Como funciona alta disponibilidade de DNS: etapas para provedores

Como funciona alta disponibilidade de DNS por dentro

Por dentro, a alta disponibilidade de DNS junta três peças: um endereço compartilhado, um protocolo que anuncia esse endereço e um teste que decide se o anúncio continua. Quando o teste falha, o anúncio some e a rede passa a entregar as consultas a outro servidor.

Cada servidor de DNS recebe, numa interface interna, o mesmo endereço que os assinantes usam, por exemplo 192.0.2.53. Um programa de roteamento instalado no próprio servidor, como o BIRD ou o FRR, anuncia esse endereço ao roteador do POP pelo OSPF ou pelo BGP interno.

Os roteadores recebem o mesmo endereço vindo de vários lugares e escolhem o caminho de menor custo. Para o assinante nada muda: ele continua mandando a consulta ao endereço de sempre, e a rede decide qual servidor responde. A Táquion Tech configura essas peças e testa a troca no serviço de alta disponibilidade de DNS.

O que a checagem de saúde testa de fato

A checagem pergunta ao DNS local por um nome conhecido e confere se veio resposta válida dentro de um tempo curto. Ver se a máquina responde ao ping não basta, porque o processo do DNS pode estar travado com a máquina ligada.

O trecho abaixo mostra a ideia num servidor Linux com BIRD 2: o endereço fica na interface de loopback, o OSPF exporta só ele e um script liga ou desliga o anúncio conforme o resultado da consulta.

# /etc/bird/bird.conf (trecho)
protocol direct anycast {
  ipv4;
  interface "lo";
}
protocol ospf v2 interno {
  ipv4 { export where net = 192.0.2.53/32; };
  area 0 { interface "ens18" { cost 10; }; };
}

# /usr/local/bin/checa-dns.sh, chamado pelo agendador a cada poucos segundos
if dig @192.0.2.53 example.com +time=1 +tries=1 | grep -q "status: NOERROR"; then
  birdc enable anycast
else
  birdc disable anycast
fi

O filtro de exportação é tão importante quanto o script. Ele garante que o servidor só anuncie o endereço do DNS, e o roteador do POP também aceita só esse endereço vindo dele.

Por que o assinante não percebe a troca?

Porque o endereço que ele usa nunca muda: só muda o servidor por trás dele. A troca leva o tempo que o roteamento interno precisa para esquecer um anúncio e seguir o outro, que fica em poucos segundos num desenho ajustado [CONFIRMAR no teste do seu caso].

Bem diferente é entregar dois endereços ao cliente e deixar o roteador da casa decidir. Nesse modelo, cada consulta espera o primeiro servidor falhar antes de tentar o segundo, e o assinante sente a demora em toda página que abre.

As cinco etapas do projeto, na ordem em que acontecem

O projeto segue cinco etapas, e cada uma só começa quando a anterior deixou um entregável conferido. A tabela mostra o que acontece em cada uma, o peso dela no calendário e o que fica pronto no fim.

Os prazos em dias dependem do número de POPs e de pools e saem na proposta: [PREENCHER prazo típico por etapa]. O que se mantém em qualquer rede é a proporção: a virada costuma ocupar mais calendário que todas as outras etapas juntas, porque cada pool muda numa janela combinada.

Por que a virada vem depois do anúncio pronto

A virada só começa quando o endereço novo já responde em todos os POPs. Assim, o assinante que muda de endereço cai num serviço que já está redundante desde a primeira consulta.

Durante a virada, o servidor antigo continua ligado e atendendo quem ainda não mudou. Se um pool apresentar problema, ele volta ao endereço anterior sem afetar os outros, e a causa é corrigida antes do próximo.

O que o provedor precisa preparar antes da primeira etapa?

O provedor prepara acessos, informações da rede e a máquina de cada POP. Quanto mais completo esse material chega, mais curto fica o levantamento.

Se o provedor ainda não tem DNS próprio, a primeira implantação vem antes, na implantação de DNS recursivo. E quem quer entender o que muda o valor do projeto encontra a conta separada no guia sobre quanto custa alta disponibilidade de DNS.

Quando o roteamento interno precisa de preparo

O anycast depende de roteamento dinâmico entre os POPs. Se a rede ainda usa só rotas estáticas, o endereço não muda de servidor sozinho, e o OSPF ou o BGP interno precisam subir antes.

O guia de configuração de OSPF mostra como esse roteamento é montado. A Táquion Tech confere esse ponto no levantamento e avisa, antes do desenho, se há preparo de rede a fazer.

Erros que aparecem em cada etapa e como perceber cedo

Cada etapa tem uma falha típica, e quase todas dão sinal antes de virar queda. A lista abaixo liga o erro ao sintoma que denuncia o problema.

• Levantamento: um concentrador esquecido continua entregando o DNS antigo. Aparece depois da virada, quando parte da base ainda consulta o servidor único.
• Desenho: dois servidores colocados em POPs que dependem da mesma fibra ou do mesmo nobreak. A falha só se mostra na primeira queda de energia.
• Anúncio: o servidor anuncia mais do que o endereço do DNS por falta de filtro. Rotas estranhas surgem na tabela do roteador do POP.
• Checagem: o teste olha só se a máquina responde. No teste de queda, o processo parado continua recebendo consultas e o tempo de troca não aparece.
• Virada: o pool muda sem que o endereço novo responda naquele POP. Os chamados de internet sem abrir sites crescem logo depois da janela.

Quase todos esses sinais aparecem nos alertas de saída e volta de servidor, ou na contagem de consultas por POP. Um servidor que nunca recebe consulta, ou que recebe todas, indica custo de rota mal ajustado.

Evite estes atalhos na pressa de terminar

Os atalhos abaixo economizam uma tarde no projeto e costumam custar uma noite de chamados depois.

Como o suporte percebe que o DNS falhou

O sinal clássico é o assinante conectado, com sinal bom e sessão ativa, que não abre nada. O roteiro de rede do provedor caiu ajuda o N2 a separar esse caso de uma queda de link.

Exemplo de como funciona alta disponibilidade de DNS num provedor com dois POPs

Um provedor hipotético com dois POPs, um na sede e outro na cidade vizinha, mostra o caminho do começo ao fim. O DNS dele rodava num servidor só, na sede.

1. Levantamento: o Especialista encontra OSPF rodando entre os dois POPs, um servidor Unbound na sede e dois concentradores entregando o endereço 198.51.100.10 aos assinantes.
2. Desenho: fica definido o endereço anycast 192.0.2.53, com o par IPv6 em 2001:db8::53, servidor na sede e máquina virtual nova no POP vizinho, e checagem a cada poucos segundos.
3. Servidores e anúncio: o segundo servidor recebe o mesmo DNS, os dois passam a anunciar o endereço pelo OSPF e os roteadores ganham filtro para aceitar só esse endereço vindo deles.
4. Virada: em duas janelas, cada concentrador passa a entregar 192.0.2.53, e o servidor antigo segue respondendo em 198.51.100.10 para quem ainda tinha a sessão aberta.
5. Teste de queda: o servidor da sede é desligado, e as consultas da sede passam ao POP vizinho; depois, só o processo do DNS é parado, e a checagem retira o anúncio do mesmo jeito.
6. Entrega: o relatório traz os dois tempos de troca medidos, o diagrama com endereços e filtros e o roteiro de atualização, um POP por vez.

O que o provedor recebe no fim e o que fica com a equipe

O provedor recebe o DNS respondendo pelo endereço redundante, o relatório do teste de queda e a documentação para operar sem depender de quem montou. A operação do dia a dia fica com a equipe da casa ou com um monitoramento contratado.

• Diagrama: POPs, servidores, endereços IPv4 e IPv6, filtros e custos de rota, num formato que a equipe consegue atualizar.
• Relatório do teste: o tempo de troca com a máquina desligada e com o processo parado, medidos no dia.
• Roteiro de atualização: a ordem dos POPs e o que conferir em cada um antes de seguir.
• Alertas configurados: aviso quando um servidor sai da rota e quando volta, com o horário de cada evento.

A alta disponibilidade de DNS exige que alguém olhe esses alertas depois da entrega. Quem não tem equipe para isso pode ligar o projeto ao monitoramento de rede, e o guia sobre como fazer monitoramento de rede mostra o que acompanhar.

Quando vale repetir o teste de queda?

Vale repetir sempre que algo no caminho da consulta muda: roteador novo no POP, ajuste no OSPF, troca de versão do DNS ou servidor novo. O teste é o único jeito de saber que a troca continua funcionando.

Uma vez por ano, mesmo sem mudanças, o teste confirma que ninguém desligou a checagem ou alterou um filtro sem avisar.

Perguntas frequentes

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech