Cosa facciamo · Piattaforme: DNS authoritative e recursive su PowerDNS
Costruiamo e gestiamo cluster PowerDNS che rispondono per i vostri domini da siti separati su reti separate, con la copia master delle vostre zone nascosta dove internet non può mai arrivare. Per i vostri server gestiamo resolver validanti che rispondono in fretta e rifiutano le risposte contraffatte.
Cos'è
- h2: Cos'è
Due servizi, insieme o separati.
DNS authoritative. Le vostre zone servite dal vostro cluster, oppure ospitate sul nostro: un hidden primary che custodisce la verità e un insieme di secondari pubblici in datacenter diversi, su reti diverse, su continenti diversi se li volete. Firma DNSSEC, un'interfaccia web per il vostro team e un'API per la vostra automazione.
DNS recursive. Resolver validanti per i server e le reti che gestiamo per voi, così ogni lookup delle vostre applicazioni riceve risposta da vicino e viene verificato con DNSSEC.
Come lo costruiamo
- h2: Come lo costruiamo
Il primary non risponde mai a internet. Non ha un indirizzo pubblico e non compare mai nei vostri record nameserver. È il punto in cui il vostro team e la vostra automazione fanno le modifiche, e da lì le modifiche si replicano in privato verso i secondari.
I secondari reggono il carico. Li collochiamo in domini di guasto separati: datacenter diversi, reti diverse, piattaforme di virtualizzazione diverse.
Nessuno parla direttamente con PowerDNS. Su ogni macchina pubblica dnsdist è rivolto verso internet e PowerDNS ascolta solo sulla macchina stessa. dnsdist è fatto per il DNS: rifiuta i tipi di query usati per l'amplificazione, rifiuta le domande su domini che non serviamo prima che raggiungano il backend, limita i byte che invia a qualsiasi singolo indirizzo e blocca automaticamente i flood di sottodomini casuali e di errori, senza un essere umano nel ciclo. Fa l'health check del backend con una query reale, così un database guasto viene messo fuori servizio invece di rispondere.
Anche il firewall è fatto per il DNS. Il traffico authoritative è gestito in modo stateless, così un flood di query non può riempire la state table di un firewall e trascinarsi dietro tutto il resto.
I cutover sono provati in anticipo. Prima che il registro cambi, ogni server del nuovo cluster viene riavviato per dimostrare che torna su da solo, e il passaggio del DNSSEC è sequenziato in modo che i resolver validanti continuino a fidarsi del dominio per tutta la durata.
I resolver validano, e lo dimostriamo. I nostri resolver verificano il DNSSEC su ogni risposta, e li mettiamo alla prova contro un dominio firmato male di proposito. Se quel dominio dovesse mai risolversi, la validazione è spenta e lo veniamo a sapere.
Da cosa vi protegge
-
h2: Da cosa vi protegge
-
Pagare un provider cloud per query e per zona, per sempre, per un servizio che potete possedere.
- Un solo host DNS, o un solo provider, come motivo per cui l'intera azienda è irraggiungibile.
- I vostri nameserver usati per amplificare attacchi contro qualcun altro.
- Flood di sottodomini casuali che esauriscono un backend DNS.
- Una state table del firewall riempita da un flood di query.
- Risposte contraffatte che raggiungono le vostre applicazioni attraverso un resolver che non valida.
In pratica
- h2: In pratica
Un cliente è arrivato da noi con tutte le sue zone su AWS Route53 e una fattura mensile che cresceva a ogni query. Gli abbiamo costruito un cluster PowerDNS tutto suo, geograficamente distribuito: un hidden primary su una rete privata, secondari pubblici filtrati ad Atene e a Toronto su reti separate, ciascuno dietro dnsdist. Abbiamo trasferito le zone, confrontato ogni record con Route53 finché le uniche differenze sono state quelle volute, sequenziato il passaggio del DNSSEC presso il registro in modo che i resolver validanti continuassero a fidarsi del dominio per tutta la durata, riavviato ogni server per dimostrare che il cluster tornava su da solo, e solo allora abbiamo spostato i nameserver. Il cliente oggi possiede il cluster per intero e risparmia una cifra considerevole ogni mese.
Perché EuroVPS
-
h2: Perché EuroVPS
-
Hidden primary e secondari filtrati come progetto standard, non come upgrade.
- dnsdist davanti a ogni server pubblico, con protezione automatica dai flood.
- Secondari in datacenter separati su reti separate, su più continenti se li volete.
- Resolver che validano il DNSSEC, messi alla prova di proposito contro un dominio guasto.
Domande frequenti
- h2: Domande frequenti
- Possiamo continuare a usare DNSSEC? Sì. Firmiamo le vostre zone e gestiamo il passaggio presso il vostro registro nell'ordine giusto, così i resolver validanti continuano a fidarsi del vostro dominio durante la migrazione.
- I nostri strumenti possono ancora cambiare i record in automatico? Sì. PowerDNS ha un'API completa, e c'è un'interfaccia web per chi la preferisce.
- Abbiamo un cluster nostro o spazio sul vostro? Entrambe le cose sono possibili. Possiamo ospitare le vostre zone sulla nostra infrastruttura, oppure costruire un cluster che appartiene solo a voi.
- Quanto dura una migrazione da Route53 o da un altro provider? La costruzione e la verifica richiedono giorni, non mesi. Il cambio presso il registro è questione di un istante, e avviene solo dopo che il nuovo cluster ha superato ogni controllo.
- Potete gestire i resolver per i nostri server? Sì, per server e reti che gestiamo per voi, con la validazione DNSSEC attiva.
- closing: Fate vostro il primo lookup dei vostri clienti. Parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.