- Door
- Randy ten Have
- geplaatst op
- 3 december 2007 08:04 uur
Vrijdagmorgen gaf Antoin Verschuren, technisch adviseur van de SIDN, uitleg over de SIDN DNS infrastructuur tijdens de 2e SIDN relatiedag nieuwe stijl in Maarssen. Tijdens deze lezing vertelde hij over de inrichting van de nameservers, het nieuwe anycast systeem en de zonefilefrequentie.
Nameservers
De SIDN beschikt over 6 unicast nameservers en een anycast nameserver. De eerste zes nameservers staan in Amsterdam, Ede, Nijmegen, Schiphol-Rijk, Palo Alto (Carlifonia) en Saint Quentin (Parijs). Met deze setup mag 33% van de nameservers uitvallen voordat er pas problemen ontstaan in de bereikbaarheid. En over deze redundacy is goed nagedacht. Zo gebruikt de SIDN tenminste twee soorten hardware, twee verschillende besturingssystemen en twee verschillende soorten DNS software. De kans op storingen wordt hierdoor beperkt tot een minimum en mocht er zich een bug in de software of het besturingssysteem gevonden worden, ondervind het DNS cluster hier geen hinder van.
Anycast
Sinds kort heeft de SIDN ook de beschikking over een anycast nameservercloud verspreidt over de gehele wereld bestaande uit meerdere (tenminste 7, maximaal 32) nameservers. Deze bezitten allemaal hetzelfde IP-adres en hostname. Routing bepaald de kortste route naar de server. Door deze techniek is de beveiliging tegen ddos-aanvallen aanzienlijk verbeterd. Immers wordt de aanval over de kortste route naar de nameserver geleid, waardoor andere servers geen hinder ondervinden van de aanval. Naast deze isolatie is er meer capaciteit en zijn er betere responstijden. Er zijn echter ook nadelen: Het is geen DNS infrastructuur meer maar alles gebeurd op routingniveau, het geen alles duurder maakt. Ook de propagatie van de zonefile duurt langer. “De techniek is niet moeilijk, de uitvoering echter wel”, aldus Verschuren.
Zonefilefrequentie
Waar voorheen de zonefile eens per dag bijgewerkt werd, is deze frequentie een paar maanden geleden geüpdate naar twee keer per dag. Sinds kort update de SIDN de zonefile eens per twee uur. “Maar voordat het zover was heeft er veel moeten gebeuren”, zo liet Antoin tijdens zijn lezing weten. In het DRS2 systeem duurde het genereren van de zonefile ca. 2 uur. Sinds de introductie van DRS4 is deze tijd drastisch teruggebracht naar 30 á 40 minuten en met de laatste update naar DRS4.1 duurt het genereren van de zonefile nog slechts 15 á 20 minuten. De zonefile zelf bevat: (meetdatum 16-11-2007)
- 2.637.417 domeinen
- 6.033.574 NS records
- 23.922 glue-records (IPv4) en 19 IPv6 glue-records
- Aantal mutaties per dag: 2500~3000
- Zonefile grootte: 156 Mb.
Abuse op de nameservers
Tijdens de lezing ging Antoin ook in op abuse op de nameservers en liet aan de hand van enkele statistieken zien wat de gevolgen van bijvoorbeeld de zoneupdate om de twee uur zijn. Onderstaand plaatje laat zien dat er om de twee uur een bijna driedubbele response is op de nameservers, nadat de zonefile een update heeft gehad. “Volstrekt overbodig”, zegt Verschuren. “Immers, het feit dat een domein in de DNS staat of niet, wil nog niet zeggen dat deze vrij is. Hier is de whois voor”. Hij doelt daarmee op een kleine groep ‘domeinkapers’ die om de twee uur kijken welke domeinen zijn vervallen.
Onderstaand voorbeeld laat de impact van een spamscript zien op een nameserver. In de aanloop zie je enkele tests die uitgevoerd zijn door het script, waarna de spammer de definitieve versie de vrije hand geeft. Ook dit is een voorbeeld van een slechte abuser. Immers, de nameservers van de SIDN bevatten geen MX-records.
