Μήνας: Μαρτίου 2009

Posted on

re: Applications Meme

I got tagged from kargig, so here are my answers:

  1. Which desktop manager do you use more often ?
    xfce
  2. Which desktop application you would not like to see implemented again on linux? And why?
    Yet another Web browser.. We have enough!
  3. Which desktop application you definitely would like to see implemented on linux? Describe it briefly or point out to a similar application.
    Picasa (linux native, not via wine)
  4. Write the name of the last project (not the very best, the last!) that made you wish to thank their developers so you can thank them now!
    Munin (recently finished a massive deployment on 120 systems), thanks Linpro!
  5. (Optional) Link the blogs of 1-3 people you’d like to take part to this meme. (no more than three). you can skip this question if you like.
    I tag HSOC and v13.
Advertisement
Posted on

Resolvers vs. Authoritative DNS

Γιατί στην Ελλάδα (σχεδόν) όλοι πιστεύουν ότι οι DNS που πρέπει να έχουν στη σύνδεσή τους είναι αυτοί που έχει δηλώσει ο ISP τους για το κύριο domain name του; Είναι ένας μύθος που δεν ισχύει..

Μάλλον γιατί μέχρι τώρα, όλοι οι ISP έδιναν στους πελάτες τους τους ίδιους Name Servers και για τη σύνδεσή από το σπίτι, και για τα domains που έκαναν Register..

Κάποιοι έχουν έναν physical server με δύο διαφορετικές virtual IPs από το ίδιο LAN..

Περισσότεροι έχουν δύο physical servers στο ίδιο Data Center..

Λιγότεροι έχουν δύο ή παραπάνω physical servers σε διαφορετικά Data Centers σε διαφορετικές πόλεις..

Συνήθως λοιπόν, οι ISPs, αφού έμπαιναν στον «κόπο» να φτιάξουν και να διαχειριστούν αυτή την υποδομή από DNS Servers, τους χρησιμοποιούσαν και για τους access πελάτες (pstn, isdn, adsl) αλλά και για τα domain hostings.. Και το recursive DNS ήταν ανοιχτό για όλους, από όπου κι αν ερχόταν το request..

Ομως σιγά σιγά τα πράγματα αλλάζουν.. Εμφανίζονται Amplification Attacks.. Τα νούμερα (domains + χρήστες) μεγαλώνουν.. Η κίνηση εκτοξεύεται (από χιλιάδες queries σε εκατόμύρια)..

Για να αντιμετωπίσουν τα attacks σιγά σιγά οι ISPs αρχίζουν και κλείνουν το recursion στους μη-πελάτες τους (το αντίστοιχο του open-relay για το email).. Τώρα φτάσαμε στο σημείο που ούτε καν τα αποτελέσματα της cache που έχει ένας DNS δε σου δίνει, εκτός κι αν είσαι πελάτης..

Μετά αρχίζουν να πουλάνε πακέτα web hosting με control panels (plesk, cpanel κλπ).. Και σαν μέρος του control panel, περιέχεται και το DNS του Domain.. Αντί να κάνουν Integration του control panel με τους DNS servers που ήδη έχουν, δίνουν τον DNS του control panel.. Κι έτσι αποκτάνε και άλλο set από DNS servers, ειδικά για domains που γίνονται hosting στο control panel..

Μετά εμφανίζεται το opendns.com. Κάποιοι χρήστες αρχίζουν να αλλάζουν από μόνοι τους τους DNS Servers στη σύνδεσή τους και αγνοούν αυτούς που τους δίνει ο ISP..

Και τέλος, εμφανίζονται ISPs που, επιτέλους, αρχίζουν να δίνουν άλλους DNS στους access πελάτες τους από αυτούς που χρησιμοποιούν για τα domains τους (The importance of separating DNS caches from DNS Servers)..

2011 Update: Resolvers Vs. Authoritative DNS, Part 2

Posted on

DNS attack avenue-escorts.co.uk

Last night (06 Mar 2009, 18:00 – 21:00 GMT) all our DNS servers were hit by thoudands of queries per minute like these..

client xx.1.178.144#11332: query: XtrkjA.avenue-escorts.co.uk IN NS +
client xx.1.34.160#1024: query: PupxpWqaCy.avenue-escorts.co.uk IN NS +
client xx.92.137.28#32768: query: GWgtomQeLZSDdris.avenue-escorts.co.uk IN NS +
client xx.1.83.145#1025: query: nBgoxan.avenue-escorts.co.uk IN NS +

All queries were from legit clients, that were allowed recursion (so now we know, the number of zombies lurking in our network is quite large)..

I had to declare the authoritative NSs for avenue-escorts.co.uk as bogus in all our NSs, thus stopping all outgoing queries to them (ref). The queries from clients kept hitting our NSs, but since no recursion was performed the load dropped.. Queries stopped about an hour after the fix.

Anyone else seen something similar on their NSs ?

dnsgraph_day

dnsgraph_day_rr