Що ми робимо · Мережа: Authoritative DNS і reverse DNS як інфраструктура
Ми експлуатуємо власний authoritative DNS на PowerDNS, у двох автономних системах і на двох континентах, з прихованим primary, який ніколи не виходить у публічну мережу, і з правилом: кожна IP-адреса, яку ми призначаємо, отримує reverse-запис. Ваші зони та наші обслуговуються з однієї й тієї самої захищеної інфраструктури.
Що це
Authoritative DNS відповідає на запитання «де живе це ім’я» для ваших доменів, а reverse DNS відповідає на зворотне запитання для ваших адрес. Ми експлуатуємо обидва як базову інфраструктуру, з тим самим резервуванням, тим самим моніторингом і тією самою дисципліною змін, що й наші маршрутизатори.
Як ми це будуємо
- Один прихований primary. Він реплікується через суто внутрішню мережу на публічні secondaries в Афінах, у різних автономних системах, і в Торонто, на окремих платформах віртуалізації як незалежних доменах відмови.
- dnsdist перед кожним публічним сервером. PowerDNS слухає лише на localhost. dnsdist тримає публічний порт і застосовує контроль, на який звичайний балансувальник не здатен: запити типу ANY відхиляються, кількість запитів з однієї адреси обмежена, шквали невдалих пошуків автоматично вмикають динамічні блокування, а ліміт на частоту відповідей знешкоджує amplification.
- DNSSEC без перекидання ключів. Ключі підпису реплікуються разом із базою даних, тож кожен secondary підписує ідентично, без окремого розповсюдження ключів, у якому можна помилитися.
- Reverse DNS як правило, а не як запит. Кожна адреса, яку ми призначаємо інтерфейсу, сервісу чи хосту, отримує reverse-запис у тій самій робочій сесії.
- Перевірка кожні десять хвилин. Монітор інфраструктури перевіряє стан і затримку реплікації, порівнює serial кожної зони на кожному сервері, порівнює кількість записів і підтверджує, що прихований primary ніколи не з’являвся в публічному записі NS чи SOA.
Від чого це вас захищає
- Від amplification і шквалів випадкових піддоменів, що кладуть ваші nameserver.
- Від відмови одного майданчика, платформи чи мережі, через яку ваш домен перестає резолвитися.
- Від невідповідності в reverse DNS, через яку вашу пошту відхиляють або ви не проходите перевірку відповідності.
- Від зони, яка мовчки відповідає по-різному на різних nameserver.
- Від виставлення в інтернет сервера, що зберігає ваші головні дані.
На практиці
Cutover, доведений до зміни в реєстрі. Коли ми переносили великий набір зон на цю інфраструктуру, зміна в реєстрі чекала на два повні раунди перевірки, розділені холодним перезавантаженням кожного сервера, щоб довести, що вся інфраструктура сама піднімається чистою.
Чому EuroVPS
- Прихований primary і публічні secondaries в окремих мережах і на окремих континентах.
- Захист dnsdist на кожному публічному сервері, створений для атак на DNS, а не для звичайного трафіку.
- Підпис DNSSEC, ідентичний усюди за задумом.
- Reverse-запис для кожної адреси як постійне правило.
- Моніторинг, що перевіряє відповіді, а не лише те, чи сервери працюють.
Часті запитання
Чи можете ви хостити DNS мого домену? Так. Ваші зони обслуговуються з тієї самої інфраструктури, що й наші, з доступним DNSSEC.
Чи можу я мати власний виділений DNS-кластер? Так. Ми будуємо виділені кластери PowerDNS для клієнтів, які хочуть мати власний, у тому числі географічно рознесений. Дивіться managed DNS-кластери.
Чи налаштовуєте ви reverse DNS для моїх адрес? Так. Кожна адреса, яку ми призначаємо, отримує reverse-запис, а власні імена PTR ми встановлюємо на запит.
Чи можете ви перенести мій DNS від хмарного провайдера без простою? Так. Ми звіряємо нову зону з живою до того, як щось зміниться, і проводимо переходи DNSSEC поетапно, щоб валідація ніколи не ламалася. Прочитайте, як ми допомогли клієнту піти з хмарного DNS на власний кластер.
Якщо вам потрібен DNS, який експлуатують як інфраструктуру, поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.