Qué hacemos · Plataformas: DNS autoritativo y recursivo sobre PowerDNS
Construimos y operamos clústeres PowerDNS que responden por sus dominios desde sedes separadas en redes separadas, con la copia maestra de sus zonas oculta donde internet no puede llegar nunca. Para sus servidores, operamos resolvers validantes que responden rápido y rechazan las respuestas falsificadas.
Qué es
- h2: Qué es
Dos servicios, juntos o por separado.
DNS autoritativo. Sus zonas servidas por su propio clúster, o alojadas en el nuestro: un hidden primary que guarda la verdad y un conjunto de secundarios públicos en distintos datacenters, en distintas redes, en distintos continentes si así lo desea. Firma DNSSEC, interfaz web para su equipo y API para su automatización.
DNS recursivo. Resolvers validantes para los servidores y redes que operamos para usted, de modo que cada consulta que hacen sus aplicaciones se responda cerca y se compruebe con DNSSEC.
Cómo lo construimos
- h2: Cómo lo construimos
El primary nunca responde a internet. No tiene dirección pública y nunca aparece en sus registros de nameserver. Es donde su equipo y su automatización hacen los cambios, y desde donde esos cambios se replican de forma privada a los secundarios.
Los secundarios soportan la carga. Los colocamos en dominios de fallo separados: distintos datacenters, distintas redes, distintas plataformas de virtualización.
Nada habla directamente con PowerDNS. En cada máquina pública, dnsdist mira hacia internet y PowerDNS escucha solo en la propia máquina. dnsdist está hecho para DNS: rechaza los tipos de consulta usados para amplificación, rechaza preguntas sobre dominios que no servimos antes de que lleguen al backend, limita los bytes que enviará a una misma dirección y bloquea automáticamente las avalanchas de subdominios aleatorios y de errores, sin ninguna persona en el bucle. Comprueba la salud del backend con una consulta real, de modo que una base de datos rota se retira del servicio en lugar de responder desde ella.
El firewall también está hecho para DNS. El tráfico autoritativo se atiende sin estado, de modo que una avalancha de consultas no pueda llenar la tabla de estados de un firewall y tirar todo lo demás con ella.
Las conmutaciones se ensayan. Antes de cambiar el registro, cada servidor del nuevo clúster se reinicia para demostrar que vuelve por sí solo, y el traspaso de DNSSEC se secuencia para que los resolvers validantes sigan confiando en el dominio en todo momento.
Los resolvers validan, y lo demostramos. Nuestros resolvers comprueban DNSSEC en cada respuesta, y los probamos contra un dominio firmado deliberadamente mal. Si ese dominio llega a resolverse alguna vez, la validación está desactivada y nos enteramos.
De qué le protege
-
h2: De qué le protege
-
Pagar a un proveedor cloud por consulta y por zona, para siempre, por un servicio que puede ser suyo.
- Que un único host DNS, o un único proveedor, sea el motivo por el que toda su empresa está inaccesible.
- Que sus nameservers se usen para amplificar ataques contra otros.
- Avalanchas de subdominios aleatorios que agotan un backend DNS.
- Una tabla de estados de firewall llena por una avalancha de consultas.
- Respuestas falsificadas que llegan a sus aplicaciones a través de un resolver que no valida.
En la práctica
- h2: En la práctica
Un cliente llegó a nosotros con todas sus zonas en AWS Route53 y una factura mensual que crecía con cada consulta. Le construimos un clúster PowerDNS propio, geográficamente distribuido: un hidden primary en una red privada, secundarios públicos filtrados en Atenas y en Toronto en redes separadas, cada uno detrás de dnsdist. Trasladamos las zonas, comparamos cada registro con Route53 hasta que las únicas diferencias fueran las que buscábamos, secuenciamos el traspaso de DNSSEC en el registro para que los resolvers validantes siguieran confiando en el dominio en todo momento, reiniciamos cada servidor para demostrar que el clúster volvía por sí solo, y solo entonces movimos los nameservers. El cliente es ahora propietario del clúster por completo y ahorra una cantidad considerable cada mes.
Por qué EuroVPS
-
h2: Por qué EuroVPS
-
Hidden primary y secundarios filtrados como diseño estándar, no como una mejora.
- dnsdist delante de cada servidor público, con protección automática contra avalanchas.
- Secundarios en datacenters separados en redes separadas, en varios continentes si así lo desea.
- Resolvers que validan DNSSEC, probados a propósito contra un dominio roto.
Preguntas frecuentes
- h2: Preguntas frecuentes
- ¿Podemos seguir usando DNSSEC? Sí. Firmamos sus zonas y gestionamos el traspaso en su registro en el orden correcto, de modo que los resolvers validantes sigan confiando en su dominio durante la migración.
- ¿Pueden nuestras herramientas seguir cambiando registros automáticamente? Sí. PowerDNS tiene una API completa, y hay una interfaz web para quien la prefiera.
- ¿Tenemos nuestro propio clúster o espacio en el suyo? Cualquiera de los dos. Podemos alojar sus zonas en nuestra infraestructura, o construir un clúster que le pertenezca solo a usted.
- ¿Cuánto dura una migración desde Route53 u otro proveedor? La construcción y la verificación llevan días, no meses. El cambio en el registro en sí es un instante, y se hace solo cuando el nuevo clúster ha superado todas las comprobaciones.
- ¿Pueden operar resolvers para nuestros servidores? Sí, para los servidores y redes que operamos para usted, con la validación DNSSEC activada.
- closing: Sea dueño de la primera consulta que hacen sus clientes. Hable con un ingeniero.
Su próximo socio de infraestructura
Veamos su infraestructura.
Cuéntenos qué ejecuta hoy y qué necesita mejorar. Un ingeniero revisará su solicitud y le ayudará a planificar el siguiente paso.
+357 222 32280
Empecemos por su infraestructura.
Un poco de contexto nos ayuda a empezar la conversación adecuada.