Основы DNS, диагностика, безопасность и практические сценарии — от команды, которая создаёт этот инструмент.
Постепенное переключение лучше мгновенного
Blue
100% трафика
Взвешенное разделение
95/5, затем 50/50
Green
100% трафика
Переключение трафика между двумя средами через изменение DNS на бумаге выглядит просто, но TTL и кеширование делают всё сложнее на практике.
Один IP — один сервер, или один IP — много
Unicast
Один IP — ровно один сервер
Anycast
Один IP, анонсируется из многих точек
Один и тот же IP-адрес, анонсируемый сразу из десятков точек: так anycast помогает DNS-провайдерам оставаться быстрыми и отказоустойчивыми по всему миру.
Почему проверка показывает CDN, а не исходный сервер
Посетитель
запрашивает домен
Edge-сервер CDN
104.21.x.x
именно его возвращает DNS
Исходный сервер
реальный IP не раскрывается
Главная работа сети доставки контента происходит на уровне DNS, ещё до того, как запрошен хотя бы один байт самого контента.
У каждого диапазона IPv4 есть эквивалент в IPv6
С точки зрения безопасности IPv6 — это не просто «IPv4 с большим числом адресов»: некоторые его отличия действительно меняют модель угроз.
Выигрыш в гонке с поддельным ответом
Атакующий
опережает настоящий ответ
Поддельный ответ
приходит первым
Кэш резолвера
отравлен для всех его пользователей
Подделка DNS-ответов для перенаправления трафика — один из старейших сетевых приёмов и причина появления DNSSEC и современных защит резолверов.
Публичное и приватное адресное пространство
Публичный IP
192.0.2.10
глобально уникален — маршрутизируется отовсюду
Приватные диапазоны
не маршрутизируются в публичном интернете
10.0.0.0/8, 192.168.0.0/16 и соседние диапазоны существуют именно для того, чтобы не быть глобально уникальными, и вот почему это важно для DNS.
SSRF превращает сервер в невольного прокси
Атакующий
готовит URL запроса
Уязвимый сервер
обманут SSRF, запрашивает его
169.254.169.254
эндпоинт метаданных
Учётные данные
возвращаются атакующему
Один на вид нерутируемый IP-адрес открывает облачным инстансам доступ к учётным данным и конфигурации и часто становится целью SSRF-атак.
Один и тот же адрес — четыре способа записи
Подделка запросов на стороне сервера часто начинается с обычного доменного имени, которое ваш сервер обманом заставили разрешить и запросить.
Один домен — два разных ответа
Первый запрос
разрешается в публичный IP
Проверка
пройдена — выглядит безопасно
Истекает TTL
через несколько секунд
Второй запрос
разрешается в 127.0.0.1
Домен, который сначала разрешается в безопасный адрес, а затем во внутренний: DNS rebinding превращает сам DNS в поверхность атаки.
Четыре уровня, проверяемые по порядку
DNS
разрешение имени
Транспорт
TCP-соединение
TLS
проверка сертификата
Приложение
ответ по HTTP
Это общее сообщение браузера скрывает несколько несвязанных причин сбоя, и DNS — часто самое быстрое, что можно сначала подтвердить или исключить.
«Распространение» — это лишь истечение срока жизни кэшей
0 мин
вы сохраняете изменение
0-5 мин
DNS-хостинг обновляет данные
до конца TTL
старый ответ ещё в кэше
после TTL
новый ответ видят все
Ничего никуда не рассылается — каждый кэш просто перестаёт использовать свою копию
Вы обновили запись, подождали, а она всё ещё выглядит неверно. Прежде чем считать, что что-то сломалось, пройдите эти шаги по порядку.
Сколько обычно занимает проверка
Медленно открывающийся сайт иногда оказывается медленным DNS-запросом. Как отличить одно от другого и что обычно становится причиной.