Dedykowany serwer DNS: wydajność, bezpieczeństwo i kontrola Twoich stref
Hostuj własne serwery DNS na dedykowanym serwerze Kimsufi: autorytatywny serwer DNS dla Twoich domen, prywatny resolver dla Twoich zespołów, albo jedno i drugie. Zasoby bez współdzielenia, pełny dostęp root i ochrona Anti-DDoS w zestawie: zachowujesz sterowanie nad każdą strefą DNS, każdym rekordem i każdym zapytaniem.
Czym jest dedykowany serwer DNS?
DNS (Domain Name System) to książka telefoniczna internetu: tłumaczy nazwę domeny na adres IP. Gdy wpisujesz adres w przeglądarce, Twój komputer wysyła zapytanie DNS do resolvera. Ten odpytuje serwer korzeń, potem serwer DNS rozszerzenia (.fr, .com...), a następnie autorytatywny serwer DNS tej domeny, który odsyła związany z nią adres IP. Przeglądarka może wtedy połączyć się ze stroną. Ta resolucja DNS rozgrywa się w kilka milisekund, przy każdej wizycie, każdym wysłanym mailu, każdym wywołaniu API: jej prędkość i pewność warunkują wszystkie Twoje usługi online.
Dedykowany serwer DNS pozwala Ci samodzielnie zainstalować i administrować tą usługą, na maszynie fizycznej, zamiast powierzać ją rejestratorowi albo zależeć wyłącznie od publicznej usługi DNS. To wybór zespołów, które chcą:
- kontrolować każdą strefę DNS i każdy rekord, bez ograniczeń interfejsu;
- automatyzować aktualizacje ze swoich narzędzi (API, Ansible lub Terraform, na przykład);
- używać prywatnego DNS dla swoich serwerów, stanowisk lub VPN, z własnymi regułami filtracji i poufności;
- przechowywać dzienniki zapytań u siebie, a nie u dostawcy zewnętrznego.
Serwer Kimsufi jest niezarządzany: z dostępem root wybierasz oprogramowanie DNS, a potem zarządzasz konfiguracją, aktualizacjami i nadzorem.
Dlaczego wybrać serwer dedykowany Kimsufi dla swojego DNS?
Pełna kontrola
Z dostępem root wybierasz system (Debian, Ubuntu, AlmaLinux...), swoje oprogramowanie DNS, otwarte porty, reguły firewalla i całą konfigurację.
Anti-DDoS w zestawie
DNS to częsty cel ataków odcinania usługi. Ochrona Anti-DDoS jest w zestawie we wszystkich ofertach Kimsufi, a nasze centra danych mają certyfikat ISO 27001: solidna baza dla bezpieczeństwa Twojej usługi.
Zarezerwowane zasoby
CPU, RAM i magazyn nie są współdzielone z nikim: Twój cache DNS pozostaje w pamięci, a szybkość resolucji nie zależy od zbyt żarłocznego sąsiada.
Redundancja geograficzna
Rozdziel swoje serwery DNS między kilka lokalizacji (Francja, Niemcy, Wielka Brytania, Polska, Kanada, Indie, Singapur, Australia), aby przybliżać odpowiedzi do użytkowników i dzielić ryzyka.
Chargement du catalogue…
Autorytatywny serwer DNS czy resolver: właściwie odróżniać role
Dwie rodziny serwerów DNS współistnieją i nie odpowiadają tym samym potrzebom:
- Autorytatywny serwer DNS hostuje strefę DNS domeny i jej rekordy: A (adres IPv4), AAAA (adres IPv6), MX (serwer poczty), CNAME, TXT (SPF, DKIM, DMARC), NS i SOA. Odpowiada na zapytania z całego świata, ale wyłącznie dla domen, które mu powierzono. Wykorzystywane programy: BIND, PowerDNS Authoritative, Knot DNS, NSD.
- Resolver (czyli serwer DNS rekursywny) wychodzi od korzenia i wspina się po łańcuchu, aż znajdzie właściwy serwer, potem trzyma wynik w swoim cache DNS przez czas TTL. Obsługuje klientów Twojej sieci: komputery, serwery, routery, urządzenia połączone. Wykorzystywane programy: Unbound, Knot Resolver, PowerDNS Recursor, albo Pi-hole i AdGuard Home do filtrowania reklamy i złośliwych domen.
Publiczna usługa DNS, na przykład Cloudflare, Google Public DNS czy Quad9, to resolver otwarty dla wszystkich: praktyczny, ale każde zapytanie DNS przechodzi przez podmiot trzeci. Prywatny DNS, odwrotnie, odpowiada tylko Twoim własnym adresom IP: rozwiązuje też Twoje wewnętrzne nazwy i stosuje Twoją politykę poufności. Współdzielony DNS rejestratora, wreszcie, hostuje Cię pośród tysięcy innych klientów, z jedynymi opcjami jego interfejsu.
Trzymaj te dwie role na oddzielnych usługach: ten sam program, który jednocześnie jest publicznie autorytatywny i otwarcie rekursywny, komplikuje bezpieczeństwo i ułatwia nadużycia.
Jak wybrać swój dedykowany serwer DNS?
DNS to lekka usługa: odpowiedź waży kilkaset okt. To, co się liczy, to regularność, pamięć i bliskość Twoich użytkowników. Kilka punktów odniesienia:
- Procesor: serwer DNS publikujący kilka rekordów wymaga niewiele mocy. Bardzo obciążony resolver rekursywny, podpisywanie DNSSEC licznych stref czy zaawansowana filtracja korzystają z kilku rdzeni.
- Pamięć: RAM przyjmuje cache DNS i, dla wielu programów, cały zbiór wczytanych danych. Im więcej obsługiwaned zapytań, tym bardziej się liczy: większy cache pozwala uniknąć powtarzania tych samych poszukiwań.
- Magazyn: SSD szeroko wystarcza do trzymania plików stref, bazy danych PowerDNS i dzienników.
- Sieć: łącze ma od 100 Mb/s do 1 Gb/s zależnie od modelu, z ruchem bez limitu w zestawie. Tutaj latencja do Twoich użytkowników waży więcej niż surowa przepustowość.
- Lokalizacja: wybierz centra danych blisko Twoich użytkowników, i przynajmniej dwa serwery, a więc dwa różne adresy IP, dla swoich serwerów nazw.
Na przykład, aby hostować własne nazwy albo uruchomić prywatny DNS dla zespołu, gama KS oferuje ekonomiczny punkt wyjścia. Dla resolvera rekursywnego obsługującego licznych klientów, dużego wolumenu rekordów albo hostingu DNS proponowanego Twoim własnym klientom gamy SYS i RISE przynoszą więcej pamięci i mocy.
Czym jest dedykowany serwer DNS?
To maszyna zarezerwowana dla Twojego użytku, na której uruchamiasz własną usługę DNS: autorytatywny serwer DNS dla swoich domen, prywatny DNS dla swoich sieci, albo jedno i drugie. Ty wybierasz program, konfigurację i politykę bezpieczeństwa.
Potrzebny jest serwer autorytatywny czy resolver?
Pierwszy publikuje rekordy DNS Twoich domen dla całego internetu. Drugi odnajduje żądany adres IP dla Twoich własnych klientów i trzyma go w cache. Aby hostować swoje domeny, potrzebujesz serwera nazw; aby kontrolować resolucję DNS swoich zespołów, prywatny DNS.
Ile serwerów DNS przewidzieć?
Co najmniej dwa na domenę, każdy z własnym adresem IP, na różnych serwerowniach. Wiele rejestrów tego wymaga, i to jest warunek, aby Twoje nazwy pozostawały rozwiązywane, gdy serwer jest niedostępny.
Jak rozwiązać problem serwera DNS, który nie odpowiada?
Sprawdź, czy usługa działa, czy port 53 jest otwarty po UDP i TCP, a potem odpytaj wprost serwer z dig, podając jego adres IP. Skontroluj składnię strefy, numer seryjny SOA i delegację NS u rejestratora. Po stronie użytkownika wyczyść na przykład cache DNS systemu albo przeglądarki.
Który DNS jest najpewniejszy?
Do resolucji wielkie publiczne usługi DNS (Cloudflare, Google, Quad9) są pewne, ale przepuszczają przez siebie Twoje zapytania. Prywatny DNS na Twoim serwerze dedykowanym zostawia Ci kontrolę poufności. Dla Twoich domen pewność pochodzi przede wszystkim z redundancji: kilka serwerów DNS, na kilku serwerowniach.
Jak włączyć DNSSEC na moim serwerze DNS dedykowanym?
Wygeneruj klucze (KSK i ZSK) swoim programem DNS, podpisz strefę, a potem opublikuj rekord DS u swojego rejestratora. PowerDNS, BIND i Knot DNS pozwalają automatyzować podpisywanie i rotację kluczy.