Τι κάνουμε · Πλατφόρμες: Authoritative και recursive DNS σε PowerDNS
Χτίζουμε και λειτουργούμε clusters PowerDNS που απαντούν για τα domains σας από ξεχωριστά sites σε ξεχωριστά δίκτυα, με το κύριο αντίγραφο των ζωνών σας κρυμμένο εκεί όπου το internet δεν μπορεί ποτέ να φτάσει. Για τους servers σας, λειτουργούμε validating resolvers που απαντούν γρήγορα και απορρίπτουν πλαστές απαντήσεις.
Τι είναι
- h2: Τι είναι
Δύο υπηρεσίες, μαζί ή χωριστά.
Authoritative DNS. Οι ζώνες σας εξυπηρετούνται από το δικό σας cluster, ή φιλοξενούνται στο δικό μας: ένας hidden primary που κρατά την αλήθεια και ένα σύνολο δημόσιων secondaries σε διαφορετικά datacenters, σε διαφορετικά δίκτυα, σε διαφορετικές ηπείρους αν το θέλετε. Υπογραφή DNSSEC, web interface για την ομάδα σας και API για την αυτοματοποίησή σας.
Recursive DNS. Validating resolvers για τους servers και τα δίκτυα που λειτουργούμε για εσάς, ώστε κάθε lookup που κάνουν οι εφαρμογές σας να απαντιέται από κοντά και να ελέγχεται με DNSSEC.
Πώς το χτίζουμε
- h2: Πώς το χτίζουμε
Ο primary δεν απαντά ποτέ στο internet. Δεν έχει δημόσια διεύθυνση και δεν εμφανίζεται ποτέ στις εγγραφές nameserver σας. Εκεί κάνουν αλλαγές η ομάδα σας και η αυτοματοποίησή σας, και από εκεί οι αλλαγές αναπαράγονται ιδιωτικά στους secondaries.
Οι secondaries σηκώνουν το φορτίο. Τους τοποθετούμε σε ξεχωριστά failure domains: διαφορετικά datacenters, διαφορετικά δίκτυα, διαφορετικές πλατφόρμες virtualization.
Τίποτα δεν μιλάει απευθείας με το PowerDNS. Σε κάθε δημόσιο μηχάνημα, το dnsdist βλέπει προς το internet και το PowerDNS ακούει μόνο στο ίδιο το μηχάνημα. Το dnsdist είναι φτιαγμένο για DNS: απορρίπτει τους τύπους ερωτημάτων που χρησιμοποιούνται για amplification, απορρίπτει ερωτήσεις για domains που δεν εξυπηρετούμε πριν φτάσουν στο backend, περιορίζει τα bytes που θα στείλει σε οποιαδήποτε μεμονωμένη διεύθυνση, και μπλοκάρει αυτόματα πλημμύρες τυχαίων subdomains και σφαλμάτων, χωρίς άνθρωπο στον βρόχο. Κάνει health check στο backend με πραγματικό ερώτημα, ώστε μια χαλασμένη βάση δεδομένων να βγαίνει εκτός υπηρεσίας αντί να απαντά.
Και το firewall είναι φτιαγμένο για DNS. Η authoritative κίνηση εξυπηρετείται stateless, ώστε μια πλημμύρα ερωτημάτων να μην μπορεί να γεμίσει τον πίνακα καταστάσεων ενός firewall και να ρίξει μαζί της όλα τα υπόλοιπα.
Τα cutovers γίνονται με πρόβα. Πριν αλλάξει το μητρώο, κάθε server του νέου cluster επανεκκινείται για να αποδείξει ότι επανέρχεται μόνος του, και η παράδοση του DNSSEC γίνεται με τη σωστή σειρά ώστε οι validating resolvers να συνεχίσουν να εμπιστεύονται το domain σε όλη τη διάρκεια.
Οι resolvers κάνουν validation, και το αποδεικνύουμε. Οι resolvers μας ελέγχουν το DNSSEC σε κάθε απάντηση, και τους δοκιμάζουμε απέναντι σε ένα domain που είναι σκόπιμα λάθος υπογεγραμμένο. Αν αυτό το domain επιλυθεί ποτέ, το validation είναι απενεργοποιημένο και το μαθαίνουμε.
Από τι σας προστατεύει
-
h2: Από τι σας προστατεύει
-
Να πληρώνετε έναν πάροχο cloud ανά ερώτημα και ανά ζώνη, για πάντα, για μια υπηρεσία που μπορείτε να κατέχετε.
- Ένας μόνο DNS host, ή ένας μόνο πάροχος, να είναι ο λόγος που ολόκληρη η εταιρεία σας είναι απρόσιτη.
- Οι nameservers σας να χρησιμοποιούνται για amplification επιθέσεων εναντίον κάποιου άλλου.
- Πλημμύρες τυχαίων subdomains που εξαντλούν ένα DNS backend.
- Ένας πίνακας καταστάσεων firewall γεμάτος από πλημμύρα ερωτημάτων.
- Πλαστές απαντήσεις που φτάνουν στις εφαρμογές σας μέσα από έναν resolver που δεν κάνει validation.
Στην πράξη
- h2: Στην πράξη
Ένας πελάτης ήρθε σε εμάς με όλες του τις ζώνες στο AWS Route53 και έναν μηνιαίο λογαριασμό που μεγάλωνε με κάθε ερώτημα. Του χτίσαμε ένα δικό του, γεωγραφικά κατανεμημένο cluster PowerDNS: έναν hidden primary σε ιδιωτικό δίκτυο, φιλτραρισμένους δημόσιους secondaries σε Αθήνα και Τορόντο σε ξεχωριστά δίκτυα, καθέναν πίσω από dnsdist. Μεταφέραμε τις ζώνες, συγκρίναμε κάθε εγγραφή με το Route53 μέχρι οι μόνες διαφορές να είναι αυτές που θέλαμε, κάναμε την παράδοση του DNSSEC στο μητρώο με τη σωστή σειρά ώστε οι validating resolvers να συνεχίσουν να εμπιστεύονται το domain σε όλη τη διάρκεια, επανεκκινήσαμε κάθε server για να αποδείξουμε ότι το cluster επανέρχεται μόνο του, και μόνο τότε μετακινήσαμε τους nameservers. Ο πελάτης κατέχει πλέον το cluster εξ ολοκλήρου και εξοικονομεί σημαντικά χρήματα κάθε μήνα.
Γιατί EuroVPS
-
h2: Γιατί EuroVPS
-
Hidden primary και φιλτραρισμένοι secondaries ως το standard σχέδιο, όχι ως αναβάθμιση.
- dnsdist μπροστά από κάθε δημόσιο server, με αυτόματη προστασία από πλημμύρες.
- Secondaries σε ξεχωριστά datacenters σε ξεχωριστά δίκτυα, σε διαφορετικές ηπείρους αν το θέλετε.
- Resolvers που κάνουν validation DNSSEC, δοκιμασμένοι επίτηδες απέναντι σε χαλασμένο domain.
Συχνές ερωτήσεις
- h2: Συχνές ερωτήσεις
- Μπορούμε να συνεχίσουμε να χρησιμοποιούμε DNSSEC; Ναι. Υπογράφουμε τις ζώνες σας και χειριζόμαστε την παράδοση στο μητρώο σας με τη σωστή σειρά, ώστε οι validating resolvers να συνεχίσουν να εμπιστεύονται το domain σας κατά τη μεταφορά.
- Μπορούν τα εργαλεία μας να αλλάζουν ακόμα εγγραφές αυτόματα; Ναι. Το PowerDNS έχει πλήρες API, και υπάρχει web interface για όσους προτιμούν.
- Παίρνουμε δικό μας cluster ή χώρο στο δικό σας; Όποιο από τα δύο. Μπορούμε να φιλοξενήσουμε τις ζώνες σας στην υποδομή μας, ή να χτίσουμε ένα cluster που ανήκει αποκλειστικά σε εσάς.
- Πόσο διαρκεί μια μεταφορά από Route53 ή άλλον πάροχο; Το χτίσιμο και η επαλήθευση παίρνουν μέρες, όχι μήνες. Η ίδια η αλλαγή στο μητρώο είναι μια στιγμή, και γίνεται μόνο αφού το νέο cluster έχει περάσει κάθε έλεγχο.
- Μπορείτε να λειτουργείτε resolvers για τους servers μας; Ναι, για servers και δίκτυα που λειτουργούμε για εσάς, με ενεργό validation DNSSEC.
- closing: Αποκτήστε το πρώτο lookup που κάνουν οι πελάτες σας. Μιλήστε με έναν μηχανικό.
Ο επόμενος συνεργάτης σας στην υποδομή
Ας δούμε την υποδομή σας.
Πείτε μας τι τρέχετε σήμερα και τι χρειάζεται βελτίωση. Ένας μηχανικός θα εξετάσει το αίτημά σας και θα σας βοηθήσει να σχεδιάσετε το επόμενο βήμα.
+357 222 32280
Ας ξεκινήσουμε από την υποδομή σας.
Λίγο πλαίσιο μάς βοηθά να ξεκινήσουμε τη σωστή συζήτηση.