Сможете ли вы запустить, вырастить и не уронить сайт? Игра про DNS от Tproger и NGENIX

Сегодня ваш первый день в компании «МаркетПлейсЪ» на должности администратора веб-сайта. МаркетПлейсЪ — это новый сервис, на котором небольшие фермерские хозяйства могут предлагать натуральные продукты магазинам по всей стране и искать партнёров по сбыту. Руководство предполагает, что сервис в скором времени ждёт популярность, а его аудитория за год вырастет до миллионов пользователей. Вам поручили заняться запуском сайта.

Также вас пригласили на мероприятие по DNS. Учитывая ваше новое место работы, было бы нелишним его посетить.

Мероприятие проводит компания NGENIX — провайдер облачных решений для веб-ресурсов. NGENIX предоставляет крупнейшим компаниям распределённую облачную платформу для отказоустойчивости и ускорения веб-сайтов, их защиты от кибератак.

Вебинар уже прошёл, для получения записи напишите организаторам: https://cutt.ly/Il7zDYm

Скажите честно, как вы оцениваете свой реальный уровень навыков?

МаркетПлейсЪ запускает новый портал для своего сервиса. Для него уже зарезервировали домен domain.tld.

Для того, чтобы портал работал на новом доменном имени, вначале нужно:

Правильно, тут нужен регистратор.

Зона на DNS-сервере прописана. Теперь мне нужно прописать наши серверы DNS в нашей же зоне. Сделать это нужно через панель управления регистратора следующим образом:

ns1.domain.tld
ns2.domain.tld

Нужно ли после этого сделать что-то ещё?

Неправильно. Делегирование домена выполняется через регистратора.

Зона на DNS-сервере прописана. Теперь мне нужно прописать наши серверы DNS в нашей же зоне. Сделать это нужно через панель управления регистратора следующим образом:

ns1.domain.tld
ns2.domain.tld

Нужно ли после этого сделать что-то ещё?

Правильно. Это называется Glue Records — запись, в которой хранится IP-адрес, присвоенный домену или поддомену. Без Glue Records не обойтись, когда сервер имён домена находится на поддомене этого же домена.

IP-адреса прописаны, делегирование выполнено. Хочу проверить работоспособность. Для этого использую команду:

Неправильно. Проблему зацикливания это не решит. Нужно вместе с именами указывать IP-адреса NS-ов (Glue Records).

IP-адреса прописаны, делегирование выполнено. Хочу проверить работоспособность. Для этого использую команду:

Правильно. Нужно проверять публичный резолвер Google. Ведь если даже он знает о нашем домене, то и все остальные тоже.

C делегированием разобрались. Теперь нужно настроить балансировку нагрузки. У меня есть 4 сервера с IP-адресами A.B.C.[1-4]. Как нужно прописать запись для www.domain.tld, чтобы нагрузка DNS по ним распределялась равномерно?

Руководитель сказал, что нужно проверять публичный резолвер Google. Ведь если даже он знает о нашем домене, то и все остальные тоже.

C делегированием разобрались. Теперь нужно настроить балансировку нагрузки. У меня есть 4 сервера с IP-адресами A.B.C.[1-4]. Как нужно прописать запись для www.domain.tld, чтобы нагрузка DNS по ним распределялась равномерно?

Неправильно. Это может дать ложный результат. Коллега сказал, что нужно было через dig проверять на публичном сервере Google.

C делегированием разобрались. Теперь нужно настроить балансировку нагрузки. У меня есть 4 сервера с IP-адресами A.B.C.[1-4]. Как нужно прописать запись для www.domain.tld, чтобы нагрузка DNS по ним распределялась равномерно?

Верно. Этот вариант простой и правильный.

Неправильно. Нужны были просто 4 отдельные записи.

Верно. Этот вариант простой и правильный.

Наш сервис бурно развивается, работы стало больше. Поэтому в отдел наняли стажера, который возьмёт на себя часть задач. Сегодня он подошёл ко мне и спросил: обязательно ли увеличивать серийный номер в SOA-записи при изменении зоны? Что ему ответить?

Неправильно. Нужны были просто 4 отдельные записи.

Наш сервис бурно развивается, работы стало больше. Поэтому в отдел наняли стажера, который возьмёт на себя часть задач. Сегодня он подошёл ко мне и спросил: обязательно ли увеличивать серийный номер в SOA-записи при изменении зоны? Что ему ответить?

Верно. Увеличивать серийный номер просто необходимо, если вы используете схему primary/secondary. Secondary-серверы проверяют обновление зоны по SOA, и если номер увеличился, то они скачивают новую версию.

Неправильно. Увеличивать серийный номер просто необходимо, если вы используете схему primary/secondary. Secondary-серверы проверяют обновление зоны по SOA, и если номер увеличился, то они скачивают новую версию.

Верно. Этот вариант простой и правильный.

Прилетел новый таск. Мне нужно минимизировать вероятность отказа сервиса DNS при отказе сервера доменных имён. Для этого нужно:

Неправильно. Оказывается, нужны просто 4 отдельные записи.

Прилетел новый таск. Мне нужно минимизировать вероятность отказа сервиса DNS при отказе сервера доменных имён. Для этого нужно:

Правильно. Если откажет один сервер, то запрос пойдёт на другой.

Теперь мне нужно оптимально зарезервировать наши серверы на уровне сети. Как это сделать?

Неправильно. Лучше всего сделать несколько серверов на разных адресах. Если откажет один сервер, то запрос пойдёт на другой.

Теперь мне нужно оптимально зарезервировать наши серверы на уровне сети. Как это сделать?

Правильный вариант, пусть и не дешёвый. Придётся развернуть много серверов в разных точках присутствия и обеспечить подключение к сетям различных операторов.

Неправильно. Лучший вариант — сделать много DNS-серверов и настроить BGP anycast с разными сетями.

Наш сервис стал дико популярным: нагрузка растёт, число серверов стабильно идёт к сотне. Могу ли я использовать прежний подход для DNS-балансировки?

Правильно. Помните, что некоторые DNS-серверы умеют ограничивать кол-во одновременно выдаваемых записей.

Атаки на DNS — это серьёзная угроза. На серверы приходит огромное количество запросов с поддельных IP-адресов. А если перестанет работать DNS-сервер — перестанет работать и сайт. Можно ли для защиты от атак использовать протокол TCP?

Неправильно. Количество записей не поместится в UDP-пакет, а с TCP намного медленнее. Тем более не все резолверы это поддерживают. Нужно возвращать одновременно по несколько записей.

Атаки на DNS — это серьёзная угроза. На серверы приходит огромное количество запросов с поддельных IP-адресов. А если перестанет работать DNS-сервер — перестанет работать и сайт. Можно ли для защиты от атак использовать протокол TCP?

Правильно. Здесь помогут либо сервисы защиты от атак, либо использование высокозащищённых и производительных сервисов DNS, которые не подвержены таким примитивным атакам.

Ставить 100 серверов — это долго, сложно и дорого. Лучше уже переезжать в CDN. Нужно делегировать в CDN DNS-зону. Нас просят направить наш домен www.domain.tld на домен s123.cdn.tld, а IP-адрес не хотят сообщать. Как мне направить домен?

Неправильно. Лучшим вариантом в такой ситуации является использование специализированных сервисов.

Ставить 100 серверов — это долго, сложно и дорого. Лучше уже переезжать в CDN. Нужно делегировать в CDN DNS-зону. Нас просят направить наш домен www.domain.tld на домен s123.cdn.tld, а IP-адрес не хотят сообщать. Как мне направить домен?

Правильно. Просто и быстро!

Всё работает. Теперь надо и сам домен второго уровня (domain.tld) тоже отдать в CDN. Как мне лучше поступить?

Неправильно. В таком случае страдает балансировка. Руководитель говорит, что нужно было прописать CNAME-запись.

Теперь надо и сам домен второго уровня (domain.tld) тоже отдать в CDN. Как мне лучше поступить?

Верно! Правильное делегирование — залог успеха.

Отказал один из web-серверов, пришлось убрать его из DNS. Проходит час, а пользователи всё ещё к нему обращаются. Как это исправить?

Неправильно. Нужно было отдать всю зону CDN-оператору. Ведь правильное делегирование — залог успеха.

Отказал один из web-серверов, пришлось убрать его из DNS. Проходит час, а пользователи всё ещё к нему обращаются. Как это исправить?

Верно! Правильное делегирование — залог успеха.

Неправильно. Нужно было отдать всю зону CDN-оператору. Ведь правильное делегирование — залог успеха.

Правильно. Так информация будет быстрее обновляться.

Неправильно. Мне посоветовали настроить у таких записей маленький TTL. Так информация будет обновляться быстрей.

На этом всё — портал запущен.

Результат /

Запуститься без проблем у вас явно не получилось. Вы не смогли вовремя исправить то, что поломали. Перебои с работой сайта случаются постоянно. Хорошо, что это лишь тест — всегда можно попробовать ещё раз!

Результат /

Сначала всё работало, но затем начали вылезать какие-то проблемы, сайт регулярно падает или тормозит. Нехорошо.

Для того, чтобы уверенно справляться с подобными задачами, рекомендуем посетить мероприятие NGENIX по настройке и управлению DNS.