Qué hacemos · Red: DNS autoritativo y DNS inverso, operados como infraestructura
Operamos nuestro propio DNS autoritativo sobre PowerDNS, en dos sistemas autónomos y dos continentes, con un hidden primary que nunca queda expuesto al público y con una regla: cada dirección IP que asignamos recibe un registro inverso. Sus zonas y las nuestras se sirven desde la misma infraestructura bastionada.
Qué es
El DNS autoritativo responde a la pregunta «dónde vive este nombre» para sus dominios, y el DNS inverso responde a la pregunta contraria para sus direcciones. Operamos ambos como infraestructura básica, con la misma redundancia, la misma monitorización y la misma disciplina de cambios que nuestros routers.
Cómo lo construimos
- Un hidden primary. Se replica por una red exclusivamente interna hacia secundarios públicos en Atenas, en sistemas autónomos distintos, y en Toronto, en plataformas de virtualización separadas, como dominios de fallo independientes.
- dnsdist delante de cada servidor público. PowerDNS escucha solo en localhost. dnsdist ocupa el puerto público y aplica los controles que un balanceador de carga genérico no puede: las consultas de tipo ANY se rechazan, la tasa de consultas por dirección tiene un límite, las avalanchas de resoluciones fallidas activan bloqueos dinámicos automáticos y un límite en la tasa de respuestas neutraliza la amplificación.
- DNSSEC sin mover claves. Las claves de firma se replican junto con la base de datos, de modo que cada secundario firma de forma idéntica, sin una distribución de claves aparte en la que algo pueda salir mal.
- DNS inverso como regla, no como petición. Cada dirección que asignamos a una interfaz, un servicio o un host recibe su registro inverso en la misma sesión de trabajo.
- Vigilado cada diez minutos. Un monitor de la infraestructura comprueba la salud y el retardo de la replicación, compara el serial de cada zona en cada servidor, compara el número de registros y confirma que el hidden primary nunca ha aparecido en un registro NS o SOA público.
De qué le protege
- De la amplificación y de las avalanchas de subdominios aleatorios que tumban sus servidores de nombres.
- De que un fallo en una sede, una plataforma o una red deje su dominio sin resolver.
- De una discrepancia en el DNS inverso que haga rechazar su correo o suspender un control de cumplimiento.
- De una zona que responde en silencio de forma distinta en servidores de nombres distintos.
- De exponer a internet el servidor que guarda sus datos maestros.
En la práctica
Un cutover demostrado antes del cambio en el registro. Cuando trasladamos un conjunto grande de zonas a esta infraestructura, el cambio en el registro esperó a dos rondas completas de verificación, separadas por un reinicio en frío de cada servidor, para demostrar que toda la infraestructura vuelve limpia por sí sola.
Por qué EuroVPS
- Un hidden primary y secundarios públicos en redes y continentes distintos.
- Protección dnsdist en cada servidor público, hecha para ataques DNS y no para tráfico genérico.
- Firma DNSSEC idéntica en todas partes, por diseño.
- Un registro inverso por cada dirección, como regla permanente.
- Monitorización que comprueba las respuestas, no solo si los servidores están levantados.
Preguntas frecuentes
¿Pueden alojar el DNS de mi dominio? Sí. Sus zonas se sirven desde la misma infraestructura que las nuestras, con DNSSEC disponible.
¿Puedo tener mi propio clúster DNS dedicado? Sí. Construimos clústeres PowerDNS dedicados para clientes que quieren el suyo propio, incluso distribuido geográficamente. Vea los clústeres DNS gestionados.
¿Configuran el DNS inverso de mis direcciones? Sí. Cada dirección que asignamos recibe un registro inverso, y configuramos nombres PTR personalizados a petición.
¿Pueden trasladar mi DNS desde un proveedor cloud sin downtime? Sí. Verificamos la nueva zona frente a la zona en producción antes de que cambie nada, y hacemos los movimientos de DNSSEC por fases para que la validación nunca se rompa. Lea cómo ayudamos a un cliente a dejar el DNS del cloud por un clúster propio.
Si quiere un DNS operado como infraestructura, hable con un ingeniero.
Su próximo socio de infraestructura
Veamos su infraestructura.
Cuéntenos qué ejecuta hoy y qué necesita mejorar. Un ingeniero revisará su solicitud y le ayudará a planificar el siguiente paso.
+357 222 32280
Empecemos por su infraestructura.
Un poco de contexto nos ayuda a empezar la conversación adecuada.