Ce que nous faisons · Réseau: DNS autoritaire et reverse DNS, exploités comme une infrastructure
Nous exploitons notre propre DNS autoritaire sur PowerDNS, sur deux systèmes autonomes et deux continents, avec un hidden primary qui n'est jamais exposé au public et une règle : chaque adresse IP que nous attribuons reçoit un enregistrement reverse. Vos zones et les nôtres sont servies par le même parc durci.
De quoi il s'agit
Le DNS autoritaire répond à la question « où vit ce nom » pour vos domaines, et le reverse DNS répond à la question inverse pour vos adresses. Nous exploitons les deux comme une infrastructure de base, avec la même redondance, la même supervision et la même discipline de changement que nos routeurs.
Comment nous le construisons
- Un hidden primary. Il se réplique, sur un réseau strictement interne, vers des secondaires publics à Athènes, sur des systèmes autonomes différents, et à Toronto, sur des plateformes de virtualisation distinctes, autant de domaines de panne indépendants.
- dnsdist devant chaque serveur public. PowerDNS n'écoute que sur localhost. dnsdist tient le port public et applique les contrôles qu'un load balancer générique ne sait pas appliquer : les requêtes ANY sont refusées, le débit de requêtes par adresse est plafonné, les rafales de résolutions en échec déclenchent des blocages dynamiques automatiques, et un plafond sur le débit de réponses neutralise l'amplification.
- DNSSEC sans jonglage de clés. Les clés de signature se répliquent avec la base de données, de sorte que chaque secondaire signe à l'identique, sans distribution de clés séparée qui pourrait mal tourner.
- Le reverse DNS comme règle, pas comme demande. Chaque adresse que nous attribuons à une interface, à un service ou à un hôte reçoit un enregistrement reverse dans la même session de travail.
- Surveillé toutes les dix minutes. Un moniteur du parc vérifie l'état et le retard de la réplication, compare le serial de chaque zone sur chaque serveur, compare le nombre d'enregistrements, et confirme que le hidden primary n'est jamais apparu dans un enregistrement NS ou SOA public.
Ce dont il vous protège
- De l'amplification et des rafales de sous-domaines aléatoires qui mettent vos serveurs de noms à terre.
- D'une panne d'un seul site, d'une seule plateforme ou d'un seul réseau qui rend votre domaine impossible à résoudre.
- D'une incohérence de reverse DNS qui fait rejeter votre courrier ou échouer un audit de conformité.
- D'une zone qui répond silencieusement différemment selon le serveur de noms.
- De l'exposition sur internet du serveur qui détient vos données maîtres.
En pratique
Une bascule prouvée avant le changement au registre. Lorsque nous avons migré un grand ensemble de zones sur ce parc, le changement au registre a attendu deux cycles complets de vérification, séparés par un redémarrage à froid de chaque serveur, pour prouver que l'ensemble du parc revient proprement de lui-même.
Pourquoi EuroVPS
- Un hidden primary et des secondaires publics sur des réseaux et des continents distincts.
- Une protection dnsdist sur chaque serveur public, conçue pour les attaques DNS et non pour du trafic générique.
- Une signature DNSSEC identique partout, par conception.
- Un enregistrement reverse pour chaque adresse, comme règle permanente.
- Une supervision qui vérifie les réponses, pas seulement si les serveurs sont allumés.
Questions fréquentes
Pouvez-vous héberger le DNS de mon domaine ? Oui. Vos zones sont servies par le même parc que les nôtres, avec DNSSEC disponible.
Puis-je avoir mon propre cluster DNS dédié ? Oui. Nous construisons des clusters PowerDNS dédiés pour les clients qui veulent le leur, y compris répartis géographiquement. Voir les clusters DNS infogérés.
Configurez-vous le reverse DNS pour mes adresses ? Oui. Chaque adresse que nous attribuons reçoit un enregistrement reverse, et nous définissons des noms PTR personnalisés sur demande.
Pouvez-vous migrer mon DNS depuis un fournisseur cloud sans interruption ? Oui. Nous vérifions la nouvelle zone par rapport à la zone en production avant tout changement, et nous échelonnons les mouvements DNSSEC pour que la validation ne casse jamais. Lisez comment nous avons aidé un client à quitter le DNS cloud pour un cluster à lui.
Si vous voulez un DNS exploité comme une infrastructure, parlez à un ingénieur.
Votre prochain partenaire d'infrastructure
Examinons votre environnement.
Dites-nous ce que vous faites tourner aujourd'hui et ce qui doit s'améliorer. Un ingénieur examinera votre demande et vous aidera à planifier la suite.
+357 222 32280
Commençons par votre environnement.
Un peu de contexte nous aide à démarrer la bonne conversation.