Dedicated DNS-server: prestaties, beveiliging en controle over uw zones
Host uw eigen DNS-servers op een dedicated Kimsufi-server: een autoritatieve DNS-server voor uw domeinnamen, een private resolver voor uw teams, of beide. Niet gedeelde bronnen, volledige root-toegang en anti-DDoS-bescherming inbegrepen: u houdt de regie over elke DNS-zone, elk record en elke query.
Wat is een dedicated DNS-server?
Het DNS (Domain Name System) is de telefoongids van het internet: het vertaalt een domeinnaam naar een IP-adres. Wanneer u een adres intoetst in uw browser, stuurt uw computer een DNS-query naar een resolver. Die raadpleegt een rootserver, daarna de DNS-server van de extensie (.fr, .com...), daarna de autoritatieve DNS-server voor dat domein, die het bijhorende IP-adres terugstuurt. De browser kan dan verbinden met de site. Deze DNS-resolutie speelt zich af in enkele milliseconden, bij elk bezoek, elke verstuurde e-mail, elke API-oproep: haar snelheid en betrouwbaarheid bepalen al uw online diensten.
Een dedicated DNS-server laat u zelf deze dienst installeren en beheren, op een fysieke machine, in plaats van haar toe te vertrouwen aan uw registrar of uitsluitend af te hangen van een publieke DNS-dienst. Dat is de keuze van teams die willen:
- elke DNS-zone en elk record beheersen, zonder de grenzen van een interface;
- de updates automatiseren vanuit hun tools (API, Ansible of Terraform bijvoorbeeld);
- een private DNS gebruiken voor hun servers, hun werkposten of hun VPN, met hun eigen regels voor filtering en vertrouwelijkheid;
- de querylogbestanden bij zichzelf bewaren, in plaats van bij een derde partij.
De Kimsufi-server is unmanaged: met root-toegang kiest u de DNS-software en beheert u daarna de configuratie, de updates en de opvolging.
Waarom een dedicated Kimsufi-server voor uw DNS?
Volledige controle
Met root-toegang kiest u uw systeem (Debian, Ubuntu, AlmaLinux...), uw DNS-software, uw open poorten, uw firewallregels en de volledige configuratie.
Anti-DDoS inbegrepen
DNS is een frequent doelwit van denial-of-service-aanvallen. De anti-DDoS-bescherming is inbegrepen op alle Kimsufi-aanbiedingen en onze datacenters zijn gecertificeerd ISO 27001: een stevige basis voor de beveiliging van uw dienst.
Gereserveerde bronnen
CPU, RAM en opslag deelt u met niemand: uw DNS-cache blijft in het geheugen en de resolutiesnelheid hangt niet af van een te hongerige buur.
Geografische redundantie
Verdeel uw DNS-servers over meerdere locaties (Frankrijk, Duitsland, Verenigd Koninkrijk, Polen, Canada, India, Singapore, Australië) om de antwoorden dichter bij uw gebruikers te brengen en de risico's te spreiden.
Chargement du catalogue…
Autoritatieve DNS-server of resolver: onderscheid de rollen goed
Twee families DNS-servers bestaan naast elkaar en beantwoorden niet dezelfde behoeften:
- De autoritatieve DNS-server host de DNS-zone van een domein en zijn records: A (IPv4-adres), AAAA (IPv6-adres), MX (mailserver), CNAME, TXT (SPF, DKIM, DMARC), NS en SOA. Ze antwoordt op queries van over de hele wereld, maar enkel voor de domeinen die haar zijn toevertrouwd. Gebruikte software: BIND, PowerDNS Authoritative, Knot DNS, NSD.
- De resolver (of recursieve DNS-server) vertrekt vanaf de root en loopt de ketting op tot ze de juiste server vindt, en bewaart het resultaat daarna in haar DNS-cache gedurende de TTL. Ze bedient de clients van uw netwerk: computers, servers, routers, verbonden toestellen. Gebruikte software: Unbound, Knot Resolver, PowerDNS Recursor, of Pi-hole en AdGuard Home om reclame en schadelijke domeinen te filteren.
Een publieke DNS-dienst, bijvoorbeeld Cloudflare, Google Public DNS of Quad9, is een resolver die voor iedereen open staat: handig, maar elke DNS-query passeert een derde partij. Een private DNS antwoordt daarentegen enkel op uw eigen IP-adressen: zij lost ook uw interne namen op en past uw privacybeleid toe. De gedeelde DNS van een registrar host u ten slotte tussen duizenden andere klanten, met enkel de opties van zijn interface.
Houd deze twee rollen op gescheiden diensten: één software die tegelijk publiek autoritatief en open recursief is, bemoeilijkt de beveiliging en vergemakkelijkt misbruik.
Hoe kiest u uw dedicated DNS-server?
DNS is een lichte dienst: een antwoord weegt enkele honderden bytes. Wat telt, is de regelmaat, het geheugen en de nabijheid bij uw gebruikers. Enkele ijkpunten:
- Processor: een DNS-server die enkele records publiceert vraagt weinig rekenkracht. Een zwaar belaste recursieve server, de DNSSEC-handtekeningen van veel zones of geavanceerde filtering profiteren van meerdere cores.
- Geheugen: het RAM-geheugen herbergt de DNS-cache en, bij veel software, de volledige geladen gegevens. Hoe meer queries u bedient, hoe meer het telt: een grotere cache vermijdt hetzelfde onderzoek te herhalen.
- Opslag: een SSD volstaat ruim om de zonebestanden, de database van PowerDNS en de logbestanden op te slaan.
- Netwerk: de verbinding loopt van 100 Mbps tot 1 Gbps naargelang het model, met onbeperkt verkeer inbegrepen. Hier weegt de latentie naar uw gebruikers zwaarder dan de brute bandbreedte.
- Locatie: kies datacenters dicht bij uw gebruikers, en minstens twee sites, dus twee verschillende IP-adressen, voor uw nameservers.
Bijvoorbeeld: om uw eigen namen te hosten of een private DNS te draaien voor een team, biedt de KS-reeks een voordelig startpunt. Voor een recursieve server die tal van clients bedient, een groot volume records of een DNS-hosting die u aan uw eigen klanten aanbiedt, brengen de SYS- en RISE-reeksen meer geheugen en meer rekenkracht.
Wat is een dedicated DNS-server?
Het is een machine die voor uw gebruik is gereserveerd en waarop u uw eigen DNS-dienst draait: een autoritatieve DNS-server voor uw domeinen, een private DNS voor uw netwerken, of beide. U kiest de software, de configuratie en het beveiligingsbeleid.
Hebt u een autoritatieve server of een resolver nodig?
De eerste publiceert de DNS-records van uw domeinen voor het hele internet. De tweede vindt het gevraagde IP-adres voor uw eigen clients en bewaart het in de cache. Om uw domeinen te hosten hebt u een nameserver nodig; om de DNS-resolutie van uw teams te controleren, een private DNS.
Hoeveel DNS-servers voorziet u best?
Minstens twee per domein, elk met een eigen IP-adres, op verschillende sites. Veel registers eisen dat, en het is de voorwaarde dat uw namen blijven opgelost als een server onbeschikbaar is.
Hoe lost u een DNS-server op die niet antwoordt?
Controleer of de dienst draait, of poort 53 open staat in UDP en TCP, en bevraag daarna de server rechtstreeks met dig, met vermelding van zijn IP-adres. Controleer de syntaxis van de zone, het SOA-serienummer en de NS-delegatie bij de registrar. Aan de kant van de gebruiker leegt u bijvoorbeeld de DNS-cache van het systeem of de browser.
Welke DNS is het meest betrouwbaar?
Voor de resolutie zijn de grote publieke DNS-diensten (Cloudflare, Google, Quad9) betrouwbaar, maar zij zien uw queries passeren. Een private DNS op uw dedicated server laat u de vertrouwelijkheid beheersen. Voor uw domeinen komt de betrouwbaarheid vooral van de redundantie: meerdere DNS-servers, op meerdere sites.
Hoe activeert u DNSSEC op mijn dedicated DNS-server?
Genereer de sleutels (KSK en ZSK) met uw DNS-software, onderteken de zone en publiceer daarna het DS-record bij uw registrar. PowerDNS, BIND en Knot DNS maken het mogelijk om de handtekeningen en de sleutelrotatie te automatiseren.