Τι κάνουμε · Δίκτυο: Authoritative DNS και reverse DNS, ως υποδομή
Λειτουργούμε δικό μας authoritative DNS σε PowerDNS, σε δύο αυτόνομα συστήματα και δύο ηπείρους, με έναν hidden primary που δεν εκτίθεται ποτέ στο κοινό και με έναν κανόνα: κάθε διεύθυνση IP που εκχωρούμε αποκτά reverse record. Οι ζώνες σας και οι δικές μας εξυπηρετούνται από την ίδια θωρακισμένη υποδομή.
Τι είναι
Το authoritative DNS απαντά στην ερώτηση «πού ζει αυτό το όνομα» για τα domains σας, και το reverse DNS απαντά στην αντίστροφη ερώτηση για τις διευθύνσεις σας. Λειτουργούμε και τα δύο ως βασική υποδομή, με τον ίδιο πλεονασμό, την ίδια παρακολούθηση και την ίδια πειθαρχία αλλαγών που έχουν οι routers μας.
Πώς το χτίζουμε
- Ένας hidden primary. Αναπαράγεται μέσω αποκλειστικά εσωτερικού δικτύου σε δημόσιους secondaries στην Αθήνα, σε διαφορετικά αυτόνομα συστήματα, και στο Τορόντο, σε ξεχωριστές πλατφόρμες virtualization ως ανεξάρτητα failure domains.
- dnsdist μπροστά από κάθε δημόσιο server. Το PowerDNS ακούει μόνο στο localhost. Το dnsdist κρατά τη δημόσια θύρα και επιβάλλει ελέγχους που ένας γενικός load balancer δεν μπορεί: τα queries τύπου ANY απορρίπτονται, ο ρυθμός queries ανά διεύθυνση έχει όριο, οι καταιγισμοί αποτυχημένων αναζητήσεων ενεργοποιούν αυτόματα δυναμικά blocks, και ένα όριο στον ρυθμό απαντήσεων εξουδετερώνει το amplification.
- DNSSEC χωρίς μετακίνηση κλειδιών. Τα κλειδιά υπογραφής αναπαράγονται μαζί με τη βάση δεδομένων, ώστε κάθε secondary να υπογράφει πανομοιότυπα, χωρίς ξεχωριστή διανομή κλειδιών που θα μπορούσε να πάει στραβά.
- Reverse DNS ως κανόνας, όχι ως αίτημα. Κάθε διεύθυνση που εκχωρούμε σε interface, υπηρεσία ή host αποκτά reverse record στην ίδια συνεδρία εργασίας.
- Παρακολούθηση κάθε δέκα λεπτά. Ένας ελεγκτής της υποδομής ελέγχει την υγεία και την καθυστέρηση του replication, συγκρίνει το serial κάθε ζώνης σε κάθε server, συγκρίνει τον αριθμό των records, και επιβεβαιώνει ότι ο hidden primary δεν έχει εμφανιστεί ποτέ σε δημόσιο NS ή SOA record.
Από τι σας προστατεύει
- Από amplification και καταιγισμούς τυχαίων subdomains που ρίχνουν τους nameservers σας.
- Από μια βλάβη σε ένα site, μια πλατφόρμα ή ένα δίκτυο που κάνει το domain σας μη επιλύσιμο.
- Από μια ασυμφωνία στο reverse DNS που οδηγεί σε απόρριψη της αλληλογραφίας σας ή σε αποτυχία σε έλεγχο συμμόρφωσης.
- Από μια ζώνη που απαντά σιωπηλά διαφορετικά σε διαφορετικούς nameservers.
- Από την έκθεση στο internet του server που κρατά τα κύρια δεδομένα σας.
Στην πράξη
Ένα cutover αποδεδειγμένο πριν από την αλλαγή στο registry. Όταν μεταφέραμε ένα μεγάλο σύνολο ζωνών σε αυτή την υποδομή, η αλλαγή στο registry περίμενε δύο πλήρεις γύρους επαλήθευσης, με μια κρύα επανεκκίνηση κάθε server ανάμεσά τους, για να αποδειχθεί ότι ολόκληρη η υποδομή επανέρχεται καθαρά από μόνη της.
Γιατί EuroVPS
- Ένας hidden primary και δημόσιοι secondaries σε ξεχωριστά δίκτυα και ηπείρους.
- Προστασία dnsdist σε κάθε δημόσιο server, φτιαγμένη για επιθέσεις DNS και όχι για γενική κίνηση.
- Υπογραφή DNSSEC πανομοιότυπη παντού, από σχεδιασμό.
- Reverse record για κάθε διεύθυνση, ως πάγιος κανόνας.
- Παρακολούθηση που ελέγχει τις απαντήσεις, όχι μόνο αν οι servers είναι πάνω.
Συχνές ερωτήσεις
Μπορείτε να φιλοξενήσετε το DNS του domain μου; Ναι. Οι ζώνες σας εξυπηρετούνται από την ίδια υποδομή με τις δικές μας, με DNSSEC διαθέσιμο.
Μπορώ να έχω δικό μου αποκλειστικό DNS cluster; Ναι. Χτίζουμε αποκλειστικά PowerDNS clusters για πελάτες που θέλουν δικό τους, και γεωγραφικά κατανεμημένα. Δείτε τα managed DNS clusters.
Ορίζετε reverse DNS για τις διευθύνσεις μου; Ναι. Κάθε διεύθυνση που εκχωρούμε αποκτά reverse record, και ορίζουμε custom ονόματα PTR κατόπιν αιτήματος.
Μπορείτε να μεταφέρετε το DNS μου από έναν πάροχο cloud χωρίς downtime; Ναι. Επαληθεύουμε τη νέα ζώνη απέναντι στη ζωντανή πριν αλλάξει οτιδήποτε, και κάνουμε τις μετακινήσεις DNSSEC σταδιακά ώστε η επικύρωση να μη σπάσει ποτέ. Διαβάστε πώς βοηθήσαμε έναν πελάτη να αφήσει το cloud DNS για ένα δικό του cluster.
Αν θέλετε DNS που λειτουργεί ως υποδομή, μιλήστε με έναν μηχανικό.
Ο επόμενος συνεργάτης σας στην υποδομή
Ας δούμε την υποδομή σας.
Πείτε μας τι τρέχετε σήμερα και τι χρειάζεται βελτίωση. Ένας μηχανικός θα εξετάσει το αίτημά σας και θα σας βοηθήσει να σχεδιάσετε το επόμενο βήμα.
+357 222 32280
Ας ξεκινήσουμε από την υποδομή σας.
Λίγο πλαίσιο μάς βοηθά να ξεκινήσουμε τη σωστή συζήτηση.