O que fazemos · Rede: Authoritative DNS e reverse DNS, operados como infraestrutura
Operamos o nosso próprio authoritative DNS em PowerDNS, em dois sistemas autónomos e dois continentes, com um hidden primary que nunca fica exposto ao público e uma regra: cada endereço IP que atribuímos recebe um reverse record. As suas zonas e as nossas são servidas pela mesma infraestrutura reforçada.
O que é
O authoritative DNS responde à pergunta «onde vive este nome» para os seus domínios, e o reverse DNS responde à pergunta inversa para os seus endereços. Operamos ambos como infraestrutura central, com a mesma redundância, a mesma monitorização e a mesma disciplina de alterações dos nossos routers.
Como o construímos
- Um hidden primary. Replica, através de uma rede exclusivamente interna, para secondaries públicos em Atenas, em sistemas autónomos diferentes, e em Toronto, em plataformas de virtualização separadas, como failure domains independentes.
- dnsdist à frente de cada servidor público. O PowerDNS escuta apenas em localhost; o dnsdist detém a porta pública e impõe os controlos que um load balancer genérico não consegue. As queries ANY são recusadas, o ritmo de queries por endereço é limitado, as enxurradas de pesquisas falhadas desencadeiam bloqueios dinâmicos automáticos, e um limite ao ritmo de respostas neutraliza a amplificação.
- DNSSEC sem baralhar chaves. As chaves de assinatura replicam com a base de dados, pelo que cada secondary assina de forma idêntica, sem uma distribuição de chaves separada que possa correr mal.
- Reverse DNS como regra, não como pedido. Cada endereço que atribuímos a uma interface, a um serviço ou a um host recebe um reverse record na mesma sessão.
- Vigiado a cada dez minutos. Um monitor da infraestrutura verifica a saúde e o atraso da replicação, compara o serial de cada zona em todos os servidores, compara o número de registos, e confirma que o hidden primary nunca apareceu num registo NS ou SOA público.
Do que o protege
- Amplificação e enxurradas de subdomínios aleatórios que derrubem os seus nameservers.
- Uma falha num único site, plataforma ou rede que torne o seu domínio irresolúvel.
- Uma discrepância no reverse DNS que leve à rejeição do seu correio ou à reprovação numa verificação de conformidade.
- Uma zona que responda silenciosamente de forma diferente em nameservers diferentes.
- Expor à internet o servidor que guarda os seus dados mestre.
Na prática
Um cutover comprovado antes da alteração no registry. Quando movemos um grande conjunto de zonas para esta infraestrutura, a alteração no registry esperou por duas rondas completas de verificação, separadas por um arranque a frio de todos os servidores, para provar que toda a infraestrutura regressa limpa por si só.
Porquê a EuroVPS
- Um hidden primary e secondaries públicos em redes e continentes separados.
- Proteção dnsdist em cada servidor público, feita para ataques de DNS e não para tráfego genérico.
- Assinatura DNSSEC idêntica em todo o lado, por desenho.
- Um reverse record para cada endereço, como regra permanente.
- Monitorização que verifica as respostas, não só se os servidores estão ligados.
Perguntas frequentes
Podem alojar o DNS do meu domínio? Sim. As suas zonas são servidas pela mesma infraestrutura que as nossas, com DNSSEC disponível.
Posso ter o meu próprio cluster de DNS dedicado? Sim. Construímos clusters PowerDNS dedicados para clientes que querem o seu, incluindo clusters geograficamente distribuídos. Veja os managed DNS clusters.
Definem o reverse DNS para os meus endereços? Sim. Cada endereço que atribuímos recebe um reverse record, e definimos nomes PTR personalizados a pedido.
Conseguem mover o meu DNS de um fornecedor de cloud sem downtime? Sim. Verificamos a nova zona contra a zona em produção antes de qualquer alteração, e faseamos as mudanças de DNSSEC para que a validação nunca quebre. Leia como ajudámos um cliente a deixar o DNS na cloud por um cluster próprio.
Se quer DNS operado como infraestrutura, fale com um engenheiro.
O seu próximo parceiro de infraestrutura
Vamos analisar a sua infraestrutura.
Diga-nos o que executa hoje e o que precisa de melhorar. Um engenheiro vai analisar o seu pedido e ajudar a planear o passo seguinte.
+357 222 32280
Comecemos pela sua infraestrutura.
Um pouco de contexto ajuda-nos a começar a conversa certa.