T-Mobile má opět výpadek DNS

T-Mobile má výpadek části svých dns služeb. Spousta firem byla smáznuta z globálních dns keší. Následky jsou podobné jako na začátku roku v kauze "cz.nic zablokoval doménu T-Mobile". Nedostupnost části jejich dns je nyní údajně způsobena DDoS útokem. Opět tedy nefungují dns servery vedené pod nextra.cz. Firmy, které u nich mají vedenou doménu, mohou očekávat nedostupnost svých služeb, uvíznutí na globálních emailových aj. blacklistech apod. Horší snad je jen to, že to vypadá (není potvrzeno, jen se to tak z hlediska timeline jeví), že o nedostupnosti části svých služeb se dozvěděli až od zákazníků.

14.6.2023 17:22 | Max | Upozornění

Komentáře

[Max]

Timeline:
15:02 - první registrovaný problém (dle zpětně dohledaných logů jednoho dodavatele služeb)
16:19 - nahlášeno u TMCZ, reakce: nemáme info o žádném problému, dáme to technikům
16:30 - oznámení o hromadném výpadku
Zdar Max

[Max]

Druhý den:
7:10 - Nemáme tu k ticketu žádné info.
7:18 - Dobrý den, tak už by to mělo fungovat, pročetl jsem všechny komentáře pod ticketem a už by se to mělo uvolňovat. Ne, pořád to nejde.
7:55 - už to jde
To byl tedy cca 17h dlouhý výpadek.
Zdar Max

[Max]

Koukám, že pro automobilky je to oblíbený dns provider :)

• tesla.cz
• mercedes.cz
• volvo.cz

Zdar Max

[Heretik 《小魔神》]

Proč vůbec používat DNS poskytovatelů, které mohou být triviálně cenzurovány?

O selháních a útočných podvrzích nemluvě...

[Max]

Tím chtěl básník říci co? Že má firma provozovat všechno na vlastní infrastruktuře?
Zdar Max

[petr_p]

Proč asi CZ.NIC vyžaduje dva DNS servery pro NS set? Aby si tam jelita napsala dva stroje bežící ve stejné garáži asi ne.

[J]

Neni tmobile nahodou clenem Fenixu ktery mel tohle resit?

[X]

Fenix to neresi, ted jen zdruzuje organizace za urcitych podminek ktere lezi na organizaci.

Smyslem vzniku projektu FENIX je umožnit spojení poslední šance („last resort“) v případě, že se infrastruktura člena projektu FENIX stane cílem útoku.

To muze znamenat cokoli. https://nix.cz/docs/Pravidla_pro_pripojeni_do_projektu_FENIX_v9.pdf

[trekker.dk]

Spousta firem byla smáznuta z globálních dns keší.

?

Není náhodou smazání dat z cache běžný provozní stav?

[Max]

Samozřejmě, jen jsem tím chtěl říci, že to došlo do stavu, kdy už jejich dns nikdo nepřeloží.
Zdar Max

[Slavko]

..., že to došlo do stavu, kdy už jejich dns nikdo nepřeloží.

...pretože po vymazaní z vyrovnávacej pamäte sa tam nový záznam znova nevloží, ale vloží sa, že ich DNS neodpovedá...

[Max]

Já tím chtěl říci, že pokud má DNS server krátkodobý výpadek (třeba 1h), tak je šance, že to na vliv služeb nebude mít vliv, protože to obslouží keše po světě. Jakmile je to delší výpadek, tak dojde k výpadku, navíc třeba u mailových služeb to může dojít do blacklistové spirály. Obnova prozovu je pak o to těžší.
Zdar Max

[plostenka]

Blacklisting na zaklade nedostupnosti (specifickeho zaznamu v) DNS je uplna demence hned od zacatku. Jako by se spam poznal podle specifickeho odchoziho serveru, a ne podle toho, ze +- stejny mail se rozesila v milionech kopiich.

[Max]

Vše záleží na tom, jak je postaven antispam. Je třeba si uvědomit, že antispam se ptá dns na několik věcí: spf, dkim, adsp, dmarc, mx, rdns...
A je pak tedy otázkou, jak se antispam zachová, když mu dns keš část odpovědí dá a část nedá, protože už vypršela. Antispam většinou totiž zajímá obsah odpovědi, né, důvod, proč jí nedostal.
Zdar Max

[plostenka]

Je třeba si uvědomit, že antispam se ptá dns na několik věcí...

Coz je prave to, co kritizuju, a co presne vede ke blocklistove spirale, kdyz se DNS z libovolneho duvodu pokazi.

Antispam si ma cachovat podezrele zpravy (dle keywordu, atd) a kdyz jich dostane n v danem casovem okne, tak cely batch vyhodnoti jako spam a nedoruci. Netreba spolehat na verohodnost odesilatele - spammer se identifikuje sam ti ze, well, spamuje.

[J]

To je samozrejme hloupost. V dnesni dobe jsou spameri docela chytri, dostanete treba email s odkazem na sharepoint a az na tom sharepoint mate nejakou prasarnu. Antispam reseni nehledici na odesilatele ale jenom slova si v tomhle pripade rekne ze sharepoint je trusted a nic neblokuje. Chytre antispam reseni se podiva na odesilatele, zjisti ze je to nejaky rusak na blacklistech a emailovou komunikaci nepusti dal.