Upload
others
View
1
Download
0
Embed Size (px)
Citation preview
Resiliência do serviço DNS no ccTLD .PT
Assis Guerreiro | [email protected]
DNS Resiliency: “The ability of the DNS to provide and maintain an acceptable level of name resolution service in the
face of faults and challenges to normal operations.”https://wiki ittc ku edu/resilinets wiki/index php/Definitionshttps://wiki.ittc.ku.edu/resilinets_wiki/index.php/Definitions
AGENDAAGENDA
DNS.PT
Serviço DNS
Infraestrutura DNS.PT
Resiliência do Serviço DNS de PTResiliência do Serviço DNS de .PT
Distribuição Geográfica de .PT
Servidores de Raiz
Ameaças - DNS
Distributed denial-of-service (DDoS)
DNS.PT
• Delegação .PT pela IANA à FCCN em 1988, primeiro domínio em 1991Delegação .PT pela IANA à FCCN em 1988, primeiro domínio em 1991
• Modelo Registry / Registrar
• Protocolo IPv6 em 2003
• Internationalized Domain Names (IDN’s) em 2005
• Certificação ISSO 9001:2000 desde 2007
C t d l ã d flit A bit 2008• Centro de resolução de conflitos Arbitrare em 2008
• DNSSEC em 2010
• Liberalização do registo de domínios .PT em 2012 iberali ação do registo de domínios .PT em 1
• Constituição da Associação DNS.PT – Associação privada sem fins lucrativos
• Sócios fundadores: FCT, ACEPI, DECO, IANA
• Sucede à FCCN na gestão do domínio .PT (Decreto-Lei 55/2013 de 17 de Abril)
• Atualmente mais de 560.000 domínios registados
P t l 143 E tid d R i t (100 N i i 43 I t i i )• Protocolo com 143 Entidades Registrars (100 Nacionais e 43 Internacionais)
www 25anos ptwww.25anos.pt
Serviço DNS
DNS - Domain Name SystemDNS Domain Name System
RFC 1034 - Domain Names, Concepts and Facilities by P. Mockapetris
RFC 1035 - Domain Names, Implementation and Specification by P. Mockapetris
Sistema que permite a conversão de endereços IP em nomes de fácil memorização, e vice versa
Base de dados hierárquica e distribuída
Solução DNSSEC no .PT
Infraestrutura DNS.PT
Solução DNSSEC no .PT
• AEP HSM Keypeer - FIPS 140-2, Level 4
• Bastidor Cofre com alarme de abertura de portas
• Ar Condicionado dedicado com alarme de variação térmica
• 2 níveis de acesso físico
S l té i íd i ilâ i i t d • Sala técnica com vídeo vigilância e registo de acessos
Resiliência do Serviço DNS de .PT
Servidores DNS de .PT sobre a gestão do DNS.PTServidores DNS de .PT sobre a gestão do DNS.PT
Lisboa ns.dns.pt 193.136.0.1 2001:690:a00:1016:905::1
Porto ns2.dns.pt 193.136.2.226 2001:690:a80:4001::100
Dell PowerEdge 1950
• Discos Hot-Plug redundantes em RAID 1g
• Rede Gigabit Ethernet redundante
• Fontes de alimentação Hot-Plug redundantes
Ramais de alimentação eléctrica distintos• Ramais de alimentação eléctrica distintos
• Localização Geográfica distinta
Resiliência do Serviço DNS de .PT
Servidores DNS de .PTServidores DNS de .PT
ns.dns.pt 193.136.0.1 2001:690:a00:1016:905:0:0:1
ns.dns.br 200.160.0.5 2001:12ff:0:a20:0:0:0:5
ns2.dns.pt 193.136.2.226 2001:690:a80:4001:0:0:0:100
2 i f 192 93 0 4 2001 660 3005 1 0 0 1 2ns2.nic.fr 192.93.0.4 2001:660:3005:1:0:0:1:2
auth200.ns.uu.net 195.129.12.82 2001:600:1c0:e000:0:0:35:2
auth210.ns.uu.net 195.129.12.74 2001:600:1c0:e001:0:0:35:2auth 1 .ns.uu.net 1 5.1 .1 .74 1:6 :1 :e 1: : :35:
ns-pt.nlnetlabs.nl 213.154.224.141 2001:7b8:206:1:0:0:4:141
sns-pb.isc.org 192.5.4.1 2001:500:2e:0:0:0:0:1
sns-pb.isc.org ISC SNS-PB Anycast Cloud (6 instâncias)
T t l d 13 i tâ iTotal de 13 instâncias
http://www.iana.org/domains/root/db/pt.htmlhttp://www.iana.org/domains/root/db/pt.html
Distribuição Geográfica de .PT
Servidores de Raiz
Delegações de TLD’s (ccTLD’s e gTLD’s) Temos as instâncias de:Delegações de TLD s (ccTLD s e gTLD s)
13 Servidor Autoritativos
374 Instâncias (Anycast)
Temos as instâncias de:
f.root-server.net
j.root-server.net
l.root-server.net
http://www.iana.org/domains/root/servers /http://www.iana.org/domains/root/servers /
Servidores de Raiz
http://www.root-servers.org/http://www.root servers.org/
Ameaças - DNS
http://wwwinternetsociety org/sites/default/files/bp dnsresiliency 201201 en 0 pdfTowards Improving DNS Security, Stability, and Resiliency
http://www.internetsociety.org/sites/default/files/bp-dnsresiliency-201201-en_0.pdf
Distributed denial-of-service (DDoS)
Distributed denial-of-service (DDoS)
- significativa para o DNS
- frequente
- difícil de mitigar
Soluções: overprovisioning, anycast, firewalls, redundância
Resiliência do Serviço DNS de .PT
Obrigado!g