O que fazemos · Plataformas: DNS autoritativo e recursivo em PowerDNS
Construímos e operamos clusters PowerDNS que respondem pelos seus domínios a partir de sites separados em redes separadas, com a cópia principal das suas zonas escondida onde a internet nunca a pode alcançar. Para os seus servidores, operamos resolvers com validação que respondem depressa e recusam respostas forjadas.
O que é
- h2: O que é
Dois serviços, vendidos em conjunto ou em separado.
DNS autoritativo. As suas zonas servidas pelo seu próprio cluster, ou alojadas no nosso: um hidden primary que guarda a verdade e um conjunto de secondaries públicos em datacenters diferentes, em redes diferentes, em continentes diferentes se assim o quiser. Assinatura DNSSEC, uma interface web para a sua equipa e uma API para a sua automação.
DNS recursivo. Resolvers com validação para os servidores e as redes que operamos para si, para que cada lookup feito pelas suas aplicações seja respondido de perto e verificado contra o DNSSEC.
Como o construímos
- h2: Como o construímos
O primary nunca responde à internet. Não tem endereço público e nunca aparece nos seus registos de nameserver. É onde a sua equipa e a sua automação fazem alterações, e replica essas alterações de forma privada para os secondaries.
Os secondaries suportam a carga. Colocamo-los em domínios de falha separados: datacenters diferentes, redes diferentes, plataformas de virtualização diferentes.
Nada fala diretamente com o PowerDNS. Em cada máquina pública, o dnsdist está virado para a internet e o PowerDNS escuta apenas na própria máquina. O dnsdist foi feito para DNS: recusa os tipos de query usados para amplificação, recusa perguntas sobre domínios que não servimos antes de chegarem ao backend, limita os bytes que envia a qualquer endereço individual e bloqueia automaticamente inundações de subdomínios aleatórios e de erros, sem ninguém no circuito. Faz health check ao backend com uma query real, para que uma base de dados avariada seja retirada de serviço em vez de servir respostas.
A firewall também foi feita para DNS. O tráfego autoritativo é tratado de forma stateless, para que uma inundação de queries não consiga encher a tabela de estados de uma firewall e derrubar tudo o resto com ela.
Os cutovers são ensaiados. Antes da alteração junto da entidade de registo, cada servidor do novo cluster é reiniciado para provar que volta sozinho, e a passagem do DNSSEC é sequenciada para que os resolvers com validação continuem a confiar no domínio durante todo o processo.
Os resolvers validam, e nós provamo-lo. Os nossos resolvers verificam o DNSSEC em cada resposta, e testamo-los contra um domínio deliberadamente mal assinado. Se esse domínio alguma vez resolver, a validação está desligada e ficamos a saber.
Do que o protege
-
h2: Do que o protege
-
Pagar a um fornecedor de cloud por query e por zona, para sempre, por um serviço que pode ser seu.
- Um único host de DNS, ou um único fornecedor, ser a razão pela qual toda a sua empresa está inacessível.
- Os seus nameservers serem usados para amplificar ataques contra terceiros.
- Inundações de subdomínios aleatórios que esgotam um backend de DNS.
- Uma tabela de estados de firewall cheia por uma inundação de queries.
- Respostas forjadas a chegarem às suas aplicações através de um resolver que não valida.
Na prática
- h2: Na prática
Um cliente chegou até nós com todas as suas zonas no AWS Route53 e uma fatura mensal que crescia com cada query. Construímos-lhe um cluster PowerDNS próprio e geograficamente distribuído: um hidden primary numa rede privada, secondaries públicos filtrados em Atenas e em Toronto em redes separadas, cada um atrás do dnsdist. Transferimos as zonas, comparámos cada registo com o Route53 até as únicas diferenças serem as que pretendíamos, sequenciámos a passagem do DNSSEC na entidade de registo para que os resolvers com validação continuassem a confiar no domínio durante todo o processo, reiniciámos cada servidor para provar que o cluster voltava sozinho e só então mudámos os nameservers. O cliente é hoje dono do cluster por inteiro e poupa bastante dinheiro todos os meses.
Porquê a EuroVPS
-
h2: Porquê a EuroVPS
-
Hidden primary e secondaries filtrados como desenho padrão, não como upgrade.
- dnsdist à frente de cada servidor público, com proteção automática contra inundações.
- Secondaries em datacenters separados, em redes separadas, em vários continentes se assim o quiser.
- Resolvers que validam DNSSEC, testados de propósito contra um domínio avariado.
Perguntas frequentes
- h2: Perguntas frequentes
- Podemos continuar a usar DNSSEC? Sim. Assinamos as suas zonas e tratamos da passagem junto da sua entidade de registo pela ordem certa, para que os resolvers com validação continuem a confiar no seu domínio durante uma migração.
- As nossas ferramentas podem continuar a alterar registos automaticamente? Sim. O PowerDNS tem uma API completa, e existe uma interface web para quem a preferir.
- Ficamos com um cluster próprio ou com espaço no da EuroVPS? Qualquer das opções. Podemos alojar as suas zonas na nossa infraestrutura, ou construir um cluster que pertence apenas à sua empresa.
- Quanto tempo demora uma mudança do Route53 ou de outro fornecedor? A construção e a verificação demoram dias, não meses. A alteração no registo em si é um instante, feita apenas depois de o novo cluster ter passado todas as verificações.
- Podem operar resolvers para os nossos servidores? Sim, para servidores e redes que operamos para si, com validação DNSSEC ativa.
- closing: Seja dono do primeiro lookup que os seus clientes fazem. Fale com um engenheiro.
O seu próximo parceiro de infraestrutura
Vamos analisar a sua infraestrutura.
Diga-nos o que executa hoje e o que precisa de melhorar. Um engenheiro vai analisar o seu pedido e ajudar a planear o passo seguinte.
+357 222 32280
Comecemos pela sua infraestrutura.
Um pouco de contexto ajuda-nos a começar a conversa certa.