Архитектура DNS кэширующих серверов

[Tormato 0]

Здравствуйте, 

Есть два dns сервера bind с адресами 1.1.1.1 и 2.2.2.2, рабочие основные сервера.

Нужно обзавестись двумя кэширующими серверами и на первых отключить рекурсию.

 

Каким образом распланировать топологию серверов?

Просто добавить два доп кэша с адресами 3.3.3.3 и 4.4.4.4 поменяв клиентам локальной сети DNS'ы или заменить 1.1.1.1 и 2.2.2.2 кэшами (unbound), а авторитарные сервера перенести на 3.3.3.3 и 4.4.4.4.

 

Посоветуйте решение.

[Туйон 1 260]

1 час назад, Tormato сказал:

Есть два dns сервера bind с адресами 1.1.1.1

А, так вот он какой, 1.1.1.1  

 

[Ромка 567]

42 минуты назад, Туйон сказал:

А, так вот он какой, 1.1.1.1  

 

ТС наверное админ в Cloudflare

[Tormato 0]

Нет конечно, IP адреса для удобства.

Очевидно же что сидел бы на клаудфлере отрубил бы и не парился?

[ISK 259]

Очевидно же, что абонам нужно давать кэширующие DNS.

 

Вот, почитайте на досуге: https://ru.wikipedia.org/wiki/DNS-сервер, затем это: https://habr.com/ru/post/159013/ уверен, пригодится)

 

Это так навскидку. А вообще в вопросе мало инфы: для какой цели? Какова структура локальной сети? Сколько клиентов и как они IP и DNS получают?

[prototip 284]

Мне также разрулите , чет интересно у кого какая архитектура ДНС .  Предварительно предположим что есть два А.А.А.А и В.В.В.В , которые и обратную зону держат и есть некоторое количество  кеширующих  .  

29 минут назад, ISK сказал:

Очевидно же, что абонам нужно давать кэширующие DNS.

 

Вот, почитайте на досуге: https://ru.wikipedia.org/wiki/DNS-сервер, затем это: https://habr.com/ru/post/159013/ уверен, пригодится)

 

Это так навскидку. А вообще в вопросе мало инфы: для какой цели? Какова структура локальной сети? Сколько клиентов и как они IP и DNS получают?

Первая ссыль чисто для информации , вторая опробована в свое время и считаю вредной вариацией .

[ISK 259]

4 минуты назад, prototip сказал:

вторая опробована в свое время и считаю вредной вариацией

Ну я не претендую на истину в последней инстанции - данный совет является сугубо субъективным, но не универсальным. За любые возможные последствия ответственности не несу?

[l1ght 377]

Если важно время отклика, что б рекурсор не проходил 7 кругов ада авторитарных днс-ов ДЛЯ СОБСТВЕННЫХ ЗОН, то можно указать где конкретно живет интересующая тебя зона.

Но покуда он кеширующий, обычно, то смысла в этом немного, "долгим" будет запрос если записи в кеше нету.

 

1) ставишь анбаунд

2) настраиваешь

3) раздаешь клиентам

 

Если уж совсем про какие-то архитектурные особенности говорить то я себе свои рекурсоры засунул в виртуалки.

3 штуки примари и секондари (чисто что б на разных хостах жили) и балансирую нагрузку между ними через ECMP + anycast IP.

Есть хелсчек который убедился что от днс-а получен эталонный ответ, значит можно анонсить IP по оспф до ближайшшего роутера.

Соответственно если хост с виртуалкой помер, то он сам пропадает из ротации. Если сервис по каким-то причинам не работает то сприпт исключает его из ротации в балансировке.

 

Т.е. редунданси + балансировка..

Відредаговано 2019-08-02 12:53:08 l1ght

[prototip 284]

Я имел ввиду что PDNSD не годится для локальных сетей и для продакшина как таковой . 

[l1ght 377]

2 минуты назад, prototip сказал:

Я имел ввиду что PDNSD не годится для локальных сетей и для продакшина как таковой . 

powerdns и как рекурсор и как авторитарник трудится в весьма большой сети.

И как бы людям нравится, хотя я за nsd/unbound.

upd: а я явно перепутал PDNSD с PDNS

Відредаговано 2019-08-02 12:55:29 l1ght

[prototip 284]

1 минуту назад, l1ght сказал:

Если важно время отклика, что б рекурсор не проходил 7 кругов ада авторитарных днс-ов ДЛЯ СОБСТВЕННЫХ ЗОН, то можно указать где конкретно живет интересующая тебя зона.

Но покуда он кеширующий, обычно, то смысла в этом немного, "долгим" будет запрос если записи в кеше нету.

 

1) ставишь анбаунд

2) настраиваешь

3) раздаешь клиентам

 

Если уж совсем про какие-то архитектурные особенности говорить то я себе свои рекурсоры засунул в виртуалки.

3 штуки примари и секондари (чисто что б на разных хостах жили) и балансирую нагрузку между ними через ECMP + anycast IP.

Есть хелсчек который убедился что от днс-а получен эталонный ответ, значит можно анонсить IP по оспф до ближайшшего роутера.

Соответственно если хост с виртуалкой помер, то он сам пропадает из ротации. Если сервис по каким-то причинам не работает то сприпт исключает его из ротации в балансировке.

 

Т.е. редунданси + балансировка..

Слабо понял , наверное нужно более подробно разжевать . Жить на отдельных железках ДНСам это наверное на сегодня вообще перебор .

[l1ght 377]

1 минуту назад, prototip сказал:

Слабо понял , наверное нужно более подробно разжевать . Жить на отдельных железках ДНСам это наверное на сегодня вообще перебор .

Что конкретно нужно разжевать?

То что у меня только для рекурсоров есть 3 примари и 3 секондари и я делаю балансировку через anycast IP + ECMP или другие вопросы?

[prototip 284]

Большинство сеток не то что там держать обратные зоны , своих днс не имеют по большому счету и юзают провайдерские , как правило этого хватает до поры до времени , затем обрастают блоками адресов и понеслась . И тут становится вопрос как должна выглядеть архитектура днс серверов небольшого провайдера аля 1000-5000 пользователей.  Особого описания подобных иерархий как правило нигде не описано и выглядит оно как правило не комильфо . 

[mort1k 13]

Кеши кешами, зоны зонами - че не понятно? )))

[ISK 259]

2 минуты назад, mort1k сказал:

Кеши кешами, зоны зонами - че не понятно? )))

Ну Капитан Очевидность™ как бы намекает нам, что если бы всем всё понятно было, то и этого форума бы не существовало, да...

 

И где бы Вы тогда могли с Людьми™ пообщаться?

[mort1k 13]

7 минут назад, ISK сказал:

Ну Капитан Очевидность™ как бы намекает нам, что если бы всем всё понятно было, то и этого форума бы не существовало, да...

 

И где бы Вы тогда могли с Людьми™ пообщаться?

Выше человек описал красивую схему с any-cast и балансировкой кешей.

ИМХО Зоны лучше хранить на хостинге или в виртуалках за границей сети(если нужны обратные зоны и всякие извращения).

Какие еще схемы требуются Людям™?

Відредаговано 2019-08-02 13:29:20 mort1k

[ISK 259]

3 минуты назад, mort1k сказал:

Какие еще схемы требуются Людям™?

Электрические, электронные, принципиальные, структурно-функциональные, комбинационные, логические, блок-схемы - тысячи их...?

[foreverok 95]

37 минут назад, prototip сказал:

И тут становится вопрос как должна выглядеть архитектура днс серверов небольшого провайдера аля 1000-5000 пользователей.

Для мелких, можно клиентам давать resolver googledns как primary. CloudflareDNS как seconary (ну или на выбор, их куча разных).

Свой DNS поднимать только для обратной зоны (если нужно), или для своих доменов.

[prototip 284]

Давать гугловский днс .... Для локалки ... Попадете в таймауты на раз . Проще юзать провайдерский днс он и ближе и ответит 

[mort1k 13]

11 минут назад, ISK сказал:

Электрические, электронные, принципиальные, структурно-функциональные, комбинационные, логические, блок-схемы - тысячи их...?

Не тут четкий запрос просят архитектурную!)

[l1ght 377]

52 минуты назад, prototip сказал:

Давать гугловский днс .... Для локалки ... Попадете в таймауты на раз . Проще юзать провайдерский днс он и ближе и ответит 

Ну тем не менее у гуглоднс скорость ответа ОЧЕНЬ БЫСТРАЯ, у тех у кого ртт до гугла 20 и меньше мс даже с локальным резолвером не сделают такую же скорость ответа.

 

1 час назад, prototip сказал:

И тут становится вопрос как должна выглядеть архитектура днс серверов небольшого провайдера аля 1000-5000 пользователей

Разносим виртуалки в разные ДЦ\площадки если точек отказа больше 1 в ядре.

Если есть единая точка отказа, например единственный бордер, то хотя бы разнести по разным серверам.

Потом поверх распределенных резолверов делаем anycast IP + ecmp.

 

Авторитарники обычно не такие критичные, особенно когда держишь там 1-2 зоны. Если есть кластер под виртуалки достаточно встроенного HA на ваших гипервизорах для обеспечения нормальной работы. И ничего скейлить там не нужно.

 

1 час назад, mort1k сказал:

ИМХО Зоны лучше хранить на хостинге или в виртуалках за границей сети(если нужны обратные зоны и всякие извращения).

Ну ит депендс. Большинство хостингов могут проебать твою виртуалку куда проще, чем хотелось бы.

Особенно когда похоронили сторадж (а такое уже не раз случалось).

Надо держать, по хорошему, и у себя и за границей, например секондари унести куда подальше.

[Tormato 0]

Нет google это не вариант.

Может кого-то и устраивает дело ваше, но он реально иногда падает и еще лимитирует кол-во запросов (хоть я лично не сталкивался т.к. не занимаюсь подобной фигней)

 

Вопрос по дизайну как кто делает, хотелось узнать мнение, зачем знать как я адреса юзерам раздаю, это к вопросу не имеет отношения же.

Ясно что отдавать нужно адрес кэш сервера.

Вы бы ISK вопрос что-ли прочитали перед тем как постить, может еще нужно рассказать какой L2VPN используется в сети средний и возраст юзера.

 

Вопрос поднять новый сервер или заменить работающие сервера кэшами, которые за своими зонами будут ходить на соседний сервис.

Мне кстати больше статья нравится https://habr.com/ru/company/oleg-bunin/blog/350550/

Відредаговано 2019-08-02 16:33:03 Tormato

[l1ght 377]

2 часа назад, Tormato сказал:

Вопрос поднять новый сервер или заменить работающие сервера кэшами, которые за своими зонами будут ходить на соседний сервис.

Почему мы должны обсуждать это всем форумом?

Сделайте как вам удобнее. Там всё очевидно.

[Sоrk 47]

Общался на одном из мероприятий с представителями Cloudflare - они не против того чтобы провайдеры выдавали 1.1.1.1 своим абонентам. 

Говорят что не устанавливают лимиты на количество запросов и нормально воспринимают NAT-адреса, за которыми сидят много абонентов.

Відредаговано 2019-08-03 13:35:13 Sоrk

[Туйон 1 260]

56 минут назад, Sоrk сказал:

Говорят что не устанавливают лимиты на количество запросов и нормально воспринимают NAT-адреса, за которыми сидят много абонентов.

Использовал 1.1.1.1 как единственный, на который пересылались запросы - офисная сеть около 100 машин - работало нормально.

Собственно, я даже об этом не знал, но когда-то видать протупил, не добавил ещё.

И оно работало так себе, даже виду не показывало.

 

Кстати, раз уж пошла такая пьянка.

Слышал, что 8.8.8.8 гугловский всякую рекламу подсовывает и собирает информацию. Правда?