¿Mis DNS propias o las de DigitalOcean?

Hola a todos amigos, tengo una duda que me mata y espero puedan ayudarme. ¿Cuál es la diferencia entre trabajar con los DNS que me ofrece digitalocean (3 dns) y que yo pueda crear mis por mis propios DNS a partir de mi IP.

Espero puedan ayudarme.

Gracias

 

La diferencia es que los servidores DNS de Digital Ocean son varios, por lo que si alguno tiene problemas de latencia y caídas, tu web no dejaría de responder. Pero, si lo haces con tu propia IP y el servidor se queda colgado o se cae, tu web dejaría de responder. Además, es obligatorio tener 2 ips en tu servidor, cada IP en un rango diferente, para poder ofrecer servidor DNS Propio (Lo conocido como ns1 y ns2 , sabiendo que ns1 corresponde a la ip A y ns2 a la ip B).
Saludos

 

Si tu tienes tus propias dns, aunque cambies de proveedor/IPS mientras no cambies los servidores de dns no tienes que cambiar ni las ips ni las dns.

Yo soy partidario de montarlas propias y no depender de terceros pero nuestro caso no tiene porque ser el tuyo. Todo dependerá de lo que quieras montar, y si será un gasto asumible o no.

 

El problema es que hay mucho que va de sysadmin y monta las dns propias en el mismo proveedor, mismo as y mismo rango de red contratando 3 o 4 servidores y eso no sirve de nada por que la redundancia sigue sin existir.

Salu2,

 

Sí, es verdad. Se puede crear un servidor DNS con un solo servidor y una sola IP duplicando los registros A, pero nunca se debe. Lo correcto es tener 2 servidores con la misma configuración DNS duplicada y actualizada por alguna API. Debes tener como mínimo dos servidores bajo diferente IP, diferente rango de IP, y diferente AS. La única forma de conseguir esto es tener cada servidor en una empresa de hosting diferente o tener dos servidores en la misma empresa si tiene diferentes rangos de IPs y diferente AS.
Saludos

 

Otra alternativa es usar los Dns de Cloudflare la opción gratuita, el cual actúa como proxy, te brinda una pequeña capa de protección:

• Ocultar la IP real (Usando las DNS de CloudFlare)

Cloudflare bien configurado te protege la IP al 99 % de ser descubierta

• Crea un front end para la web (WAF (Web Application Firewall)
• Bloquear visitantes por País (CloudFlare Threat Control Block list)
• Crear reglas (Redireccionar http a https o viciversa, redireccionar una url con un 301 o 302, cachear)
• Añadir test Captcha para verificar si son humanos o bots
• Con la opción o función estoy bajo ataque te proteje de un ataque basico (dos)

Otra caracteristica de cloudflare es su CDN, por ejemplo si estas en Perú, te favorece porque tiene un Datacenter en Lima, ver más
En america del sur existe más datacenter de Cloudflare, lo puedes ver en este link.

Nota: Los servicios de hosting de Digital Ocean me parecen lentos, me imagino que sus Dns deben estar relacionados.

 

Aca han mencionado 4 opciones para configurar los DNS :

1) Configurar los DNS dentro del mismo servidor de hosting ( la peor de todas y que hay que tratar de evitar a toda costa )
2) Utilizar los DNS que ofrece el proveedor de hosting ( pueden estar saturados y hay dependencia del proveedor, además que normalmente no hay ningun tipo de información sobre la calidad y/o confiabilidad del sistema )
3) Configurar un sistema de DNS propio con varios VPS básicos con algún software como cPanel DNS Only ( hay que saber como configurar el cluster y hay un gasto que considerar ).
También existe una version "light" usando un cluster con los mismos VPS usados para hosting ( sin usar VPS's dedicados, no es la ideal pero funciona )
4) Utilizar los DNS de algún proveedor como Cloudflare ( no se pueden utilizar DNS personalizados y se pierde el control del manejo de los DNS )
Tambien existen otros proveedores que ofrecen DNS gratuito pero sin soporte.

Pero existe una alternativa que no está incluída y que es la que al menos yo uso y recomiendo :

5) Utilizar un proveedor de DNS que tenga un servicio distribuído globalmente con múltiples DNS, servidores o clusters de servidores dedicados y especializados en DNS, red redundante, SOPORTE, opción de DNS personalizados, etc, etc.
Además pueden ofrecer ventajas adicionales como red AnyCast, DNS Failover, protección DDoS, replicación casi instantánea, DNS secundario, análisis de tráfico, múltiples tipos de registros ( Ej : registros SRV ), etc, etc.

Creo que muchos comienzan a considerar la opción de externalizar los DNS recién cuando pierden muchísimo tiempo migrando los dominios al cambiar de proveedor y deben estar esperando horas por la replicación de los DNS y con los dominios no disponibles ... una migración bien planificada ajustando los TTL's y usando DNS externos puede significar una migración de dominios completamente transparente y con cero downtime !!!

 

Gracias a todos por sus comentarios, me han ayudado a despegar mis dudas, seguiré leyendo más y más...Estoy muy enganchado con este tema.

Saludos.

 

Es indudable que Cloudflare tiene una infraestructura "gigantesca", pero NO TIENE uno de los mejores sistemas de DNS en cuanto a confiabilidad, en muchas ocasiones se les ha ha caído el sistema COMPLETO, por ejemplo :

https://blog.cloudflare.com/todays-outage-post-mortem-82515/

De nada sirve tener un sistema de DNS AnyCast ultra distribuído si tiene vulnerabilidades que igual lo botan por completo

Y diariamente tienen incidentes en diferentes datacenters :

https://www.cloudflarestatus.com/

Me parece al menos un poco sospechoso tanta "Scheduled Network Maintenance" ... prácticamente viven haciendo mantenimiento.
Pero si uno mira mas detalladamente y conoce "un poquito más" de DNS, hay "pequeños incidentes" que no dejan de ser tan pequeños, como por ejemplo :

"Investigating - We are investigating a problem with DNS propagation of any records updated since approximately 21:00 UTC. Apr 21, 21:30 UTC"

"Investigating - As of 19:19 UTC, new updates to DNS records are delayed in several European datacenters. Known affected DCs are: Paris, Stockholm, Prague, and Warsaw. Apr 21, 19:35 UTC"

La propagación de los DNS estuvo con problemas por más de 3 horas y en Europa ya habían tenido el mismo problema por casi 2 horas solo un par de horas antes ( o sea esos datacenters estuvieron más de 5 horas contínuas con problemas de propagación y/o actualización de registros ) ... y es casi normal que tengan mas de algún problemas con la resolución o propagación de los DNS, además que debe ser uno de los sistemas con mas ataques DDoS en el mundo.

Me acordé de Cloudflare porque hace un par de días me tocó migrar los dominios de un cliente que había habilitado algunos con Cloudflare y una de las limitaciones es que el TTL mínimo del servicio gratuito es de 2 horas ... ya se que nadie se va a morir por una demora de 2 horas en la propagación de una nueva IP para un dominio ... pero cuando uno se acostumbra a que la propagación demore solo unos minutos o segundos ... es mucho tiempo ( cuando obviamente se ha programado con tiempo la migración ) e incluso pagando US$ 200 mensuales por cada dominio en el plan Business el TTL mínimo es de solo 30 minutos !!!

Creo que en teoría el sistema se ve muy bueno ... pero todavía le faltan muchísimas cosas por mejorar y optimizar a nivel de DNS y podría seguir agregando decenas de ejemplos que me inducen a pensar todo lo anterior :

Por si alguien quiere "entretenerse" leyendo un poco mas sobre la seguridad de Cloudflare, les recomiendo este artículo donde compararon el Business Plan que se supone tiene un enterprise WAF ( web application firewall ) con el humilde y nunca bien ponderado ModSecurity, lo probaron con 54 SQL Injection Tests ... adivinen cuantos bloqueó Cloudflare y cuantos ModSecurity

http://zeroscience.mk/files/wafreport2013.pdf

No tengo nada contra Cloudflare ... solo que aun no me convencen de que sea tan maravilloso

 

Yo también opino que hay mucho por mejorar en CloudFlareFlare, pero no hay por qué usar o ModSecurity o CloudFlare, pudiendo usar ambos. Partiendo de que CloudFlare tiene la mencionada versión Free, siempre será mejor que quienes usan 2 DNS bajo la misma IP o misma máquina. Algo es algo, pero claramente tus propuestas de AnyCast etc., son mucho más avanzadas, confiables y seguras.

 

Mi cuestionamiento al comparar Cloudflare (CF) Business con ModSecurity solo tiene que ver con que un producto "pagado" que "se supone" protege contra ese tipo de ataques no fué capaz de bloquear ninguno !!! .... obviamente que usar CF es mucho mejor que tener 2 DNS con la misma IP, pero la mayoría de los proveedores especializados de DNS no te obliga a usar sus DNS y perder el control de muchos aspectos relacionados con los DNS ... y sobre un sistema DNS AnyCast se supone que debería tener la ventaja de que si se cae una IP "la misma IP" está replicada en otro lado y debiera automáticamente soportar el failover, pero a CF se le caen o bloquean todas las IPs AnyCast afectando a todo el sistema.

Creo que CF tiene una infraestructura impresionante, pero si comenzamos a analizar el uptime, el failover, los tiempos de propagación o replicación, etc aún no están al nivel de un proveedor especializado de DNS ... creo que parte del problema es que tratan de abarcar muchos servicios en un solo producto.

 

Coincido totalmente. No he probado la versión de pago de CF, solamente la gratuita, y la verdad, salvo para equilibrar un poquillo el tráfico, no le ví gran cosa. Evito usarlo salvo que por alguna razón esté en un hosting y la web sea potente, y CF en free me dé lo justo para que no haga tambalear al resto (o con CloudLinux, que no me tumbe a mí mismo) del entorno compartido.

Ahora mismo creo que no tengo ninguna con CF porque he logrado optimizar por otros lados para no necesitarlo.

 

Yo tengo usando el servicio de cloudflare más de un año, la opción gratuita y el único problema que tuve de inactividad fue durante 7 minutos.

Lo se por las alertas de pingdom.com y otros scripts

Sobre cloudflare no todo es bueno, también he visto casos contrarios de que el servicio es pesimo.

Importante: Un servicio óptimo de dns tiene que evitar estos avisos o alertas:

Name Servers Distributed on Multiple ASNs
WARNING: All name servers are located in one Autonomous System:

Name servers should be dispersed (topologically and geographically) across the Internet to avoid risk of single point of failure (RFC 2182).

 

Un servicio "óptimo de DNS" no debería tener caídas globales de todo el sistema ( en el 2013 se supone que CF tenía 23 datacenters y los 23 se fueron abajo al mismo tiempo !!!!!! ), o tener problemas de propagación o degradación, de acceso al sitio o de la API "por varias horas" casi periódicamente ... basta mirar https://www.cloudflarestatus.com :

May 2, 16:22 UTC
Degraded performance and errors in SJC and LAX ( demoraron más de 6 horas en solucionarlo )

Apr 30, 09:51 UTC
DNS record updates delayed in East North America region ( demoraron más de 3 horas en solucionarlo )

Apr 24, 15:10 UTC
Errors and timeouts accessing cloudflare.com and APIs ( demoraron casi 2 horas en solucionarlo )

Creo que aún les falta muchísimo por depurar el sistema y ofrecer un nivel de servicio acorde a lo que ellos mismos estan ofreciendo

 

Me olvida un pequeño detalle de Cloudflare relacionado a los pequeños ataques DDoS, con el Api de cloudflare puedes activar automáticamente mediante un script la función de "I’m under attack" esto se activa automáticamente cuando la carga del servidor web es alta.