Cosa facciamo · Rete: DNS autoritativo e reverse DNS, gestiti come infrastruttura
Gestiamo il nostro DNS autoritativo su PowerDNS, su due sistemi autonomi e due continenti, con un hidden primary che non è mai esposto al pubblico e una regola: ogni indirizzo IP che assegniamo riceve un record reverse. Le vostre zone e le nostre sono servite dalla stessa infrastruttura protetta.
Cos'è
Il DNS autoritativo risponde alla domanda «dove vive questo nome» per i vostri domini, e il reverse DNS risponde alla domanda opposta per i vostri indirizzi. Gestiamo entrambi come infrastruttura di base, con la stessa ridondanza, lo stesso monitoraggio e la stessa disciplina di cambiamento dei nostri router.
Come lo costruiamo
- Un hidden primary. Replica attraverso una rete esclusivamente interna verso secondari pubblici ad Atene, su sistemi autonomi diversi, e a Toronto, su piattaforme di virtualizzazione separate, come failure domain indipendenti.
- dnsdist davanti a ogni server pubblico. PowerDNS ascolta solo su localhost. dnsdist tiene la porta pubblica e applica i controlli che un load balancer generico non può applicare: le query ANY vengono rifiutate, il rate di query per indirizzo ha un tetto, le ondate di lookup falliti attivano automaticamente blocchi dinamici, e un limite sul rate delle risposte neutralizza l'amplification.
- DNSSEC senza spostare chiavi. Le chiavi di firma replicano insieme al database, così ogni secondario firma in modo identico, senza una distribuzione separata delle chiavi che possa andare storta.
- Reverse DNS come regola, non come richiesta. Ogni indirizzo che assegniamo a un'interfaccia, a un servizio o a un host riceve un record reverse nella stessa sessione di lavoro.
- Controllato ogni dieci minuti. Un monitor dell'infrastruttura verifica salute e ritardo della replica, confronta il serial di ogni zona su ogni server, confronta il numero di record e conferma che l'hidden primary non sia mai comparso in un record NS o SOA pubblico.
Da cosa vi protegge
- Da amplification e ondate di sottodomini casuali che mettono fuori uso i vostri nameserver.
- Da un guasto di un singolo sito, piattaforma o rete che rende il vostro dominio non risolvibile.
- Da una discordanza nel reverse DNS che fa rifiutare la vostra posta o fa fallire una verifica di conformità.
- Da una zona che risponde silenziosamente in modo diverso su nameserver diversi.
- Dall'esposizione a internet del server che custodisce i vostri dati primari.
In pratica
Un cutover provato prima della modifica al registry. Quando abbiamo spostato un ampio insieme di zone su questa infrastruttura, la modifica al registry ha atteso due cicli completi di verifica, separati da un riavvio a freddo di ogni server, per dimostrare che l'intera infrastruttura torna pulita da sola.
Perché EuroVPS
- Un hidden primary e secondari pubblici su reti e continenti separati.
- Protezione dnsdist su ogni server pubblico, costruita per gli attacchi DNS e non per il traffico generico.
- Firma DNSSEC identica ovunque, per progettazione.
- Un record reverse per ogni indirizzo, come regola fissa.
- Monitoraggio che controlla le risposte, non solo se i server sono accesi.
Domande frequenti
Potete ospitare il DNS del mio dominio? Sì. Le vostre zone sono servite dalla stessa infrastruttura delle nostre, con DNSSEC disponibile.
Posso avere un cluster DNS dedicato? Sì. Costruiamo cluster PowerDNS dedicati per i clienti che vogliono il proprio, anche distribuiti geograficamente. Vedete i cluster DNS gestiti.
Impostate il reverse DNS per i miei indirizzi? Sì. Ogni indirizzo che assegniamo riceve un record reverse, e impostiamo nomi PTR personalizzati su richiesta.
Potete spostare il mio DNS da un provider cloud senza downtime? Sì. Verifichiamo la nuova zona rispetto a quella attiva prima che cambi qualcosa, e scaglioniamo gli spostamenti DNSSEC in modo che la validazione non si interrompa mai. Leggete come abbiamo aiutato un cliente a lasciare il DNS cloud per un cluster tutto suo.
Se volete un DNS gestito come infrastruttura, parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.