מדוע זמינות גבוהה של DNS ו- Fault Tolerance Matter

כאשר משתמשים מקלידים את התחום שלך לדפדפן, הצעד הראשון הוא בדיקת DNS.אם זה נכשל, האתר שלך עשוי גם להיות לא מקוון. הבטחת DNS הוא מאוד זמין ו-פגום- סובלני משמע האתר שלך נשאר נגיש גם במהלך תקלות חומרה, מחיצות רשת, או התקפות DDoS. ספק DNS אחד או שרת אחד הוא נקודה אחת של כשל.

זמינות גבוהה (HA) מתייחסת ליכולת של המערכת לפעול ללא הפרעה. Faultסובלנות (FT) ממשיכה, ומאפשרת למערכת להמשיך לתפקד כראוי גם לאחר רכיב נכשל. במונחים של DNS, כלומר תשתית ה- DNS שלך יכולה להתמודד עם גחלים בתנועה להישאר באינטרנט, בעוד FT אומר שאם שרת DNS או ספק אחד יורד, אחרת לוקחת מיד ללא כל זמן פנוי למשתמשי הקצה.

הבנת אדריכלות DNS עבור עמידות

שרתים חשבונאיים וסמכותיים

כל החלטה DNS כוללת שני סוגים עיקריים של שרתים: פותרים חוזרים (בדרך כלל מופעלים על ידי ISPs או ספקים ציבוריים כמו DNS ציבורי או Cloudflare) ושמות סמכותיים (אשר אתה שולט על התחום שלך) עבור הזמינות הגבוהה של התחום שלך, להתמקד על ה-FLT:0 שמות סמכותיים של erverstFLT:1), השרתים שעונים על רשומות התחום שלך, אך הם יכולים להבטיח תשובות מרובות, אך ורק אם הם עדיין יכולים להשיג מספר רב של ספקים אחרים, אך ורק אם הם עדיין יכולים להבטיח, אם הם יכולים להבטיח תשובות, אם הם יכולים להבטיח, אך ורק על פני מקומות נוספים.

אזורי DNS, רשומות ודלגציה

אזור ה-DNS של התחום שלך מכיל את כל הרשומות (A, AAAA, CNAME, MX וכו ') כי תנועה ישירה. כדי להשיג סובלנות אשמה, אתה צריך לפחות שני שמות סמכותיים (רשומות NS) מצביע על כתובות IP שונות או ספקי שירות.רוב רשםי התחום מאפשרים לך לציין עד 13 NS רשומות, אבל אדמומיות מעשית דורשת לפחות שניים או שלושה ספקים עצמאיים.

אסטרטגיות מפתח עבור זמינות גבוהה DNS ו Fault Tolerance

  • (FLT:0) ספקי DNS מרובים:FLT:1 Distribute DNS סמכותי בין שני ספקים או יותר עצמאיים (למשל, Cloudflare, Amazon Route 53, Google Cloud DNS, NS1).זה מונע ספק אחד לצאת מהשליטה של הספק אחד מנטילת התחום שלך במצב לא מקוון.
  • (FLT:0) ,DNS נכשל:FLT:1 ,הערכת בריאות אוטומטית כדי שאם השרת הראשי שלך הוא בלתי ניתן להשגה, DNS מחזיר את כתובת ה- IP של שרת עומד.זה דורש ספק DNS עם ניטור מובנה או חיצוני המעדכן רשומות DNS באמצעות API.
  • (FLT:0) מינוף כלסט רוסינג:FearLT:1 , Anycast מאפשר לשרתים מרובים מפוזרים ברחבי העולם לשתף את אותה כתובת IP. שאילתות משתמש מוצמדות באופן אוטומטי לשרת הקרוב או הבריא ביותר.זה מספק הן התפלגות עומס וכשלונו אוטומטי.
  • (FLT:0Set Short TTL Values:FearLT:1) TTL (Time to Live) קובע כמה זמן רישום DNS מצופה על ידי פותרים חוזרים, במהלך גיל המעבר, TTL ארוך (למשל, 86400 שניות) פירושו שמשתמשים עשויים להיות תקועים עם IP שבורה למשך עד 24 שעות.
  • (FLT:0)Monitor DNS Health Proactively:03F1) השתמש בכלים ניטור שבדקו זמינות שמות סמכותיים, הפצת רשומות, וזמני תגובה.
  • (FLT:0) Use Virtual IPs ו- Load Balancers:cioFLT:1 מאחורי הקלעים, אתה יכול להשתמש IPs צף או מאזן עומס בין שרתי האינטרנט שלך.DNS יכול להצביע על מאזן עומס, אשר לאחר מכן מחלק תנועה על פני שרתים בריאים, הוספת שכבה נוספת של סובלנות לקויה.

שלב-על-ידי-Step DNS Configuration for High Availability

בחר שני ספקי DNS עצמאיים או יותר

בחרו ספקים המציעים ערבויות SLA חזקות, רשתות כלק, וגישה ל- API לאוטומציה.

  • (ב) ,0CloudflarephFLT:1) כולל הגנת DDoS וכלק.
  • (ב) ,0) אמזון כביש 533,3: אינטגרציה הדוקה עם AWS.
  • (FLT:0) Google Cloud DNSigtureFLT:1) - רשת גלובלית בעלת עוצמה נמוכה.
  • (ב) [13] ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇

הגדר את ספק ה- DNS הראשי שלך כדי לארח את קובץ האזור הראשי.אז, ברשם התחום שלך, להגדיר את רשומות NS כדי להציג את שמות השמות של הראשי ואת שמות של הספק השני.הספק השני חייב להיות עותק של האזור שלך (שלעתים קרובות משוכפל באמצעות העברה אזור).

קידוד ה-DNS נכשל עם בדיקות בריאות

ספקים רבים מציעים שירות מבוסס-אין-בנייה.לדוגמה, בכביש 53 אתה יכול ליצור מדיניות כושלת עם בדיקות בריאות.ב-Cloudflare, אתה יכול להשתמש ב- לטעון Balancing עם בריכות מקור.

  • צור תיעוד עבור התחום שלך או תת-קיום זה מצביע על IP השרת הראשי שלך.
  • צור שיא משני עם עדיפות נמוכה יותר או באמצעות חסימה זה מצביע על IP שרת גיבוי.
  • בדיקות בריאות הגדרות אשר בודקות באופן קבוע את תגובתו של השרת הראשי (HTTP, HTTPS, TCP).
  • כאשר בודק הבריאות העיקרי נכשל, ספק ה- DNS מחזיר באופן אוטומטי את ה- IP לשאילתות.

עבור חוסן מקסימלי, להבטיח שרת הגיבוי נמצא במרכז נתונים אחר או באזור ענן.

3.הכנת כלסט רוסטינג

אם ספק ה- DNS שלך תומך בכלסט, השתמש בו. Anycast מסתיר את הטופולוגיה של השרת מאחורי כתובת IP אחת.כאשר משתמשים שואלים IP, BGP של הרשת מיישר אותם למרכז הנתונים הקרוב ביותר.אם אחד לא נכשל, התנועה אוטומטית פונה אל הקרובים ביותר.זה איך Cloudflare ו- CDN רבים מספקים זמינות גבוהה.

כדי להגדיר כלק עבור התשתית שלך, אתה צריך להודיע את אותו תיקון IP ממרכזי נתונים מרובים לאינטרנט באמצעות BGP. זה מורכב יותר אבל יכול להיעשות אם יש לך את ASN שלך ואת שטח IP. עבור רוב הארגונים, באמצעות רשת כלק של ספק הוא פשוט יותר.

הגדרות TTL

TTLs קצרים (למשל, 300 שניות או 5 דקות) הם חיוניים עבור נכשל מהיר.עם זאת, הם מגבירים את העומס השאילתה על השרתים הסמכותיים שלך כי פותרים חוזרים זמן קצר יותר.

  • לרשומות A/AAAA הקריטיות שעשויות להשתנות במהלך אירוע:0TTL = 60-300 שניות
  • עבור רשומות יציבות כמו MX או NS: FLT:0TTL = 3600 שניות (1 שעה) ,3600 שניות)
  • זכור כי NS להקליט TTLs לשלוט כמה מהר שרתי DNS אחרים ללמוד על שינויים בשמות שלך. שמור NS TTLs מתון (למשל, 86400 שניות) אבל להבטיח שהם עקביים על פני ספקים.

כאשר אתה משנה IP בשל כשל, ה- TTL הקצר מאפשר IP חדש להפיץ במהירות.לאחר האירוע, אתה יכול לחזור לראשון ולחכות ל- TTL Expiry.

עדכון DNS אוטומטיים

בסביבות דינמיות, ייתכן שתרצה לעדכן באופן יזום רשומות DNS המבוססות על בריאות השרת או ארועים מדרג. השתמש ב- APIs. לדוגמה, עם כביש 53 אתה יכול להשתמש ב-AWS SDK כדי לעדכן רשומות.עם Cloudflare, באפשרותך להשתמש ב- API שלהם.

  • בדוק את בריאות השרת באמצעות מצב ping, HTTP, או סינתטי.
  • על כשלון, לעדכן את הרשומה (או לשנות משקל במדיניות של גילוח משקל) כדי להצביע על השרת הבריא.
  • שלח התראות למערכת המעקב שלך.

אדריכלות DNS מתקדמת עבור Enterprise Fault Tolerance

Multi-region ו- Multi-Cloud Deployments

עבור חברות המפעילות שירותים ברחבי AWS, GCP, ו- ON-Premises, DNS ממלא תפקיד מכריע בהנעת התנועה לאזור הבריאותי ביותר.שימוש ב-ApLT:0geolocation routingsFLT:1 כדי להפנות משתמשים לאזור הקרוב ביותר, ו-FLT:2failover routingFLT 3 בתוך כל אזור.

DNS היברידי עם Split Horizon

לקבלת החלטה פנימית וחיצונית, שקול ל-DNS של ה-DNS. משתמשים פנימיים שאילת אזור DNS פרטי (למשל, באמצעות כביש 53 פותרר או Windows DNS), בעוד משתמשים חיצוניים מבקשים בשרתים סמכותיים ציבוריים.זה מבטיח כי התנועה הפנימית משתמשת ב- IP פרטיים (זמן מהיר יותר ומאובטח יותר) בעוד שתנועת מעבר חיצוני משתמשת ב- IPs ציבוריים.

מעקב ותחזוקה של בריאות DNS

עקבו אחרי DNS-Specific Monitoring

השתמש בכלים כמו:

  • (ב) ,0) צ'קייגל (ChecklyveFLT:1) או קונסול:2 (Pingdomph) 3 - לפקח על החלטת DNS ממיקומים גלובליים מרובים.
  • (ב) ,0 ,NagiosveFLT 1:2 (Prometheusphal) 3 עם יצוא DNS - לעקוב אחר זמני תגובה שאלות ושיעורי שגיאה.
  • (ב) ,0) ,(DNSCheckFLT:1) - כדי לאמת את תצורת האזור שלך ואת המשלחת.

עקבו לפחות:

  • כל השמות הסמכותיים של IPver זמינים בנמל 53/853 (TCP/UDP).
  • התחום שלך פותר נכון ממספר בדיקות גלובליות.
  • מספר סידורי SOA תואם את הספקים (אם העתקה באמצעות העברה לאזור).
  • רשומות NSNS של TLD NS תואמות את תצורת השמות בפועל שלך.

מבחן קבוע נכשל Scenarios

בדיקות תקופתיות של כישלונות:

  1. קח אחד השרתים העיקריים שלך באופן זמני (או לחסום את נקודת הקצה של בדיקת הבריאות).
  2. בדוק כי DNS מתג ל- IP גיבוי בתוך חלון TTL הצפוי.
  3. בדוק כי שרתי גיבוי יכולים לטפל בעומס הייצור המלא.
  4. ניתן לשחזר את השרת הראשי ולהבטיח ש-DNS חוזר.

מסמך הנוהל וההתנהגות הצפויה (FLT:0) כלי הנדסה של צ'או (FLT) 1:1 כדי לדמות כישלונות באופן מבוקר.

שיקולים של DNS גבוה-Availability

סובלנות Fault אינה רק על כישלונות; היא גם על התקפות.DNS הוא וקטור נפוץ עבור DDoS (התקפות דגימה) והרעלת כאב.

  • השתמש ב- DNS-over-TLS או DNS-over-HTTPS עבור שאילתות כדי למנוע spoofing ומניפולציה (מסופקים על ידי פותרים חוזרים רבים).
  • DNSSEC מאפשר לחתום על האזור שלך ותשובות אותנטיות.זה מונע הרעלה מטמון והתקפות חד-מין.DNSSEC מוסיף עמידות על ידי הבטחת השלמות של רשומות שלך, גם כאשר משתמשים במספר ספקים.
  • הקטנת DDoS: בחר ספקיות DNS עם רשתות כלסטיות גדולות ומרכזי פעוט. Cloudflare, Akamai ו-NS1 כולם מציעים הגנה על DDoS מובנה.
  • השתמש במגבלת שיעור השרתים הסמכותיים שלך כדי למנוע התעללות, אבל להבטיח את גבולות הריבית לא להפריע לתנועה לגיטימית במהלך שיא.

מלכודות נפוצות להימנע

  • (FLT:0) ספקית תלויה גם עם שרתים מרובים: אנדרט 1:1 אם כל השמות שלך הם מאותו ספק, OUTG-רחבה לוקח הכל למטה.
  • (ב) TL ארוך TTLs על מטרות כושלות: ⁇ 1 (A TTL של 86400) פירושו שהוא יכול לקחת יום לשינויים להפיץ.
  • (FLT:0) אבחון רשומות דבק:FLT:1hil כאשר אתה משתמש שמות מותאמים אישית (למשל, ns1.example.com), אתה צריך רשומות דבק ברשם כדי למנוע לולאות פתרון.
  • (FLT:0) לא בדיקות נכשלות: 1FLT 1 ו-Coniguring מחאות בריאות ללא סימול אי-פעם הוא מסוכן.הבדיקות עלולות להיות לא מוגדרות, או שרת הגיבוי עשוי להיות לא מוגדר כראוי.
  • (FLT:0Misaligned Zone Files) על פני ספקי: ההרחבה 1 (IQREFLT:1) אם אתה מעדכן באופן ידני רשומות בספק אחד, אך שוכח את האחר, חוסר עקבי יכול לגרום לתנועה ללכת למקום הלא נכון.

שם הכל ביחד: דוגמה אמיתית לקונפדרציה

נניח שהתחום שלך (FLT:0) פועל בשרתים בשני אזורי AWS (us-מזרח-1 ו-eu-west-1) אתה משתמש בכביש 53 כ-DNS הראשי ו-Cloudflare כאמצעי משני:

  1. קו קו העלילה 53 עם רשומות ראשוניות (us-מזרח-1 IP) ו-II A record (eu-west-1 IP) באמצעות מדיניות מניעת הפסקות.
  2. הגדר את Cloudflare כמדנית: או להשתמש בהעברת אזור 53 ל-Cloudflare, או לשכפל באופן ידני את האזור. השתמש במאזן העומס של Cloudflare עם בריכות מקור מצביעות על שני האזורים, עם בדיקות בריאות.
  3. ברשם, קבע NS רשומות ל- Road 53 ו-Cloudflare שמות של שמות.
  4. הגדר TTL על תקליטים ל-300 שניות.
  5. ניתן ל-DNSSEC. Both Route 53 ו-Cloudflare לתמוך ב-DNSSEC, אך להבטיח שהשרשרת נשמרת (אתה תצטרך לחתום על ספק אחד ולהעלות את שיא ה-DS לרשם).
  6. הגדר מעקב ממיקומים גלובליים מרובים, השתמש בכלי כמו FLT:0ChecklyFLT:1 כדי לאמת את השאילתות לשתי שמות הספק להחזיר את ה- IP הנכון.

במקרה ש-U-מזרח-1 נכשל, בדיקות בריאות מעוררות את כביש 53 ו-Cloudflare כדי להחזיר את ה-U-מערב-1 IP. המשתמשים יקבלו את ה- IP לאחר ש-TTL יפוג (5 דקות מקסימום) במהלך ה-Ecreage, הספק המשני ממשיך לשרת את הרשומה הנכונה, כך גם אם כביש 53 היה משפיע, Cloudflare עדיין היה משרת את ה- IPover.

מסקנה

ניהול DNS עבור זמינות גבוהה וסובלנות אשמה הוא לא משימה קבועה-על-ידי-על-ידי-הגיש-זה דורש בחירה ספקית זהירה, ניהול TTL נאותה, אוטומציה של בדיקות בריאות, ניטור מתמשך.השלם הוא משמעותי: גם במהלך מונים גדולים, המשתמשים שלך נשארים מחוברים לשירותים שלך, שמירה על האמון ושעות נוספות.

(ב) ראו את ה-FLT:0) כביש 53 פיסול מחיקה 1 ו-FLT:2Cloudflare DNS Learning Centers.