O cliente usa DNS de fora
Cada consulta sai da sua rede, ocupa o link de trânsito e volta. Você também perde o controle de bloqueios e não enxerga o que acontece.
Sistemas · Provedores
Implantação de DNS recursivo para provedores
Servidores de DNS dentro da sua rede, com cache cheio, resposta só para os seus assinantes e números de consulta acompanhados todo dia.
- Fechado para quem não é cliente
- Cache medido antes e depois
- Migração aos poucos, por pool
Implantação de DNS recursivo é instalar, dentro da rede do provedor, os servidores que traduzem nomes de sites em endereços para os assinantes, com cache, validação DNSSEC e acesso só para a sua base. É para o provedor que ainda entrega o DNS de terceiros, tem um servidor antigo que ninguém mexe ou recebeu aviso de DNS aberto. O resultado é a primeira etapa de cada página respondida dentro de casa, sem virar arma de ataque.
O que é implantação de DNS recursivo
É colocar no ar o servidor que recebe a pergunta "qual o endereço deste site?" e busca a resposta na internet, guardando o resultado para os próximos assinantes. Antes de qualquer página abrir, essa pergunta precisa ser respondida.
O DNS recursivo é o servidor que o roteador do assinante consulta. Ele pergunta aos servidores raiz, depois aos do domínio e por fim ao servidor do site, e entrega a resposta pronta. Quando outro cliente pede o mesmo nome, a resposta sai do cache, em vez de atravessar a internet de novo.
O endereço do DNS chega ao assinante pelo PPPoE, pelo DHCP ou pelo anúncio IPv6, e quem decide isso é o concentrador junto com o ERP de provedor e o RADIUS. Trocar de DNS, portanto, é mexer nesse caminho com cuidado, um grupo de clientes por vez.
O mesmo servidor atende todo serviço que depende de nome, do aplicativo de IPTV ao telefone VoIP que busca o servidor de voz. Uma implantação completa tem seis partes:
Cache e pré-busca
O servidor guarda as respostas pelo tempo que o dono do domínio permite e renova as mais pedidas antes de vencerem. O assinante quase nunca espera a busca completa.
Validação DNSSEC
Respostas assinadas são conferidas antes de chegar ao cliente. Uma resposta falsificada para o domínio de um banco, por exemplo, é descartada.
Controle de acesso
Só os blocos do provedor, IPv4, IPv6 e a faixa do CGNAT, recebem resposta. Quem pergunta de fora é ignorado, o que fecha a porta para ataques de amplificação.
Limite de consultas
Um assinante com roteador infectado pode mandar milhares de consultas por segundo. O limite por origem segura esse volume sem afetar quem navega normalmente.
Listas de bloqueio
Domínios com ordem de bloqueio entram numa lista aplicada em todos os servidores ao mesmo tempo, com registro de quando cada item entrou [CONFIRMAR na norma].
Monitoramento
Consultas por segundo, tempo de resposta, taxa de acerto do cache e erros por tipo ficam em gráfico. A queda de um servidor gera alerta antes do primeiro chamado.
Quando você precisa de implantação de DNS recursivo
Seis sinais mostram que o DNS do provedor precisa ser implantado ou refeito. Basta um deles para valer a conversa.
Site demora a começar a abrir
A velocidade está certa, mas a página fica parada um instante antes de carregar. É o sintoma clássico de DNS lento ou sem cache.
Aviso de DNS aberto
Um e-mail de abuso ou de um grupo de segurança diz que o seu servidor responde para a internet toda. Ele está sendo usado para atacar terceiros.
Servidor antigo e sem dono
O DNS roda numa máquina que ninguém atualiza há anos, com sistema fora de suporte. Uma falha ali para a navegação da base inteira.
Chegou ordem de bloqueio
Sem DNS próprio, não há onde aplicar a lista de domínios bloqueados nem como provar que ela foi aplicada [CONFIRMAR na norma].
Vai lançar IPv6 ou CGNAT
O DNS precisa responder por IPv6 e aceitar a faixa interna do CGNAT. Muita implantação de IPv6 trava aqui sem ninguém perceber.
Como funciona a implantação de DNS recursivo
São cinco etapas, e o assinante só percebe a mudança na quarta, quando o endereço novo chega a ele aos poucos. Até ali, o DNS novo roda em paralelo com o antigo.
Medição do DNS atual
Quantas consultas por segundo a base faz no pico, de onde vêm, qual DNS cada pool entrega e quanto tempo a resposta leva hoje.
Prazo: [PREENCHER]
Dimensionamento e desenho
Número de servidores, onde cada um fica, quais blocos podem consultar, software escolhido e regras de limite e bloqueio.
Prazo: [PREENCHER]
Instalação em paralelo
Servidores configurados, cache aquecido e testes de carga e de DNSSEC feitos sem nenhum cliente apontado para eles.
Prazo: [PREENCHER]
Migração por grupos
O endereço novo vai primeiro para um pool pequeno pelo PPPoE ou DHCP. Com os números estáveis, os outros pools seguem, em janela combinada.
Prazo: depende do tamanho da base
Conferência e entrega
Comparação de tempo de resposta antes e depois, painel de monitoramento entregue e documento com a configuração e as regras.
Prazo: [PREENCHER]
O que está incluído na implantação de DNS recursivo
A implantação cobre servidores, regras e migração dos assinantes. O que fica de fora tem página própria, e o escopo final vai por escrito na proposta.
Incluído
- Medição do volume de consultas e do DNS atual
- Instalação e configuração do software de DNS em servidores do provedor
- Cache com pré-busca e validação DNSSEC
- Acesso só para os blocos IPv4, IPv6 e a faixa do CGNAT
- Limite de consultas por origem
- Estrutura para lista de bloqueio, aplicada em todos os servidores
- Troca do DNS entregue pelo concentrador, por grupos
- Painel com consultas, tempo de resposta e alertas
- Documento com configuração, regras e procedimento de atualização
Não incluído
- Compra de servidores (a Táquion Tech não vende equipamento)
- DNS em vários POPs com troca automática, feito na alta disponibilidade de DNS
- Ajuste do RADIUS e dos pools, que é a implantação de servidor RADIUS
- Proteção da borda contra ataques, que é a mitigação de DDoS
- Hospedagem de DNS dos domínios dos seus clientes (DNS autoritativo)
Quanto custa a implantação de DNS recursivo
O preço depende do tamanho da base, do número de servidores e de onde o DNS parte hoje. O valor exato sai por escrito depois da medição.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Tamanho da base | Mais assinantes pedem mais servidores e teste de carga maior | Base de 3 mil contra base de 30 mil |
| Número de servidores | Cada servidor é configurado, testado e monitorado | Dois servidores num POP ou quatro em dois POPs |
| Ponto de partida | Refazer um DNS em uso exige migrar sem derrubar ninguém | BIND antigo atendendo a base toda |
| Pools e concentradores | Cada pool tem o seu jeito de entregar o DNS | Três concentradores com perfis diferentes |
| Listas de bloqueio | Lista automática e registro de aplicação levam mais trabalho | Ordens de bloqueio aplicadas com histórico |
| Monitoramento | Painel e alertas novos ou ligados ao que você já usa | Gráficos no Zabbix ou no Grafana do provedor |
Faixa de preço para um provedor com dois servidores: [PREENCHER faixa aprovada pela Táquion Tech]. Servidores físicos ou virtuais e as licenças de terceiros, se houver, ficam por conta do provedor.
O que conferir antes de contratar implantação de DNS recursivo
Antes de assinar, confira os erros que mais derrubam DNS de provedor, a escolha do software e as normas que o servidor deve seguir. Serve para avaliar qualquer empresa de implantação de DNS recursivo, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco falhas que aparecem em DNS montado às pressas. Pergunte ao fornecedor como ele evita cada uma.
Deixar o servidor aberto
Basta uma regra de acesso esquecida para o DNS responder ao mundo. Teste de fora da rede: se ele responder, está aberto.
Esquecer a faixa do CGNAT
Com o CGNAT, os clientes consultam a partir da faixa 100.64.0.0/10. Se ela não estiver liberada, metade da base fica sem navegar depois da mudança.
Um servidor só
Com um servidor, qualquer atualização vira parada. O mínimo são dois, de preferência em equipamentos e energia diferentes.
Migrar a base de uma vez
Trocar o DNS de todos os pools juntos impede saber o que quebrou. Um pool pequeno primeiro mostra o problema com poucos clientes afetados.
Não guardar números
Sem gráfico de consultas e tempo de resposta, ninguém sabe se o DNS novo ficou mais rápido. Peça a medição antes e depois.
Qual software de DNS escolher
Os quatro mais usados em provedores são livres e estáveis. A escolha pesa mais pela equipe que vai manter do que pelo desempenho.
| Software | Ponto forte | Atenção |
|---|---|---|
| Unbound | Leve, rápido, configuração curta | Listas grandes pedem ajuste de memória |
| PowerDNS Recursor | Scripts para bloqueio e regras por cliente | Exige quem saiba escrever as regras |
| BIND | Muito documentado, conhecido por todos | Configuração longa e mais sujeita a erro |
| Knot Resolver | Módulos flexíveis e bom uso de vários núcleos | Menos material em português |
Unbound ou PowerDNS Recursor
Quando escolher o Unbound
Equipe pequena, base até alguns milhares de clientes por servidor e poucas regras especiais. Menos linhas para errar.
Quando escolher o PowerDNS Recursor
Muitas listas, regras diferentes por grupo de clientes ou necessidade de registrar cada bloqueio com detalhe.
Manter o BIND que já existe
Faz sentido se a versão está em suporte e alguém da equipe conhece a configuração. Se não, trocar costuma custar menos que consertar.
Normas e boas práticas
Referências públicas que um DNS de provedor deve seguir. Peça ao fornecedor que diga quais aplica.
RFC 5358
Recomenda que o servidor recursivo responda só aos clientes da própria rede, para não servir de amplificador [CONFIRMAR na norma].
DNSSEC (RFC 4033 a 4035)
Definem as assinaturas que permitem ao servidor conferir se a resposta veio do dono do domínio [CONFIRMAR na norma].
Resposta vencida em emergência
A RFC 8767 descreve como entregar uma resposta antiga do cache quando o servidor do site não responde, evitando falha total [CONFIRMAR na norma].
Bloqueios e registros
Ordens judiciais de bloqueio e a guarda de registros seguem regras próprias. Veja os registros de conexão para provedores [CONFIRMAR na norma].
Checklist antes de contratar
Com estes dados em mãos, a proposta sai mais rápida e o dimensionamento mais preciso.
Tamanho da base e pico
Número de assinantes ativos e o horário de maior uso, para estimar as consultas por segundo.
Blocos e pools
Blocos IPv4 e IPv6 do provedor, faixa do CGNAT e a lista de pools de cada concentrador.
Onde os servidores vão ficar
POPs disponíveis, se haverá máquina física ou virtual e quem cuida da energia e da refrigeração.
Pergunta para o fornecedor
Como você prova que o servidor não responde para fora? A resposta certa inclui um teste feito de uma rede externa, com o resultado entregue.
Por que escolher a Táquion Tech para o DNS do provedor
Porque o DNS entra em paralelo, migra por grupos e fica documentado para a sua equipe. Seis compromissos que valem para toda implantação.
Quem implanta conhece a rede
Concentrador, CGNAT e IPv6 fazem parte do mesmo trabalho. O DNS não fica pronto no servidor e quebrado no caminho até o cliente.
[PREENCHER: anos de experiência da equipe com DNS de provedor]
Volta rápida ao DNS antigo
Durante a migração, o DNS anterior segue ligado. Se algo sair do esperado, o pool volta para ele na hora.
O plano de volta faz parte da proposta
Não vendemos servidor
A indicação de máquina vem da conta de consultas por segundo e memória de cache, não de comissão.
Nenhuma marca indicada por comissão
Número antes e depois
Tempo de resposta e taxa de acerto do cache medidos antes da troca e depois dela. Você vê o ganho em número.
Relatório comparativo na entrega
Documentação que fica
Configuração comentada, regras de acesso e o passo a passo de atualização entregues à sua equipe.
Entregue no fim de toda implantação
Remoto para todo o Brasil
A instalação é feita por acesso seguro aos servidores. A visita ao POP só entra quando há máquina para montar.
[PREENCHER: estados atendidos]
Onde a Táquion Tech implanta DNS recursivo
A implantação de DNS recursivo é remota e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando é preciso instalar servidor no rack.
Remoto para todo o Brasil
Acesso seguro aos servidores, migração em janela combinada e testes feitos de dentro e de fora da sua rede, em qualquer estado.
Presencial no litoral de Santa Catarina
Para montar servidores no POP, ligar cabos e acompanhar a primeira migração no local. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre implantação de DNS recursivo
As perguntas que os provedores mais fazem antes de trocar o DNS da base. Se a sua não estiver aqui, pergunte no WhatsApp.
Por que não usar o DNS do Google ou da Cloudflare?
Funcionam, mas cada consulta sai da sua rede e volta, e você perde o controle de bloqueios e dos números. Além disso, alguns caches de conteúdo usam a origem do DNS para escolher de onde servir o vídeo. Veja os caches de conteúdo para provedores.
Quanto custa a implantação de DNS recursivo?
O preço da implantação de DNS recursivo muda com o tamanho da base, o número de servidores e o DNS atual. A faixa para dois servidores é [PREENCHER], e o valor exato sai depois da medição.
Quantos servidores de DNS o provedor precisa?
No mínimo dois, em equipamentos diferentes. O número cresce com as consultas por segundo do pico, que a medição inicial calcula para a sua base.
A troca de DNS derruba os clientes?
Não deveria. O DNS novo roda em paralelo, e o endereço muda primeiro num pool pequeno. O assinante só recebe o endereço novo na próxima conexão ou renovação do DHCP.
Quanto tempo leva a implantação?
A instalação dos servidores é rápida; o que leva tempo é migrar todos os pools com calma. O prazo típico é [PREENCHER], e o do seu caso vai na proposta.
DNS aberto é mesmo um problema?
É. Um servidor que responde para qualquer um é usado em ataques de amplificação e pode colocar os seus IPs em listas de bloqueio. Veja o que fazer com IP do provedor em blacklist.
O DNS precisa responder por IPv6?
Sim. O assinante com IPv6 recebe o endereço do DNS pelo anúncio do roteador ou pelo DHCPv6, e o servidor precisa atender por esse caminho. Veja a implantação de IPv6.
Vocês são uma empresa de implantação de DNS recursivo para provedor de qualquer tamanho?
Sim. O desenho muda com a base, de dois servidores num POP a vários servidores em POPs diferentes. Para bases maiores, vale juntar a alta disponibilidade de DNS.
Posso aplicar bloqueios de domínio no DNS próprio?
Pode, e é o lugar mais comum para isso. A lista é aplicada em todos os servidores e cada inclusão fica registrada [CONFIRMAR na norma].
Que acesso vocês precisam?
Acesso aos servidores onde o DNS vai rodar e um usuário de leitura nos concentradores para ver os pools. Na migração, permissão para alterar o DNS entregue, em janela combinada.
Serviços relacionados à implantação de DNS recursivo
Três serviços que costumam vir junto com o DNS próprio. Cada um cuida de outra parte da mesma rede.
-
Alta disponibilidade de DNS
DNS em mais de um POP, com troca automática quando um servidor para de responder.
Ver a alta disponibilidade de DNS -
Solicitação de caches de CDN
Caches de vídeo e atualização dentro da rede, que dependem de um DNS bem configurado.
Ver os caches de conteúdo para provedores -
Implantação de mitigação de DDoS
Proteção da borda contra ataques, inclusive os que usam DNS como amplificador.
Ver a mitigação de DDoS
Leia antes de contratar
Três guias técnicos sobre os riscos e o acompanhamento do DNS do provedor.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como reconhecer um ataque e por que servidores abertos entram nessa conta.
- IP do provedor em blacklist: causas, diagnóstico e quando chamar um Especialista
O que fazer quando os IPs do provedor aparecem em listas de bloqueio.
- Implantação de Prometheus: guia prático para provedores
Como coletar e guardar os números de serviços como o DNS.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de implantação de DNS recursivo
Diga qual DNS a base usa hoje e quantos assinantes você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
