Кратко

  • RIPE NCC автоматизировал отзыв и повторный анонс DNS-префиксов по локальным проверкам и замерам до якорей RIPE Atlas.
  • После ошибки брандмауэра все инстансы показали нулевую доступность, но защита от массового сбоя сохранила последнее состояние маршрутов.
  • В докладе описан тест маршрутизирующей защиты, а не перебой DNS для пользователей.

Один низкий замер может убрать префикс конкретного узла. Но ноль, который одновременно видят все, указывает на другую поломку: кто-то ослепил измерительную цепочку.

На DNS-сессии RIPE 93 инженер систем RIPE NCC Леон Грасмейер изложил, как менялась автоматизация хостируемого DNS. Сначала небольшой процесс проверяет локальный DNS-демон: если тот не отвечает, префикс конкретного инстанса отзывают. Следующая проверка ищет маршрут по умолчанию или полную таблицу маршрутизации. Если нет ни того ни другого, отзыв касается и серверного префикса. При этом с центрального узла продолжают анонсироваться покрывающие префиксы — запасной путь на случай сбоя локальной автоматики.

Новая ступень проверяет обратную доступность каждого DNS-инстанса до якорей RIPE Atlas. Система считает долю якорей, получивших сообщения. Если доля слишком мала, причиной считают возможную проблему обратного пути, после чего сервисный префикс можно отозвать. Раньше восстановление маршрута требовало ручного действия; теперь автоматика отзывает префикс и повторно анонсирует его после восстановления метрики.

Для одновременного падения показаний действует другое правило. Если слишком много инстансов или площадок разом оказываются ниже порога, система сохраняет последнее значение: общий провал выглядит подозрительно. Испытание началось с ошибки в брандмауэре, которая заблокировала сбор данных. Все инстансы показали ноль процентов, но префиксы остались анонсированными — именно так, как рассчитывал RIPE NCC.

Страница RIPE NCC описывает AuthDNS как anycast-службу обратного DNS, ripe.net, e164.arpa и других инфраструктурных зон. Для кластера указаны анонсы 193.0.9.0/24 и 2001:67c:e0::/48 из AS197000. Отзыв BGP-маршрута сообщает соседям, что ранее объявленный путь больше недоступен. Покрывающие префиксы центрального узла остаются отдельной мерой. Транскрипт не показывает, какой путь выбрал конкретный резолвер.

Транскрипт не называет число якорей, пороги отзыва и восстановления, срок хранения последнего результата или точный префикс из теста. Без этих параметров другой оператор не сможет точно воспроизвести защиту.

Две ошибки ведут в разные стороны. Неверная оценка одного инстанса может убрать рабочий маршрут. Общий ноль может сохранить устаревшее объявление во время настоящего сбоя. Контроллер должен различать болезнь службы и слепоту измерителя, а журнал должен показывать, почему выбран именно этот маршрутный шаг.

Источники