Fundamentos de DNS, solução de problemas, segurança e fluxos de trabalho práticos, escritos pela equipe que cria esta ferramenta.
Uma virada gradual é melhor que uma instantânea
Blue
100% do tráfego
Divisão ponderada
95/5, depois 50/50
Green
100% do tráfego
Trocar o tráfego entre dois ambientes com uma mudança de DNS parece simples no papel, mas o TTL e o cache tornam tudo mais complexo na prática.
Um IP, um servidor, ou um IP, vários
Unicast
Um IP corresponde a exatamente um servidor
Anycast
Um IP, anunciado de vários locais
O mesmo endereço IP anunciado de dezenas de locais ao mesmo tempo: é assim que os grandes provedores de DNS se mantêm rápidos e resilientes em qualquer lugar.
Por que uma consulta mostra a CDN, e não a origem
Visitante
consulta o domínio
Borda da CDN
104.21.x.x
é isto que o DNS retorna
Servidor de origem
IP real, nunca exposto
A mágica de uma rede de distribuição de conteúdo acontece na camada de DNS, antes de um único byte de conteúdo ser solicitado.
Toda faixa IPv4 tem um equivalente IPv6
Do ponto de vista da segurança, o IPv6 não é só “IPv4 com mais endereços”: algumas de suas diferenças mudam de fato o modelo de ameaças.
Vencendo a corrida com uma resposta forjada
Atacante
corre contra a resposta real
Resposta forjada
chega primeiro
Cache do resolvedor
envenenado para todos que o compartilham
Forjar respostas de DNS para desviar tráfego é um dos truques mais antigos das redes e a razão de existirem o DNSSEC e as defesas modernas dos resolvedores.
Espaço de endereços público vs. privado
IP público
192.0.2.10
globalmente único, roteável de qualquer lugar
Faixas privadas
não roteáveis na internet pública
10.0.0.0/8, 192.168.0.0/16 e suas vizinhas existem justamente para nunca serem globalmente únicas — veja por que isso importa para o DNS.
O SSRF transforma um servidor em um proxy involuntário
Atacante
elabora uma URL de requisição
Servidor vulnerável
acessa a URL, enganado por SSRF
169.254.169.254
o endpoint de metadados
Credenciais
devolvidas ao atacante
Um único endereço IP, aparentemente não roteável, dá às instâncias de nuvem acesso a credenciais e configurações, e é um alvo comum de SSRF.
O mesmo endereço, quatro formas de escrevê-lo
A falsificação de requisição no servidor (SSRF) muitas vezes começa com um simples nome de domínio que o seu servidor foi induzido a resolver e acessar.
O mesmo domínio, duas respostas diferentes
Primeira requisição
resolve para um IP público
Validação
passa: parece seguro
O TTL expira
segundos depois
Segunda requisição
resolve para 127.0.0.1
Um domínio que resolve para um endereço seguro e depois para um interno: o DNS rebinding transforma o próprio DNS em superfície de ataque.
Quatro camadas, verificadas em ordem
DNS
resolve o nome
Transporte
o TCP conecta
TLS
o certificado é válido
Aplicação
o HTTP responde
Esse erro genérico do navegador reúne falhas sem relação entre si, e o DNS costuma ser a forma mais rápida de confirmá-lo ou descartá-lo primeiro.
“Propagação” nada mais é do que caches expirando
0 min
você salva a alteração
0-5 min
seu provedor de DNS atualiza
até o TTL
resposta antiga ainda em cache
após o TTL
todos veem a nova
Nada é enviado a lugar nenhum: cada cache apenas para de reutilizar sua cópia
Você atualizou um registro, esperou e ele ainda parece errado. Antes de presumir que algo quebrou, siga estas verificações em ordem.
Quanto tempo uma consulta costuma levar
Um site lento às vezes é, na verdade, uma consulta DNS lenta. Veja como diferenciar os casos e quais são as causas mais comuns.