Was wir tun · Plattformen: Autoritatives und rekursives DNS auf PowerDNS
Wir bauen und betreiben PowerDNS-Cluster, die für Ihre Domains von getrennten Standorten in getrennten Netzen antworten, mit der Hauptkopie Ihrer Zonen dort versteckt, wo das Internet sie nie erreichen kann. Für Ihre Server betreiben wir validierende Resolver, die schnell antworten und gefälschte Antworten zurückweisen.
Was es ist
Zwei Dienste, zusammen oder einzeln.
Autoritatives DNS. Ihre Zonen, ausgeliefert von Ihrem eigenen Cluster oder gehostet auf unserem: ein Hidden Primary, der die Wahrheit hält, und eine Gruppe öffentlicher Secondaries in verschiedenen Rechenzentren, in verschiedenen Netzen, auf verschiedenen Kontinenten, wenn Sie das wollen. DNSSEC-Signierung, eine Weboberfläche für Ihr Team und eine API für Ihre Automatisierung.
Rekursives DNS. Validierende Resolver für die Server und Netze, die wir für Sie betreiben, damit jede Abfrage Ihrer Anwendungen in der Nähe beantwortet und gegen DNSSEC geprüft wird.
Wie wir es bauen
Der Primary antwortet dem Internet nie. Er hat keine öffentliche Adresse und taucht nie in Ihren Nameserver-Einträgen auf. Dort nehmen Ihr Team und Ihre Automatisierung Änderungen vor, und er repliziert diese Änderungen privat an die Secondaries.
Die Secondaries tragen die Last. Wir platzieren sie in getrennten Failure Domains: verschiedene Rechenzentren, verschiedene Netze, verschiedene Virtualisierungsplattformen.
Nichts spricht direkt mit PowerDNS. Auf jedem öffentlichen System steht dnsdist zum Internet, und PowerDNS lauscht nur auf der Maschine selbst. dnsdist ist für DNS gebaut: Es weist die Abfragetypen ab, die für Amplification benutzt werden, weist Fragen zu Domains, die wir nicht bedienen, ab, bevor sie das Backend erreichen, begrenzt die Bytes, die es an eine einzelne Adresse sendet, und blockiert Fluten zufälliger Subdomains und Fehlerfluten automatisch, ohne Mensch in der Schleife. Es prüft das Backend mit einer echten Abfrage, sodass eine defekte Datenbank aus dem Dienst genommen wird, statt aus ihr zu antworten.
Die Firewall ist ebenfalls für DNS gebaut. Autoritativer Verkehr wird zustandslos behandelt, sodass eine Abfrageflut nicht die Zustandstabelle einer Firewall füllen und alles andere mit herunterreißen kann.
Cutovers werden geprobt. Bevor sich bei der Registry etwas ändert, wird jeder Server im neuen Cluster neu gestartet, um zu beweisen, dass er von selbst wieder hochkommt, und die DNSSEC-Übergabe ist so sequenziert, dass validierende Resolver der Domain die ganze Zeit vertrauen.
Resolver validieren, und wir beweisen es. Unsere Resolver prüfen DNSSEC bei jeder Antwort, und wir testen sie gegen eine Domain, die absichtlich falsch signiert ist. Löst sich diese Domain jemals auf, ist die Validierung aus, und wir wissen es.
Wovor es Sie schützt
- Davor, einem Cloud-Anbieter pro Abfrage und pro Zone zu zahlen, für immer, für einen Dienst, den Sie besitzen können.
- Davor, dass ein einzelner DNS-Host oder ein einzelner Anbieter der Grund ist, warum Ihr ganzes Unternehmen unerreichbar ist.
- Davor, dass Ihre Nameserver benutzt werden, um Angriffe auf andere zu verstärken.
- Vor Fluten zufälliger Subdomains, die ein DNS-Backend erschöpfen.
- Vor einer Firewall-Zustandstabelle, die eine Abfrageflut füllt.
- Vor gefälschten Antworten, die Ihre Anwendungen über einen Resolver erreichen, der nicht validiert.
In der Praxis
Ein Kunde kam mit jeder einzelnen seiner Zonen auf AWS Route53 zu uns, und mit einer monatlichen Rechnung, die mit jeder Abfrage wuchs. Wir bauten ihm ein eigenes, geografisch verteiltes PowerDNS-Cluster: ein Hidden Primary in einem privaten Netz, gefilterte öffentliche Secondaries in Athen und in Toronto in getrennten Netzen, jeder hinter dnsdist. Wir trugen die Zonen hinüber, verglichen jeden Eintrag mit Route53, bis die einzigen Unterschiede die beabsichtigten waren, sequenzierten die DNSSEC-Übergabe bei der Registry so, dass validierende Resolver der Domain durchgehend vertrauten, starteten jeden Server neu, um zu beweisen, dass das Cluster von selbst wieder hochkam, und zogen erst dann die Nameserver um. Der Kunde besitzt das Cluster heute vollständig und spart jeden Monat sehr viel Geld.
Warum EuroVPS
- Ein Hidden Primary und gefilterte Secondaries als Standardentwurf, nicht als Upgrade.
- dnsdist vor jedem öffentlichen Server, mit automatischem Flutschutz.
- Secondaries in getrennten Rechenzentren in getrennten Netzen, über Kontinente hinweg, wenn Sie das wollen.
- Resolver, die DNSSEC validieren, absichtlich gegen eine defekte Domain getestet.
Häufige Fragen
Können wir DNSSEC weiter nutzen? Ja. Wir signieren Ihre Zonen und erledigen die Übergabe bei Ihrer Registry in der richtigen Reihenfolge, damit validierende Resolver Ihrer Domain während einer Migration weiter vertrauen.
Können unsere Werkzeuge Einträge weiterhin automatisch ändern? Ja. PowerDNS hat eine vollständige API, und es gibt eine Weboberfläche für alle, die eine bevorzugen.
Bekommen wir ein eigenes Cluster oder Platz auf Ihrem? Beides ist möglich. Wir können Ihre Zonen auf unserer Infrastruktur hosten oder ein Cluster bauen, das allein Ihnen gehört.
Wie lange dauert ein Umzug von Route53 oder einem anderen Anbieter? Aufbau und Verifizierung dauern Tage, nicht Monate. Die Änderung bei der Registry selbst ist ein Augenblick und erfolgt erst, nachdem das neue Cluster jede Prüfung bestanden hat.
Können Sie Resolver für unsere Server betreiben? Ja, für Server und Netze, die wir für Sie betreiben, mit eingeschalteter DNSSEC-Validierung.
Besitzen Sie die erste Abfrage, die Ihre Kunden stellen. Sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.