Quanto custa implantação de DNS recursivo: guia para provedores

Resumo

• O programa de DNS não cobra licença; o valor está em medir, configurar, fechar o acesso e migrar a base.
• Refazer um BIND antigo em uso custa mais que partir do zero, porque a troca não pode derrubar ninguém.
• Cada concentrador e cada pool que entrega o endereço do DNS soma uma etapa de migração.
• DNS aberto e DNS de terceiros também têm preço, pago em banda, listas de bloqueio e controle perdido.

Quanto custa implantação de DNS recursivo e o que de fato se paga

Paga-se o trabalho de medir, desenhar, instalar em paralelo e migrar, além dos servidores, que são do provedor. O programa em si não entra na conta, porque as opções usadas por provedores são de código aberto.

O DNS recursivo é o servidor que recebe a pergunta do roteador do assinante, busca a resposta na internet e guarda o resultado em cache para os próximos. Montar um em produção envolve dimensionar pelo pico, liberar só os blocos da casa, ligar a validação DNSSEC e trocar o endereço entregue aos clientes sem queda.

Na implantação de DNS recursivo da Táquion Tech, o valor do serviço cobre medição, desenho, instalação, migração por grupos e painel de acompanhamento. Para um provedor com dois servidores, a faixa é [PREENCHER faixa de preço da Táquion Tech].

Existe preço de mercado para DNS recursivo?

Não existe tabela pública de órgão ou de fabricante para esse serviço, e os números que circulam em grupos de provedores misturam escopos muito diferentes. Um valor pode ser só a instalação de um programa numa máquina; outro pode incluir migração de cinco concentradores.

Sem fonte oficial, este guia não traz faixa em reais. O que dá para comparar com segurança é o escopo, e é para isso que servem a tabela de fatores e o checklist das próximas seções.

Se o programa é livre, onde está o custo?

O Unbound, o BIND, o PowerDNS Recursor e o Knot Resolver são distribuídos sem cobrança de licença. O custo aparece em quatro tarefas que nenhum programa faz sozinho.

• Dimensionamento: medir quantas consultas por segundo a base faz no pico e escolher quantos servidores e quanta memória de cache.
• Segurança: responder só para os blocos IPv4, IPv6 e a faixa do CGNAT, com limite de consultas por origem.
• Migração: mudar o DNS entregue pelo PPPoE, pelo DHCP e pelo anúncio IPv6, grupo por grupo, com o servidor antigo ainda ligado.
• Acompanhamento: gráfico de consultas, tempo de resposta e acerto de cache, para saber se a troca melhorou alguma coisa.

O que faz o orçamento de DNS recursivo subir ou descer

Sete perguntas sobre a sua rede explicam quase toda a diferença entre orçamentos. Responda cada uma antes de pedir proposta e você já sabe em que ponto da escala o seu caso fica.

Perguntas sobre a rede que mudam o preço da implantação de DNS recursivo

Pergunta	Resposta que simplifica	Resposta que dá mais trabalho	O que isso acrescenta
De onde o DNS parte hoje?	Assinantes usam DNS público de terceiros	Servidor próprio antigo, em uso e aberto para fora	Fechar o acesso sem cortar a base e migrar com volta pronta
Quantas consultas por segundo no pico?	Base pequena, um servidor folgado por POP	Base grande, com picos de jogos e vídeo	Mais servidores, teste de carga e ajuste de memória
Quantos concentradores entregam o endereço?	Um concentrador PPPoE	Vários, com perfis e pools diferentes	Uma etapa de migração e um teste por origem
A rede tem CGNAT e IPv6?	Só IPv4 público	CGNAT na faixa 100.64.0.0/10 e IPv6 em produção	Regras de acesso e testes para cada faixa
Há ordens de bloqueio a aplicar?	Nenhuma por enquanto	Lista recorrente que precisa de histórico	Estrutura de lista em todos os servidores e registro de cada inclusão
Onde ficam os gráficos?	Painel novo, entregue junto	Integração ao Zabbix ou Grafana que o provedor já usa	Coleta, modelos e alertas ligados ao sistema existente
Servidor físico ou virtual?	Máquina virtual num equipamento com folga	Servidor novo para montar no rack do POP	Instalação física e, às vezes, visita ao local

A primeira linha costuma decidir o tamanho da proposta. Sair do DNS de terceiros é uma troca planejada; sair de um servidor aberto que já está sendo usado em ataques é uma troca com pressa, e pressa sem plano de volta é o que derruba a navegação.

Um servidor ou dois: quando a economia não compensa

Um servidor só reduz o orçamento, mas transforma cada atualização em parada da base inteira. Dois servidores, em equipamentos e energia diferentes, é o mínimo que permite manter o DNS sem janela de madrugada.

Espalhar esses servidores por POPs, com troca automática entre eles, já é outro projeto. O guia sobre quanto custa alta disponibilidade de DNS separa essa conta.

Na prática: DNS de terceiros ou servidor aberto, qual sai mais caro de trocar?

O servidor aberto em uso sai mais caro de trocar, mesmo numa base menor. A comparação abaixo mostra por quê, sem valores, só pelo trabalho que cada caso pede.

O provedor C entrega aos assinantes um DNS público de uma grande empresa de internet, por um concentrador só, e ainda não tem CGNAT. O provedor D tem um BIND instalado há anos, que responde para qualquer endereço da internet, três concentradores, CGNAT em parte da base e IPv6 em teste.

1. Provedor C: instala os servidores, aquece o cache, troca o DNS do concentrador para um pool pequeno, confere os números e segue para o resto da base.
2. Provedor D: primeiro fecha o acesso de fora sem cortar os próprios clientes, depois monta os servidores novos em paralelo e migra três concentradores e duas faixas de endereço.
3. O que pesou: o ponto de partida. O provedor D tem um servidor que precisa de correção imediata e mais caminhos por onde o endereço chega ao assinante.
4. O que ficou igual: o teste feito de uma rede externa, provando que o DNS novo não responde para quem não é cliente.

Uma proposta que trate os dois casos com o mesmo escopo está errando em um deles. No provedor D, quem pula o fechamento do servidor antigo deixa a origem do problema ligada durante toda a migração.

Quanto custa adiar a implantação de DNS recursivo?

Ficar como está também gera despesa, só que ela vem espalhada em outras linhas do caixa. Separe a conta conforme o seu caso: DNS aberto ou DNS de terceiros.

Um DNS que responde para a internet é usado em ataques de amplificação: alguém manda consultas pequenas com o endereço da vítima e o seu servidor devolve respostas grandes para ela. O guia de ataque DDoS no provedor mostra como esse tráfego aparece nos gráficos.

A conta de um DNS aberto

Use os números do seu monitoramento e do seu atendimento. Cada linha abaixo é uma multiplicação simples.

1. Banda de saída gasta: some o tráfego que o servidor de DNS enviou para fora da sua rede no último mês e compare com o que você paga por megabit de trânsito.
2. IPs em lista de bloqueio: conte os dias em que algum bloco seu ficou listado e os chamados de e-mail recusado que vieram nesse período.
3. Horas de equipe: some o tempo gasto respondendo a avisos de abuso e tirando endereços de listas.

O passo a passo para sair dessas listas está no guia de IP do provedor em blacklist. Sem fechar o DNS, o endereço volta para a lista na semana seguinte.

A conta de depender do DNS de terceiros

Aqui a despesa é menos visível, porque o DNS de fora funciona. O custo aparece em controle e em qualidade.

• Caches de vídeo: alguns caches de conteúdo usam a origem da consulta de DNS para escolher de onde servir, e os caches dentro da rede podem ser pouco usados.
• Bloqueios: sem servidor próprio, não há onde aplicar uma ordem de bloqueio de domínio nem como provar que foi aplicada [CONFIRMAR na norma].
• Diagnóstico: quando o assinante reclama que um site não abre, você não tem registro nenhum para olhar.

O que costuma ficar fora do orçamento de DNS e aparece depois

Seis itens costumam aparecer só depois da assinatura. Nenhum deles é raro, e todos cabem numa pergunta antes de fechar.

• Ajuste no RADIUS: quando o endereço do DNS vem do perfil do assinante, a troca passa pelo servidor de autenticação, tratado na implantação de RADIUS.
• Servidores: físicos ou virtuais, são do provedor; a proposta deve dizer o tamanho, mas raramente inclui a máquina.
• Redundância entre POPs: dois servidores no mesmo local não cobrem a queda do POP inteiro.
• Manutenção do programa: atualizações de segurança do software de DNS seguem acontecendo depois da entrega, e alguém precisa aplicá-las.
• Lista de bloqueio contínua: a estrutura vem pronta, mas cada nova ordem precisa ser incluída por alguém.
• DNS autoritativo: hospedar os domínios dos clientes empresariais é outro serviço, com outras regras.

Os gráficos entregues no projeto valem pouco se ninguém olha. O guia de implantação de Prometheus mostra uma forma de guardar esses números junto com o resto da rede.

A Táquion Tech não vende servidor nem licença, e a indicação de máquina sai da conta de consultas por segundo e de memória de cache, sem marca preferida.

Erros comuns na contratação: quando a economia vira prejuízo

A economia vira prejuízo quando o orçamento corta o teste de fora da rede, a faixa do CGNAT ou a migração em grupos. São cortes invisíveis no papel e muito visíveis no primeiro dia.

• Liberar só o IPv4 público: depois do CGNAT, os assinantes consultam a partir da faixa 100.64.0.0/10 e ficam sem resposta.
• Esquecer o IPv6: o cliente com IPv6 recebe o DNS por outro caminho, e o servidor precisa atender por ele.
• Trocar todos os pools na mesma noite: se algo falha, ninguém sabe qual concentrador causou.
• Desligar o DNS antigo cedo demais: assinantes que não reconectaram continuam apontando para ele por dias.
• Não medir antes: sem número do DNS antigo, não há como mostrar que o novo responde mais rápido.

Perguntas frequentes

Fontes

1. RFC 5358, Preventing Use of Recursive Nameservers in Reflector Attacks: recomenda que o servidor recursivo atenda só aos clientes da própria rede
2. RFC 4033, DNS Security Introduction and Requirements: introdução ao DNSSEC e à validação das respostas assinadas
3. Unbound (NLnet Labs): página do fabricante do Unbound, servidor recursivo de código aberto