Ce que nous faisons · Plateformes: DNS autoritaire et récursif sur PowerDNS
Nous construisons et exploitons des clusters PowerDNS qui répondent pour vos domaines depuis des sites distincts sur des réseaux distincts, avec la copie maître de vos zones cachée là où l'internet ne peut jamais l'atteindre. Pour vos serveurs, nous exploitons des résolveurs validants qui répondent vite et refusent les réponses forgées.
De quoi il s'agit
- h2: De quoi il s'agit
Deux services, vendus ensemble ou séparément.
DNS autoritaire. Vos zones servies par votre propre cluster, ou hébergées sur le nôtre : un hidden primary qui détient la vérité et un ensemble de secondaires publics dans des datacenters différents, sur des réseaux différents, sur des continents différents si vous le souhaitez. Signature DNSSEC, une interface web pour votre équipe et une API pour votre automatisation.
DNS récursif. Des résolveurs validants pour les serveurs et les réseaux que nous exploitons pour vous, de sorte que chaque résolution faite par vos applications reçoit une réponse de proximité, vérifiée par DNSSEC.
Comment nous le construisons
- h2: Comment nous le construisons
Le primary ne répond jamais à l'internet. Il n'a pas d'adresse publique et n'apparaît jamais dans vos enregistrements de serveurs de noms. C'est là que votre équipe et votre automatisation font leurs changements, et il réplique ces changements en privé vers les secondaires.
Les secondaires portent la charge. Nous les plaçons dans des domaines de panne distincts : des datacenters différents, des réseaux différents, des plateformes de virtualisation différentes.
Rien ne parle directement à PowerDNS. Sur chaque machine publique, dnsdist fait face à l'internet et PowerDNS n'écoute que sur la machine elle-même. dnsdist est fait pour le DNS : il refuse les types de requêtes utilisés pour l'amplification, refuse les questions sur des domaines que nous ne servons pas avant qu'elles n'atteignent le backend, limite les octets qu'il envoie à une même adresse, et bloque automatiquement les rafales de sous-domaines aléatoires et d'erreurs, sans intervention humaine. Il vérifie la santé du backend avec une vraie requête, de sorte qu'une base de données en panne est retirée du service au lieu de servir des réponses.
Le firewall aussi est fait pour le DNS. Le trafic autoritaire est traité de manière stateless, de sorte qu'une rafale de requêtes ne peut pas remplir la table d'états d'un firewall et tout emporter avec elle.
Les bascules sont répétées. Avant le changement au registre, chaque serveur du nouveau cluster est redémarré pour prouver qu'il revient de lui-même, et le passage de relais DNSSEC est séquencé pour que les résolveurs validants continuent de faire confiance au domaine d'un bout à l'autre.
Les résolveurs valident, et nous le prouvons. Nos résolveurs vérifient DNSSEC sur chaque réponse, et nous les testons contre un domaine délibérément mal signé. Si ce domaine se résout un jour, c'est que la validation est désactivée, et nous le savons.
Ce dont il vous protège
-
h2: Ce dont il vous protège
-
Payer un fournisseur cloud à la requête et à la zone, pour toujours, pour un service que vous pouvez posséder.
- Un seul hébergeur DNS, ou un seul fournisseur, qui soit la raison pour laquelle toute votre entreprise est injoignable.
- Vos serveurs de noms utilisés pour amplifier des attaques contre quelqu'un d'autre.
- Des rafales de sous-domaines aléatoires qui épuisent un backend DNS.
- Une table d'états de firewall remplie par une rafale de requêtes.
- Des réponses forgées qui atteignent vos applications à travers un résolveur qui ne valide pas.
En pratique
- h2: En pratique
Un client est venu nous voir avec toutes ses zones sur AWS Route53 et une facture mensuelle qui grossissait à chaque requête. Nous lui avons construit son propre cluster PowerDNS géographiquement réparti : un hidden primary sur un réseau privé, des secondaires publics filtrés à Athènes et à Toronto sur des réseaux distincts, chacun derrière dnsdist. Nous avons transféré les zones, comparé chaque enregistrement avec Route53 jusqu'à ce que les seules différences soient celles que nous voulions, séquencé le passage de relais DNSSEC au registre pour que les résolveurs validants continuent de faire confiance au domaine d'un bout à l'autre, redémarré chaque serveur pour prouver que le cluster revenait de lui-même, et seulement alors déplacé les serveurs de noms. Le client possède désormais le cluster en propre et économise beaucoup d'argent chaque mois.
Pourquoi EuroVPS
-
h2: Pourquoi EuroVPS
-
Un hidden primary et des secondaires filtrés comme conception standard, pas comme option.
- dnsdist devant chaque serveur public, avec protection automatique contre les rafales.
- Des secondaires dans des datacenters distincts sur des réseaux distincts, sur plusieurs continents si vous le souhaitez.
- Des résolveurs qui valident DNSSEC, testés exprès contre un domaine cassé.
Questions fréquentes
- h2: Questions fréquentes
- Pouvons-nous continuer à utiliser DNSSEC ? Oui. Nous signons vos zones et gérons le passage de relais auprès de votre registre dans le bon ordre, pour que les résolveurs validants continuent de faire confiance à votre domaine pendant une migration.
- Nos outils peuvent-ils toujours modifier des enregistrements automatiquement ? Oui. PowerDNS dispose d'une API complète, et il y a une interface web pour ceux qui la préfèrent.
- Avons-nous notre propre cluster ou de l'espace sur le vôtre ? Au choix. Nous pouvons héberger vos zones sur notre parc, ou construire un cluster qui n'appartient qu'à vous.
- Combien de temps prend une migration depuis Route53 ou un autre fournisseur ? La construction et la vérification prennent des jours, pas des mois. Le changement au registre lui-même est l'affaire d'un instant, fait seulement une fois que le nouveau cluster a passé tous les contrôles.
- Pouvez-vous exploiter des résolveurs pour nos serveurs ? Oui, pour les serveurs et les réseaux que nous exploitons pour vous, avec la validation DNSSEC activée.
- closing: Possédez la première résolution que font vos clients. Parler à un ingénieur.
Votre prochain partenaire d'infrastructure
Examinons votre environnement.
Dites-nous ce que vous faites tourner aujourd'hui et ce qui doit s'améliorer. Un ingénieur examinera votre demande et vous aidera à planifier la suite.
+357 222 32280
Commençons par votre environnement.
Un peu de contexte nous aide à démarrer la bonne conversation.