DNS balancer 1.0.0-alpha2

Vyšla nová verze (druhá alfa chystaného vydání 1.0.0) softwaru dnsdist. Jedná se o inteligentní DNS balancer umožňující realtime inspekci provozu, blokování a omezování dotazů podle mnoha různých pravidel včetně dynamického blokování klientů podle typu a počty generovaných DNS odpovědí. Balancer je skriptovatelný v jazyce Lua.

6.2.2016 00:00 | BigWrigley | Zajímavý software

Komentáře

[pavlix]

To mi trochu připomíná Broken DNS Proxy s tím rozdílem, že zatímco Tomáš cílí na testování, oni na reálný provoz.

[BigWrigley]

Je to velmi realne pouzitelne, i kdyz cislo verze zatim ponekud odrazuje. Pokud mate hodne, ale opravdu hodne DNS klientu, je tohle asi nejlepsi vec, na kterou jsem narazil. Vyvojarum velmi fandim, mimochodem, na filtrovani podle QClass dodelali behem jendnoho vecera po zmince na IRC...

[j]

Chm ... a neni jednodussi rozjet dalsi DNS?

[BigWrigley]

Jak to myslite?

[j]

Tak jak to pisu, balancer se prevazne pouziva tam, kde jeden srv nestaci. DNS balancuje od prirody, staci jich mit vic. Coz je o dost efektivnejsi, nez nekde na vstupu resit, jestli me nahodou nekdo nedosuje ... protoze dos se stejne zadnym balancerem vyresit neda, tak maximalne dosnu sam sebe.

2pavlix: Vcem? Ze je to scriptovatelny? Muze byt ... ale nac to? Realne tim dos stejne neporesis. Nejak pro to nevidim zadnej usecase.

*aby bylo jasno, dosem samo myslim primarne ddos, protoze o nicem jinym nema smyslu premejslet.

[BigWrigley]

Nemohu s vami souhlasit. Prectete si dokumentaci a pochopite, ze prave k obrane pred DDoS utoky zrovna toto velmi pomaha. Pro predstavu, mejme DNS klienta, ktery generuje 5 dotazu za sekundu, na nez dostava od serveru SERVFAIL. Jeden klient, zadny problem. 100 klientu taktez. Ale pokud jich ale mate pet nebo deset tisic, a nemuzete je uplne zablokovat, mate velky problem. Pro rekurzor je totiz takove zjisteni pomerne "drahe".

Mate-li vlastni rekurzory za balancerem, muzete napr. upgradovat za bileho dne a zcela bez odstavek. A to nemluvim o takovych vychytavkach, jako je ratelimiting zpozdujici odpovedi nebo nutici klienty prejit na TCP, ratelimiting per host v ramci sitoveho rozsahu (i pro IPv6), smerovani klientu na ruzne poooly rekurzoru podle toho, kolik generuji provozu na jake domeny a mnohe dalsi. Ani na F5 se rada veci, ktere to umi IMHO udelat neda.

Ad skriptovatelnost - vyresili jsme tim situaci, kdy potrebujeme, aby DNS server, ktery za normalnich okolnosti rekurzivne resolvi, v urcitych pripadech, kdy ma totaz specifickou podobu (regex), vracel NXDOMAIN.

[j]

Tak vygenerujeme milion dotazu za sekundu a slozi se i balancer ... respektive hur, pri vhodne vedenym utoku odstreli legalni klienty, takze je uplne jedno, ze vlastne vse funguje.

Kdyz mam 1+N kde N>0 DNS serveru, tak muzu taktez updatovat/upgradovat za bileho dne, protoze proste odpovi jeden z tech N. Ono je to tak navrzeno. A co se vykonu tyce, stejne potrebuju aby vse zvladalo N stroju, kdyz ten jeden z libovolnyho duvodu nepobezi. Zato kdyz si pred to dam balancer, tak mam uzasny single point of failure.

"v urcitych pripadech, kdy ma totaz specifickou podobu (regex), vracel NXDOMAIN. " ... aha, proto u O2 nefunguji DNS ... (tyce se samo vsech tech uzasnych kurvitek za "A to nemluvim o takovych vychytavkach" ...).

[pavlix]

"v urcitych pripadech, kdy ma totaz specifickou podobu (regex), vracel NXDOMAIN. " ... aha, proto u O2 nefunguji DNS ... (tyce se samo vsech tech uzasnych kurvitek za "A to nemluvim o takovych vychytavkach" ...).

A proto je potřeba nasadit DNSSEC a kontaktovat fallback servery po HTTPS. Tím se celá tahle šaškárna zcela obejde, ledaže by O2 chtěla plně nebo selektivně blokovat HTTPS provoz.

[BigWrigley]

Pro upresneni, Tenhle pripad se netykal bezneho (zakaznickeho) DNS, ale situaci v evolved packet core, kde se DNS vyuziva take.

[pavlix]

Reagoval jsem spíše na j a jeho poznámku o DNS u O2.

[BigWrigley]

Jak jste to myslel s tim DNSSEC?

[BigWrigley]

Tak vygenerujeme milion dotazu za sekundu a slozi se i balancer ....

Tak vygenerujeme 10 milionu dotazu... Ne, to opravdu neodola sebelepsi reseni. Pri 1M pps nejspis uvarite i nejakou tu firewall po ceste a provoz se na DNS servery uz nejspis ani nedostane.

Zato kdyz si pred to dam balancer, tak mam uzasny single point of failure.

Ne vzdy muzete nebo chcete pouzit anycast. Nebo mate na mysli jine reseni? Ja netvrdim, ze tenhle produkt je nejlepsi reseni pro vse, ale rozhodne pro nej vidim usecase v momente, kdy mam znacnou, ale nikoliv 100% kontrolu nad tim, kdo se me pta a jak se pta a chci mit moznost nevhodne chovani potlacit, napr. proto, ze nekdo naimplementoval DNS klienta spatne.

... aha, proto u O2 nefunguji DNS ...

Co vam konkretne u O2 nefunuje? Nemam s nimi zkusenost, proto se ptam.

[j]

Ad O2, ja snimi taktez osobne nic nemam (a pokud to jen trochu pujde, tak nikdy nic mit nebudu) ale uz sem na par mistech resil, proc DNS bud neodpovida, nebo dokonce posila nesmyslne odpovedi/falesne IP. Nekde v hlubinach webu O2 je pak k nalezeni, ze to delaji pro dobro zakazniku, protoze by se nedejboze mohli dostat treba na wikipedii, na ktere je prece to decke porno. Seznam timto zpusobem nedostupnych adres je pochopitelne (pro vasi bezpecnost) tajny.

[pavlix]

Mate-li vlastni rekurzory za balancerem, muzete napr. upgradovat za bileho dne a zcela bez odstavek.

Jaký je přesně důvod restartovat dobře napsaný rekurzor, který nelze uplatnit na restart balanceru. Ptám se vážně.

[BigWrigley]

Pominu-li upgrade kvuli potrebnym novym vlastnostem a pod., tak napr. zmena parametru, ktere nemuzete zmenit za behu, Napr. pocet threadu, rozsireni poctu zdrojovych portu pro dotazy, uprava rozlozeni cache... Obvykle veci, kterymi nejak reagujete na vyvoj provozu v siti.

[pavlix]

Není. Jestli jsou mé informace správné, tak jsou vlastnosti toho software naprosto unikátní.