unsere eigenen, DNSSEC verfügbar.
Kann ich ein eigenes dediziertes DNS-Cluster bekommen? Ja. Wir bauen dedizierte PowerDNS-Cluster für Kunden, die ein eigenes wollen, auch geografisch verteilt. Siehe Managed-DNS-Cluster.
Setzen Sie Reverse DNS für meine Adressen? Ja. Jede Adresse, die wir vergeben, bekommt einen Reverse-Eintrag, und auf Wunsch setzen wir individuelle PTR-Namen.
Können Sie mein DNS ohne Ausfallzeit von einem Cloud-Anbieter wegziehen? Ja. Wir verifizieren die neue Zone gegen die laufende, bevor sich etwas ändert, und führen DNSSEC-Umzüge in Stufen durch, damit die Validierung nie bricht. Lesen Sie, wie wir einem Kunden geholfen haben, das Cloud-DNS gegen ein eigenes Cluster zu tauschen.
Wenn Sie DNS wollen, das als Infrastruktur betrieben wird, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.