Що ми робимо · Платформи: Authoritative і recursive DNS на PowerDNS
Ми будуємо та обслуговуємо кластери PowerDNS, які відповідають за ваші домени з окремих майданчиків в окремих мережах, а головна копія ваших зон прихована там, куди інтернет ніколи не дістанеться. Для ваших серверів ми обслуговуємо validating resolvers, які відповідають швидко і відкидають підроблені відповіді.
Що це
- h2: Що це
Дві послуги, разом або окремо.
Authoritative DNS. Ваші зони обслуговує ваш власний кластер або наш: прихований primary, який зберігає істину, і набір публічних secondaries у різних дата-центрах, у різних мережах, на різних континентах, якщо ви цього хочете. Підписання DNSSEC, вебінтерфейс для вашої команди та API для вашої автоматизації.
Recursive DNS. Validating resolvers для серверів і мереж, які ми обслуговуємо для вас, щоб кожен lookup ваших застосунків отримував відповідь поруч і перевірявся за DNSSEC.
Як ми це будуємо
- h2: Як ми це будуємо
Primary ніколи не відповідає інтернету. Він не має публічної адреси і ніколи не з’являється у ваших записах nameserver. Саме там ваша команда і ваша автоматизація вносять зміни, і звідти зміни приватно реплікуються на secondaries.
Secondaries несуть навантаження. Ми розміщуємо їх в окремих доменах відмови: різні дата-центри, різні мережі, різні платформи віртуалізації.
Ніщо не звертається до PowerDNS напряму. На кожній публічній машині dnsdist дивиться в інтернет, а PowerDNS слухає лише на самій машині. dnsdist створений для DNS: він відкидає типи запитів, які використовують для amplification, відкидає запитання про домени, які ми не обслуговуємо, ще до того, як вони дійдуть до backend, обмежує кількість байтів, які надішле на будь-яку одну адресу, і автоматично блокує потоки випадкових субдоменів та помилок, без людини в контурі. Він перевіряє стан backend справжнім запитом, тож пошкоджена база даних виводиться з обслуговування замість того, щоб відповідати.
Firewall теж створений для DNS. Authoritative трафік обробляється stateless, тому потік запитів не може заповнити таблицю станів firewall і покласти разом із собою все інше.
Cutover проходить із репетицією. Перш ніж змінюється реєстр, кожен сервер нового кластера перезавантажується, щоб довести, що він повертається сам, а передача DNSSEC виконується у правильній послідовності, щоб validating resolvers довіряли домену весь цей час.
Resolvers валідують, і ми це доводимо. Наші resolvers перевіряють DNSSEC у кожній відповіді, і ми тестуємо їх на домені, який навмисно підписаний неправильно. Якщо цей домен колись резолвиться, валідацію вимкнено, і ми про це дізнаємося.
Від чого це вас захищає
-
h2: Від чого це вас захищає
-
Платити хмарному провайдеру за кожен запит і кожну зону, назавжди, за послугу, якою ви можете володіти.
- Один DNS-хост або один провайдер як причина того, що вся ваша компанія недоступна.
- Використання ваших nameservers для amplification атак проти когось іншого.
- Потоки випадкових субдоменів, які вичерпують DNS backend.
- Таблиця станів firewall, заповнена потоком запитів.
- Підроблені відповіді, які доходять до ваших застосунків через resolver, що не валідує.
На практиці
- h2: На практиці
Клієнт прийшов до нас з усіма своїми зонами в AWS Route53 і щомісячним рахунком, який зростав із кожним запитом. Ми збудували йому власний географічно розподілений кластер PowerDNS: прихований primary у приватній мережі, фільтровані публічні secondaries в Афінах і Торонто в окремих мережах, кожен за dnsdist. Ми перенесли зони, порівняли кожен запис із Route53, доки єдиними відмінностями не лишилися ті, яких ми прагнули, виконали передачу DNSSEC у реєстрі в правильній послідовності, щоб validating resolvers довіряли домену весь цей час, перезавантажили кожен сервер, щоб довести, що кластер повертається сам, і лише тоді перемкнули nameservers. Тепер клієнт повністю володіє кластером і щомісяця заощаджує значні кошти.
Чому EuroVPS
-
h2: Чому EuroVPS
-
Прихований primary і фільтровані secondaries як стандартна схема, а не як апгрейд.
- dnsdist перед кожним публічним сервером, з автоматичним захистом від потоків запитів.
- Secondaries в окремих дата-центрах в окремих мережах, на різних континентах, якщо ви цього хочете.
- Resolvers, які валідують DNSSEC, навмисно протестовані на зламаному домені.
Часті запитання
- h2: Часті запитання
- Чи можемо ми й надалі використовувати DNSSEC? Так. Ми підписуємо ваші зони і виконуємо передачу у вашому реєстрі в правильному порядку, щоб validating resolvers довіряли вашому домену під час міграції.
- Чи зможуть наші інструменти й надалі змінювати записи автоматично? Так. PowerDNS має повний API, а для тих, хто надає перевагу вебінтерфейсу, він також є.
- Ми отримуємо власний кластер чи місце на вашому? Будь-який варіант. Ми можемо розмістити ваші зони на нашій інфраструктурі або збудувати кластер, який належатиме лише вам.
- Скільки триває перехід із Route53 чи іншого провайдера? Збірка та перевірка займають дні, а не місяці. Сама зміна в реєстрі триває мить і виконується лише після того, як новий кластер пройшов кожну перевірку.
- Чи можете ви обслуговувати resolvers для наших серверів? Так, для серверів і мереж, які ми обслуговуємо для вас, з увімкненою валідацією DNSSEC.
- closing: Володійте першим lookup, який роблять ваші клієнти. Поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.