In plaats van los op iedereen te reageren, een samenvatting:
- Ja ik blaas hoog van de toren, om dat ik toevallig net bij twee bedrijven vandaan kwam die allebei Public DNS gebruikten bij mission-critical applicaties, waarbij in de requirements duidelijk was aangegeven dat er geen data gelekt mocht worden, en waarbij er een eis van een minimale SLA gebonden was aan de projecten, en er een of andere knul die via via bij beide bedrijven de boel wel even zou opzetten zich aan geen enkele spec gehouden heeft. Het was eigenlijk vooral een catharsische rant, mijn excuses.
- Harde redenen waarom Google Public DNS specifiek niet te gebruiken:
• Als je simpelweg gratis snelle DNS wil is UltraDNS of Cegetel bijna altijd sneller
• Geen SLA (kan verplicht zijn)
https://developers.google.com/speed/public-dns/faq#sla
• Privacy; er staat op de FAQ dat er niks 'onthouden' wordt, in de legal docs staat dat ze het wel doen
• Als je simpelweg makkelijk te onthouden betrouwbare DNS wil is Level 3 de betere keuze, downtime sinds 2001: 5 minuten in totaal. Plus, als er bij Level 3 iets mis gaat kan je er van uit gaan dat je wel grotere problemen hebt dan DNS; waarschijnlijk gaat 90% van de trans-atlantische link gewoon plat als L3 in de problemen zit.
- SLA van ISP: ik heb het niet over je huis-tuin-keuken abbo's bij je lokale ADSL of Kabel providers, we hebben het hier over B2B netwerk providers. Als je bijvoorbeeld naar Cyso kijkt zit overal gewoon een degelijke SLA op. KPN Wholesale kan er ook wat van. Natuurlijk ga je geen SLA krijgen bij een of andere setup die je thuis hebt staan of in de kroeg, maar dat is natuurlijk niet wat we met zakelijke klanten bedoelen he
Nu zijn SLA's natuurlijk rommel als je gewoon goede service wil, maar SLA's zijn in het bedrijfsleven nou eenmaal een eis. Een service zonder SLA kan je al bijna niet meer afnemen om dat het niet 'mag' van de personen die de eisen moeten goedkeuren.
- Met ISP bedoel ik natuurlijk niet exclusief een provider voor internet verbindingen, maar internet services in het algemeen, dat is immers waar het voor staat. We kunnen ook DSP, HSP, of een andere afkorting gebruiken om specifieke services op internet die door een provider beschikbaar gesteld wordt aanduiden, maar dat maakt het nogal onoverzichtelijk.
- Met SLA bedoel ik niet dat je gratis een SLA krijgt bij een of ander abbo'tje, maar dat je een SLA vereist en dus een service afneemt waar je een SLA voor kan krijgen.
Stel dat je bij een ISP zit waarbij je gewoon een consumenten verbinding afneemt, dan kan je er inderdaad wel van uit gaan dat DNS geen gegarandeerde service is, niet al te best zal performen, en eigenlijk in alle gevallen beter vervangen kan worden door een andere DNS service. Maar dat lijkt me weinig te maken hebben met setups bij zakelijke klanten, en gezien dat toevallig net is waar dit topic mee begon is dat een beetje richting off-topic.
Over DNS in het algemeen:
Stel dat je gewoon snelle DNS wil in een situatie waar het niet uit maakt waar het vandaan komt, draai dan DNSBench, en kijk welke server je de beste performance geeft. Dat is in veel gevallen niet Google DNS, vaak staat die op de 2e plek of de 3e plek. Als je DNS services gebruikt die niet van de provider zijn heb je natuurlijk wel dat je even moet controleren of ze qua GeoDNS kloppen. Het is natuurlijk vervelend als opeens alle akamai sessies via de VS lopen.
Als je custom services hebt in je netwerk, dan is het net zo makkelijk om een caching server te gebruiken, en als je netwerk groot genoeg is kan je meteen een caching recursor gebruiken gezien dat dan altijd sneller is dan een externe DNS service. Dat geldt natuurlijk ook voor DNSSEC support, maar dat is ook weer een geval van de juiste dekking van je requirements hebben. Als je DNSSEC vereist ga je natuurlijk een service afnemen die dat heeft, en niet een contract accepteren waarbij je maar mag hopen dat DNSSEC er in zit.
Waarom je geen Microsoft DNS server gebruikt:
- Geen split horizon. Valt dus in 99% van de setups waar je een DNS server nodig hebt al buiten de boot.
- Werkt niet goed samen met andere DNS servers, dus geen koppelingen met je UTM om maar wat te noemen. Komt door een hele beperkte set aan geïmplementeerde RFC's. Ja het werkt, maar dus niet met de rest van de wereld. Desalniettemin wordt dat weer opgelost door in bijv. BIND en PDNS compatibility hacks toe te passen zodat MSDNS wel werkt.
- Slechte ACL support
- Beperkte backend schaling (schaalt mee met hardware, en that's it), alleen te schalen met slaves
- Beperkte signing tooling, ondersteunt alleen GSS-TSIG i.c.m. AD
- Integreert niet met de rest van je netwerk, behalve als je Windows als router, NAT en DHCP box gebruikt
Ik kan nog wel even door gaan, maar het is zo al een heel verhaal. Eerst maar even wat reacties hier op bekijken.
En toch ga ik hier nog even specifiek op in:
Hero of Time schreef op zondag 01 maart 2015 @ 15:07:
[...]
Je wilt niet weten hoeveel incompetente mensen dat traject succesvol hebben doorlopen en toch geen ene zak weten wat ze nou doen. Ontwikkelaars die mooie certificaten hebben voor verschillende programmeertalen, maar niet eens hun code kunnen debuggen of logs kunnen lezen. Om maar een voorbeeld te noemen.
Ik heb het niet voor niets over professionals. Mensen die weten wat ze doen. Dus niet mensen die een of ander traject doorlopen hebben
zonder te weten wat ze doen. Auto-didact zijn en alles goed kunnen doen en dan in een bedrijf aan de slag gaan en doorgroeien naar een netops positie telt dan ook net zo goed als jezelf op een professioneel niveau brengen. Uiteraard zeggen diploma's en certificaten niet alles, net als dat wat er op je business card staat weinig betekent zonder een portfolio met bewijs of je feitelijke kennis van zaken.
Ik noem ter illustratie ongeschoolde hobbyisten die zichzelf beheerder noemen om dat het juist daar vaak is waar het mis gaat. Om dat makkelijk te scheiden van mensen die wel op de plek zitten waar ze moeten zitten gebruik ik scholing in het algemeen, wat natuurlijk niet betekent dat scholing de eindoplossing voor alles is. Ik hoop dat dat zo duidelijker is.
Pardon? Probeer je nu serieus mijn bewoording synoniem te stellen aan '
gestoord'?
Volgens mij heb ik twee heel normale aanwijzingen naar falende logica gegeven voor mensen die in situaties waarbij public dns geen wenselijk product is toch even dat makkelijke IP'tje inkloppen.
De woorden die ik gebruikte waren dan ook:
Dan ben je toch ook wel een beetje gek in je hoofd.
Gek is volgens mij nog steeds "van het verstand beroofd", wat precies is wat ik bedoel. Als je in een situatie zit waarbij je op een zakelijk netwerk al je clients rechtstreeks aan een dns server knoopt die daar helemaal niet thuis hoort, dan lijkt me dat niet iets wat je met je verstand gedaan hebt. Let wel: dit gaat over professionele inrichtingen, daarom mijn opvolgende zin:
Leuk als je thuis met je hobby aan het spelen bent, maar voor een bedrijf?
En met bedrijf bedoel ik dus niet elke persoon die toevallig een KvK nummer gescoord heeft, maar een bedrijf waar je tenminste 50 clients hebt die DNS willen resolven en IT een kritiek onderdeel is van de bedrijfsvoering. Het maakt natuurlijk geen drol uit als als je in de kroeg even niet kan pinnen en de muziek streams even niet werken, genoeg offline muziek en contant geld beschikbaar.
Ik weet niet precies waar je hier op doelt. Ik heb mijn onvrede over de verkeerde mensen die op de verkeerde plek zitten geuit, dat lijkt me niet zozeer een belediging maar een constatering, of dacht je dat ik iemand in dit draadje aan het aanvallen was?
Daarnaast heeft dit hele draadje niks met iemand op GoT die iets wil leren te maken, maar met de observatie van Wim-Bart die zag dat mensen alle DNS lieten afhangen van 1 DNS service, en daarnaast caching op caching stapelde wat vrij onlogisch is. Dat is toevallig ook waar mijn andere opmerking goed bij samen gaat:
Dan zit er toch een flinke kink in je gedachtengang in je hoofd?
Als je dus aan het begin denkt: laat ik caching DNS opzetten.
Daarna denkt: laat ik andere nameservers instellen.
Daarna denkt: laat ik twee nameservers, niet meer en niet minder instellen, allebei van dezelfde provider, en allebei ook caching DNS servers, net als mijn eigen server, zodat het geen zin heeft en eigenlijk alle nieuwe lookups langzamer gaan.
dan gaat er toch wat mis? Dan heb je toch geen rechte logische gedachtengang, maar ergens een flinke misstap gemaakt?
[
Voor 30% gewijzigd door
johnkeates op 01-03-2015 16:59
]
/u/113601/crop5e3f183d640f8_cropped.png?f=community)
:strip_exif()/u/489903/dancer.gif?f=community)
/u/34186/crop62e07d174532d_cropped.png?f=community)
Iemand kan zichzelf uiteraard altijd 'beheerder' noemen, maar dat is niet het type beheerder waar ik het over heb; ik bedoel mensen die daadwerkelijk een traject doorlopen hebben om beheerder te worden, zoals een opleiding, een certificering, een stage, doorgegroeid binnen een bedrijf onder een mentor enz. Noem het maar op. /u/125506/link-8bit.png?f=community)
:strip_icc():strip_exif()/u/64489/hoogtevorst.jpg?f=community)
Wat de afhankelijkheid betreft: je kan ook gewoon forwarders instellen naar meerdere partijen: bijv de ISP én Google.
:strip_icc():strip_exif()/u/79614/Family-Guy-Victory-is-Ours.jpg?f=community)
:strip_icc():strip_exif()/u/141829/ee.jpg?f=community)
).
/u/96077/crop5b8d7c89bae9d_cropped.png?f=community)
:strip_icc():strip_exif()/u/8430/logo.jpg?f=community){kind=logo}