DNS LACNOG January 2010

dns@listas.nog.lat

2 participants
2 discussions

[dns-esp] Mi primer mensaje. Primera Pregunta. Como saber si me DNS Server se comporta bien
by Alejandro Acosta 18 Mar '10

18 Mar '10

Estimados todos, Primero que nada felicitaciones por esta nueva lista de correo, deseo exito a la misma. Tengo varias años trabajando en el mundo de DNS y hoy se me ocurrió una pregunta haciendo un troubleshooting en un mail server. Veo una cantidad de queries DNS en mi mail server (Sendmail) con el comanto netstat -pan y veo que algunos queries duran entre 5-12 segundos en desaparecer de la lista. ¿Es normal?. ¿Cómo se si me servidor se está comportando bien?, es decir, si los queries son resueltos a buena velocidad y/o los puedo mejorar (ojo, el root.hint ya está actualizado). Alguna herramienta de benchmark para un DNS Server que puedan recomendarme? Saludos, Alejandro Acosta,

3 5

[dns-esp] DNSSEC en la raíz
by Hugo Salgado Hernandez 28 Jan '10

28 Jan '10

Hola. Como algunos se habrán enterado, hoy se dió un paso muy importante en la historia de DNSSEC. Debido a la estructura jerarquizada en el protocolo, era muy importante que la raíz del DNS estuviera firmada. Hoy se comenzó la etapa de pruebas, con firmas publicadas en 1 de los 13 servidores raíz. Aunque algunos puedan pensar que esto no le importa a nadie que no use DNSSEC, no es tan así. Uno de los efectos de la firma es que los "paquetes de respuesta" del DNS se hacen más grandes, incluso para consultas que no tienen "activo" DNSSEC en forma deliberada! Es decir, consultas que ayer recibían respuestas de 400 bytes, desde hoy y sin hacer nada, recibirán respuestas de hasta 1000 bytes. Y acá surge el problema: existen algunos firewalls, IDS, routers, etc., que por razones históricas (y por seguridad mal entendida) bloquean el paso de paquetes DNS grandes. Por lo tanto, se sospecha que algunos servidores recursivos no puedan recibir estas nuevas respuestas firmadas. El efecto práctico es que estas consultas den "timeout" al no recibir la respuesta, y luego se reintente con otro de los servidores disponibles. Es por esto que en esta etapa se comienza con 1 de los 13 servidores firmados. Si un resolver que tiene el problema de bloqueo de los paquetes consulta a este servidor, y da timeout, tiene otros 12 con quienes seguir probando. Y como estos siguen tal como antes, debería funcionar. Es muy importante entonces, como operadores de DNS y público en general, estar atentos a efectos como lentitud en la resolución, especialmente lentitud en obtener respuestas negativas a dominios no existentes, revisar los filtros alrededor de sus servidores DNS, y hacer pruebas de tamaño de paquetes. La gente de OARC tiene más información técnica y un sistema de test en https://www.dns-oarc.net/oarc/services/replysizetest y también RIPE <http://labs.ripe.net/content/testing-your-resolver-dns-reply-size-issues> Saludos, Hugo

1 0

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

DNS LACNOG January 2010