आपका डोमेन DNS: समस्या और सुरक्षा

अच्छे पुराने दिनों में, हमारी परियोजना को बार-बार विभिन्न प्रकार, विभिन्न क्षमताओं और अवधि के DDoS हमलों के अधीन किया गया था। हमने कई अलग-अलग सुरक्षा विधियों पर काम किया है, साथ ही साथ स्वयं की संरचना को अनुकूलित किया है, आंशिक रूप से होस्टिंग और सर्वर स्थान के संदर्भ में। सीखे गए पाठ का एक महत्वपूर्ण हिस्सा उचित डीएनएस सेटअप था। जैसा कि हैबर पर नवीनतम हमले और हमारे द्वारा दिखाई गई समस्याओं के बारे में टिप्पणी के रूप में, हर कोई DNS सुरक्षा पर उचित ध्यान नहीं देता है, लेकिन बहुत, बहुत व्यर्थ में।







हम समस्याओं के मामले में हमारे लिए गलत DNS कॉन्फ़िगरेशन क्या हो सकता है, यह छांटना शुरू कर देंगे।



2. "मैं इसके बाद खुशी से जीता" - यह DNS ज़ोन में रिकॉर्ड के बारे में नहीं है। यह पहली समस्या है जो एक आपातकालीन आईपी परिवर्तन (और आपातकालीन एक भी नहीं) के दौरान उत्पन्न होती है। लंबे समय से वे दिन हैं जब ग्राहकों ने कम टीटीएल को नजरअंदाज किया और बस एक निश्चित मूल्य से नीचे टीटीएल का उपयोग करने की अनुमति नहीं दी। अब 5-10 मिनट की रिकॉर्डिंग जीवनकाल का उपयोग करना सामान्य है। हां, यह अतिरिक्त ट्रैफ़िक में व्यक्त किया गया है, लेकिन आपको यह स्वीकार करना होगा कि यह बाद के HTTP अनुरोध द्वारा उत्पन्न सामान्य ट्रैफ़िक की पृष्ठभूमि के प्रति महत्वहीन है।



यह सबसे अधिक समझने योग्य और सहज ज्ञान युक्त वस्तु है। हमले के मामले में, आपको जल्दी से अन्य सर्वरों पर स्विच करने का अवसर मिलता है (यदि हमला एक विशिष्ट आईपी पर है)। यह राउंड-रॉबिन का उपयोग करते समय एक गिर नोड को जल्दी से अक्षम करने में भी मदद करेगा।



एक विशिष्ट आईपी पर हमले की स्थिति में, हम एक हमलावर के साथ बिल्ली और माउस खेलना शुरू करते हैं, और यह व्यवसाय, स्पष्ट रूप से, कृतघ्न और अक्सर बेकार है। सबसे पहले, आपको साइट को एक से दूसरे स्थान पर स्थानांतरित करने के लिए एक पर्याप्त आईपी पूल की आवश्यकता है, पुराने को कहीं नहीं भेजना। दूसरे, हमलावर बस ऊब जाएगा और वह एक ही बार में समस्या का समाधान करेगा - आपके नाम सर्वर, जो डोमेन रिज़ॉल्यूशन के लिए जिम्मेदार हैं, पर हमला किया जाएगा।



2. क्या आप एनएस को उसी सर्वर (साइट) पर होस्ट करते हैं जो साइट के रूप में है? तब समस्याएं आपके पास आती हैं। आपके सर्वर पर हमला करने से, हमलावर को दोहरा लाभ मिलता है: उसने साइट को नीचे रख दिया और ज़ोन के बारे में अद्यतन जानकारी को ग्राहकों तक पहुँचा दिया। इस प्रकार, 60 के ttl के साथ भी, यदि आप बैकअप IP पर स्विच करते हैं, तो भी यह साइट अप्राप्य रहेगी, क्योंकि यह जानकारी प्राप्त नहीं की जा सकती है। साइट और नाम सर्वर को एक ही साइट पर रखना हानिकारक है और यह तुरंत पहली समस्या के साथ सबसे खराब पक्ष से खुद को दिखाएगा।



3. DNS होस्टिंग रूसी लोकतंत्र के पिता को नहीं बचाएगा! अधिक सटीक रूप से, प्रत्येक DNS होस्टिंग नहीं। यहां तक ​​कि बाहरी, सशुल्क या मुफ्त DNS होस्टिंग सेवाओं का उपयोग करते हुए, आप अपने आप को 100% सुरक्षित नहीं करते हैं। यदि यह सेवा 2, 3 और यहां तक ​​कि 4 भौगोलिक रूप से दूरस्थ सर्वर पर स्थित है, जिसे माना जाता है कि 100% विश्वसनीयता की गारंटी दी जानी चाहिए, तो वास्तव में कोई गारंटी नहीं देता है कि 10 mbps के चैनल के साथ 4 सर्वर कुछ भी नहीं देते हैं। वे एक छोटे से बोटनेट द्वारा सफलतापूर्वक बंद कर दिए जाते हैं, जो एक हमलावर (ग्राहक) के लिए बहुत सस्ता है, जो कि आपके सुपर-सिक्योर साइट पर गीगाबिट चैनल और पहले से ही स्थापित सुरक्षा योजनाओं के साथ हमला करता है। DNS होस्टिंग का उपयोग करते समय, यह सुनिश्चित करना महत्वपूर्ण है कि सेवा प्रदाता के पास खुद को पर्याप्त सुरक्षा है, क्योंकि वह लेट जाएगा - आप भी गिर जाएंगे, और वे पहले से ही इस बारे में पहले बिंदु की तुलना में बहुत कम सोचते हैं।



एक बोनस के रूप में, हम DNS होस्टिंग के लिए टैरिफ के साथ एक तालिका प्रदान करते हैं, जिसे हमने Google के पहले पृष्ठ के परिणामों के आधार पर रेखांकित किया।

प्रदाता	# डोमेन का	# रिकॉर्ड की	# प्रश्नों का	न्यूनतम ttl	लागत / महीना	लागत / वर्ष
Neustar	10	1,000	100,000		50
Neustar	100	5000	250,000		110
Neustar	100	5000	400,000		160
zonomi	1	10			0	0
zonomi	10	100				10
zonomi	15	150				10
dnsmax		25	20,000	300	3	36
dnsmax		100	50,000	60	12	144
dnsmax		500	100,000	1	25	300
DynDNS		75	600,000			30
SMB रंगे	10	100	600,000		30
SMB रंगे	25	250	600,000		60
रंजक (कस्टम)					> 195
dnsmadeeasy	10	400	5,000,000			30
dnsmadeeasy	25	1,000	10,000,000			60
dnsmadeeasy	50	2,000	50,000,000			150

जैसा कि हम देख सकते हैं, उच्च ट्रैफ़िक के साथ कम टीटीएल हमें टैरिफ द्वारा अनुमत अनुरोधों की अत्यंत कम संख्या के कारण, सभी सेवाओं पर एक बहुत पैसा खर्च करेगा। कई सेवाएं विशेष रूप से - बहुत कम टीटीएल के उपयोग की अनुमति नहीं देती हैं। अंतिम पंक्ति में वर्णित डाइजन्स समाधान काफी अच्छा लग रहा था, लेकिन महंगा है।



तालिका में सेवा के "सुरक्षा" का कोई संकेतक नहीं है, क्योंकि इस मुद्दे को प्रत्येक व्यक्तिगत सेवा के अधिक विस्तृत अध्ययन की आवश्यकता है। यह समझना महत्वपूर्ण है कि एक गुणवत्ता सेवा आपको एक बहुत पैसा खर्च करेगी। लेकिन अगर आप अपने संसाधन के लिए बुनियादी ढांचे में निवेश करने के लिए तैयार हैं, तो होस्टिंग लागत के साथ-साथ नाम सर्वर की विश्वसनीयता के लिए एक सुंदर पैसा देने के लिए मत भूलना, जो आपके संसाधन का दौरा करने में पहला कदम है। यह इसके लायक है।



संक्षेप में:

- ttl तार्किक सेट करने के लिए बेहतर है, वास्तव में, यह प्रत्येक संसाधन के लिए व्यक्तिगत है। बहुत अधिक खतरनाक है, और बहुत कम महंगा है।

- नाम सर्वर बाहरी उपयोग करने के लिए बेहतर हैं और निश्चित रूप से साइट के साथ एक ही साइट पर स्थित नहीं हैं

- नाम सर्वर को साइट की तुलना में कम सुरक्षित रखें, और DNS होस्टिंग की पसंद को गंभीरता से लें, क्योंकि साइट होस्टिंग से कम नहीं है।



ऊपर लिखी सिफारिशों के अलावा, आप राउंड-रॉबिन, लोड-बैलेंसिंग और यहां तक ​​कि डीएनएस-फ़ायरवॉल जैसे शानदार DNS सक्षमता विकल्पों पर भी चर्चा कर सकते हैं, जो कई प्रशासकों के जीवन को आसान और अधिक शानदार बना सकते हैं, लेकिन यह एक अन्य लेख का विषय है।