PowerDNS – přívětivý a jednoduchý DNS server (diskuse)

[Radek Hladik]

PowerDNS má několik dalších výhod. Například bezproblémově fungující BIND modul. Pokud někde máte BIND a chcete se ho zbavit, je to s PowerDNS velice snadné. Stejně tak, pokud z nějakého důvodu chcete mít server pro velmi málo domén, je jednoduché jim udělat zone fily a použít BIND modul.

Další zajímavá možnost je poměrně jednoduché psaní vlastních modulů. Kdysi jsem zkoušel napsat modul pro tinydns "zónové soubory" a udělal jsem to v PHP. A kupodivu to bylo funkční i použitelné (výkonově). Viz odkaz, je tam i stručný popis výkonnostních parametrů.

[alkoholik]

Njn, Paul Vixie kdysi trosku drzkoval, ze ho provozujeme na jedne root domene misto Bindu.

[alkoholik]

Samozrejme TLD domene..

[Patvor]

Proč "provedeme restart"? Zrestartujeme nebo restartujeme, podle kontextu.

Děkuji za článek, je dobře promyšlený a strukturovaný.

[pavlix]

Podle mě je to v pořádku.

[petr_p]

Požádáme o provedení úkonů za účelem vyvolání restartu :)

[Marv-CZ]

No zrovna ten modul pro LDAP je psaný člověkem mimo vývoj PowerDNS. Respektive byl, protože už ho udržovat přestal a nikde se o něj nestará a nefungují v něm nové věci, jako DNSSEC.

[j]

Po svych velmi "milych" zkusenostech s rozjeblym mysql ... bych vzivote nepouzival zadnou kritickou aplikaci, ktera zrovna tuhle db pouziva ... zlaty textovy soubory. Stejne jde jen o to, aby se to pri startu nacetlo do pameti ...

[Heron]

Po svych velmi "milych" zkusenostech s rozjeblym mysql

+1

Aktuálně tu mám server s více než stovkou rozbitých DB. Serveru se nikdy nic nešťastného nestalo, fs je v pořádku. MySQL se rozjebalo prostě za provozu.

[PetrHL]

Samo od sebe skoro nikdy nic. Ja to resil nedavno. Muzete sem hodit, co to psalo do logu? Docela by mne to zajimalo.

[Heron]

Není to můj server a nemám od zákazníka právo zveřejňovat cokoliv.

Ale píše to klasickou chybu:

/usr/libexec/mysqld: Table './db/table' is marked as crashed and last (automatic?) repair failed

Samozřejmně opravit nejde, nejde ani zjistit jakékoliv informace o dané tabulce.

Mám podezření na to, že to vzniklo tím, když začal řádit OOMK, ale nechce se mi věřit, že by db bylo možno nakopnout obyč. killem. Pokud ano, tak je to jen další do řady důvodů, proč mi mysql už několik let nesmí přes práh.

[Dundee5]

Tak ono dost záleží na tom, jestli je ta tabulka MyISAM (neručím za nic, ale jsem rychlý) nebo InnoDB (ručím za konzistenci). Když si někdo vybere MyISAM a čeká od ní naprostou spolehlivost a dodržování ACID, tak se pak nemůže divit, že se to jednou rozbije...

[Miloslav Ponkrác]

Ano, to je bohužel důsledek zastaralých verzí v Linux balíčích. Plus aktivita balíčkovačů v linux distribucích.

Když převzal MySQL Sun, začaly se množit chyby v MySQL, na které Sun zvysoka kálel. Zejména v InnoDb. Sun dal přesný plán, co kdy musí vyjít v jakém termínu za feature, a programátoři to prostě museli vydat.

Sun nebyl schopen vydat ani bezchybnou dokumentaci, běžně jsem od něj stahoval manuály, kde chyběly stránky či stránky hlásily chyby. Zejména CHM soubory byly katastrofální.

Co převzal MySQL Oracle, tak se MySQL stala velmi stabilní a dobrou databází. Všechno dali do pořádku. Ale linuxové distribuce mají běžně ještě starší, rozbité verze, často i roky staré. Pak není divu.

Kromě toho některé chyby v bugzille se projevují jen u přebalených binárek balíčkovači linuxových distribucí a nikdy v originálních balíččích. Představa, že balíčkovači dokáží správně a bez chyby odladit a zkompilovat všechny programy v distribuci se statisticky blíží nule.

Pokud potřebujete kritické nasazení, nechávají se databázové tabulky zásadně v MyISAM.

Ale hlavní co chci říci, že mnoho linuxových distribucí má v balíččích starší chybné verze, někdy dokonce navíc i chybně sestavené.

Používám originální soubory od Oracle, nebo MariaDb a v posledních verzích nemám problém.

Hlavní problém MySQL byl Sun a linuxoví balíčkovači.

[j]

"Pokud potřebujete kritické nasazení, nechávají se databázové tabulky zásadně v MyISAM."

lol lol lol ....

Ano, netransakcni prostredi je pro jakykoli nasazeni databaze to prave orechove ...

[Josef Kufner]

Transakce jsou přeceňované. Race conditions se lze vyhnout i jinak a s mírným narušováním integrity dat lze počítat. V jednodušších případech stačí vhodně seřadit dotazy a počítat s tím, že někde může něco chybět.

[trekker.dk]

V jednodušších případech stačí vhodně seřadit dotazy a počítat s tím, že někde může něco chybět.

Schválně jak se na tenhle přístup bude dívat berňák, když takhle budeš dělat účetnictví

[sid]

Takze ked vam nabuduce banka miesto 1000 eur da 50 a potesi vas informaciou ze doslo k miernemu naruseniu integrity dat tak poviete ok? Samozrejme transakcie nie su vsade treba a nie vzdy treba dajme tomu najvyssi level ale takto to zhrnut je dost mimo.

[Josef Kufner]

To ale znamená, že tam mají chybu. To s nepoužitím transakcí nijak nesouvisí. Pokud se transakce nepoužijí, je potřeba řešit race-conditions a podobné věci jinak, ne je neřešit vůbec. Nikde jsem netvrdil, že stačí smazat begin a commit a tvářit se, že to funguje.

[pavlix]

Buďme konkrétní, pak je potřeba ta data zamykat, což s sebou nese samozřejmě své výhody i nevýhody.

[j]

Technicky si muzes transakce realizovat i v aplikaci ... coz mi prijde prinejmensim hodne blbe.

Udelas to jednoduse trebas tak, ze posles do DB sekvenci insert/update ... a pak selectama overis, ze tam je to, co si tam poslal. Jinak receno, proc delat veci jednoduse, kdyz to jde slozite.

[pavlix]

Transakce jsou přeceňované.

Spíš bych řekl, že hrubě podceňované.

[j]

Mnoho dodatelu "profi" aplikaci vubec netusi, co to transakce je ... mam tu cest zcela osobne ...

[pavlix]

Aneb...

To mi dělal kamarád. A von je profík, von tomu fakt rozumí, von má na to dokonce i firmu.

[iwk]

Superslave sa mi zdala byt pekna myslienka. Skusal som to pouzivat (cez 700 domen). Ale mal som len problemy. Ak mastri zmazala nejaka domena, slave nevedel, ze je uz zmazana a stale sa pokusal o transfer....Je to nejak doriesene? A ako backend som mal sqlite3 to sa nejak po par dnoch rozbilo. Netusim preco, mne sa podla logu zdalo ze powerdns chcel zapisovat/zapisal viac domen naraz, asi tam bol nejaky problem s lockovanim. Nemal som cas to riesit, vratil som sa k bindu + skriptu na generovanie konfigu slave domen z mastra, kde mi vsetko fungovalo...

[Filip Jirsák]

Na „master – master“ konfiguraci není nic nečistého. Master/slave není věc DNS protokolu, ale implementace v Bindu, od kterého to přebírají některé další servery. Třeba djbdns ale tohle neřeší. Tam je prostě sada autoritativních serverů, a jakým způsobem se mezi nimi replikují data, to není starost djbdns. Mně osobně se tohle řešení líbí víc, protože pro replikaci dat máme specializované protokoly (rsync pro textové soubory, replikace SQL databází), a není potřeba to znovu řešit v DNS serveru.

[trekker.dk]

Mně osobně se tohle řešení líbí víc, protože pro replikaci dat máme specializované protokoly (rsync pro textové soubory, replikace SQL databází), a není potřeba to znovu řešit v DNS serveru.

Do kamene tesat.

DJB to popisuje na svém webu, http://cr.yp.to/djbdns/tcp.html, What are zone transfers?

Poslední věta - "By combining all these tools, you can finally approach the functionality of a trivial rsync script. Wow." - by byla k smíchu, kdyby to nebylo k pláči.

[Foo Bar]

Takže pro každou slave zónu, kterou budu chtít hostit na svém serveru mám nastavit rsync daemona? Nebo ssh uživatele? Nebo snad replikaci mysql? To moc pěkně škáluje... zvlášť, když překročíte hranice jednoho zdroje dat (tj. ve chvíli, kdy máte nějaké zákazníky).

Taky už úplně vidím, jak v rámci rsync přenosu zajišťujete, že obsah zóny je validní.

Jo, a doporučuji nahlédnout do RFC1034, než budete příště tak autoritativně tvrdit, že primary-secondary (neboli master-slave) není součást protokolu.

[trekker.dk]

To, že něco neumíte, neznamená, že to nejde.

Takže pro každou slave zónu, kterou budu chtít hostit na svém serveru mám nastavit rsync daemona? Nebo ssh uživatele?

Jasně, asi by to šlo. Ale mnohem přičetnější bude dělat rsync celého adresáře, ve kterém jsou zónové soubory uloženy. Nebo u zmíněného djbdns přenesete jenom jeden soubor, ve kterém jsou všechny zóny.

Nebo snad replikaci mysql?

Na replikaci databáze je špatné co? Přenáší to (jenom) změny, děje se tak téměř v reálném čase, nevýhody nevidím.

To moc pěkně škáluje... zvlášť, když překročíte hranice jednoho zdroje dat (tj. ve chvíli, kdy máte nějaké zákazníky).

Jo, škáluje to docela pěkně, děkuju za optání. A vážně - jak souvisí počet zákazníků a zdrojů dat s tím, jak se do nameserveru ta data krmí?

Jo, a doporučuji nahlédnout do RFC1034, než budete příště tak autoritativně tvrdit, že primary-secondary (neboli master-slave) není součást protokolu.

Doporučuji pořádně číst. Příspěvek nad Vámi neříká nic o tom, že primary-secondary není součást protokolu. To akorát vy jste si tady udělal logickou spojku primary-secondary <=> master-slave servery. Jenže tahle spojka je - hádám - založená na nějakém předpokladu, který máte naučený z Bindu.

Když budu mít 2 master servery a nakrmím je stejnými - důraz na slovo stejnými - daty, tak je výsledek nerozpoznatelný* od stavu, kdy budu dělat zónové přenosy pomocí [AI]XFR.

* rozhodně pro účely této diskuze.

[Foo Bar]

Teď si představte, že jste slave server a těch zákazníků máte 100k-1000m. Chtěl bych vidět ten setup, kde jedete přes rsync nebo replikovanou databázi...

Kromě toho jste vymazal tu podstatnou část o validaci příchozích dat... hmm...

[AI]XFR má v DNS světě své místo, a nezmění na tom nic ani to, že se djb rozhodl.

Možná by pomohlo[*], kdybyste si to RFC1034 otevřel a trochu se do něj začetl, než mi začnete podsouvat Vaše myšlenky a domněnky.

* rozhodně pro účely této diskuze.

[Filip Jirsák]

Já si tedy bezpečnou synchronizaci přes rsync dovedu představit mnohem snáz, než bezpečnou synchronizaci přes DNS. Validace příchozích dat se musí dělat v každém případě. Transfer zóny má dnes v DNS své místo, protože ho chtě nechtě každý musí implementovat. To ale ještě neznamená, že je to nejlepší řešení, a že to povinně musí používat každý, kdo potřebuje mít více autoritativních serverů.

RFC1034 říká, že transfer zóny je preferovaný způsob synchronizace, ale neříká, že je jediný. A také (podle mne záměrně) používá terminologii primary/secondary, tedy server, na kterém je změna provedena jako první, a servery, kde je změna provedena až jako druhá v pořadí. To je přeci jenom trochu něco jiného, než master/slave - u primary/secondary je třeba možné každou změnu provést na jiném serveru.

Těch 1000m, zákazníků, to opravdu byla myšlena miliarda? To je největší operátor v galaxii, ne?

[trekker.dk]

[AI]XFR má v DNS světě své místo

Jo, to je pravda, vynalézání šišatého kola bohužel lidem prochází poměrně často.

Možná by pomohlo[*], kdybyste si to RFC1034 otevřel a trochu se do něj začetl, než mi začnete podsouvat Vaše myšlenky a domněnky.

Možná by pomohlo, kdybyste mluvil konkrétně.

[j]

Boze ....

Vis milej zlatej ... kdybys mel aspon potuchy jak DNS funguje, tak bys trebas zjistil, ze jeden DNS server muze klidne obsluhovat desitky tisic domen desitek tisic zakazniku. Ti si chteji trebas replikovat SVUJ zaznam na nejake SVE servery.

Je pak neobycejne efektivni a povznasejici cinnost konfigurovat extra protokoly ... kazdemu userovi extra... misto zapisu jedne IP adresy (kterou si navic muze zapsat sam klient) do konfigurace.

Navic zcela zjevne vubec netusis ... ze ... v pripade DNS transferu muze ten prenos vyvolat jak sekundar tak primar. Fakt chci videt, jak na tisicich serverech konfigurujes rsync ... lol, nebo jeste hur ... replikaci databazi. No asi proto to takhle nikdo normalni nepouziva.

[trekker.dk]

Víš, milej anonymní, víš hov**.

[j]

Jo, to je argument ... a proto 100% DNS serveru pouziva rsync pripade replikaci SQL...

[pavlix]

FreeIPA na master-master používá LDAP a DNS servery stojí nad tím a o replikaci se nemusí starat.

[Foo Bar]

Moje osobní zkušenost s PowerDNS jako slave serverem (s BIND backendem) byla, že se zónový soubor po pár hodinách až dnech rozsynchronizoval a musel se udělat znovu bootstrap. Takže to šlo hodně rychle pryč.

[the.max]

Škoda, že v článku není šířeji rozebrána problematika DNSSEC na PDNS, ale jinak dobré, Sám PDNS používám už dlouhé roky.

[pavlix]

A zvlášť problematika výkonu s těmito všemu vlastnostmi zapnutými. Řešli jsem teď toto téma jak s vývojáři BINDu, tak s vývojáři KnotDNS. Osobně sice nemám vysoké potřeby co do výkonu, ale PowerDNS bych si nenasadil z principu. Chci používat věci, které škálují natolik, abych je mohl dále doporučovat a nasazovat.