POC DNS Anycast TCP - Histórico de revisão

Gondim em 18h58min de 22 de janeiro de 2023

2023-01-22T18:58:57Z

← Edição anterior		Edição das 18h58min de 22 de janeiro de 2023
Linha 1:		Linha 1:
	{{DISPLAYTITLE:PoC - Quebra do TCP em DNS Anycast Balanceado}}		{{DISPLAYTITLE:PoC - Quebra do TCP em DNS Anycast Balanceado}}
			__TOC__
	__FORCARTDC__		__FORCARTDC__
	[[Arquivo:Poc.jpg\|nenhum\|commoldura]]		[[Arquivo:Poc.jpg\|nenhum\|commoldura]]

Gondim em 17h30min de 22 de janeiro de 2023

2023-01-22T17:30:05Z

← Edição anterior		Edição das 17h30min de 22 de janeiro de 2023
Linha 27:		Linha 27:
	[[Arquivo:Dns1 2.png\|nenhum\|miniaturadaimagem\|1666x1666px]]Contudo as requisições foram para o servidor '''DNS Recursivo B''' conforme abaixo:		[[Arquivo:Dns1 2.png\|nenhum\|miniaturadaimagem\|1666x1666px]]Contudo as requisições foram para o servidor '''DNS Recursivo B''' conforme abaixo:
	[[Arquivo:Dns2 2.png\|nenhum\|miniaturadaimagem\|1673x1673px]]		[[Arquivo:Dns2 2.png\|nenhum\|miniaturadaimagem\|1673x1673px]]

			== Outras fontes de consulta ==
			Agradecimentos a Leandro Bertholdo por contribuir com as fontes abaixo.

			* https://archive.nanog.org/meetings/nanog37/presentations/matt.levine.pdf
			* https://ant.isi.edu/~johnh/PAPERS/Wei17b.pdf

	== Conclusão ==		== Conclusão ==

Gondim em 04h03min de 19 de janeiro de 2023

2023-01-19T04:03:47Z

← Edição anterior		Edição das 04h03min de 19 de janeiro de 2023
Linha 9:		Linha 9:
	Vamos nos atentar ao seguinte: consultas de DNS usando o protocolo TCP são percebidas em '''transferências de zonas''' entre o '''DNS Autoritativo Primário''' e o '''DNS Autoritativo Secundário''' e consultas cuja resposta tenha um tamanho grande, maior que '''512 bytes''' mas que isso nem sempre é uma regra, por exemplo, consultas envolvendo '''DNSSEC''' possuem respostas '''maiores que 512 bytes''' e são realizadas em UDP. Com isso podemos dizer que consultas recursivas de DNS usando o protocolo TCP são ínfimas e não tenho relatos de problemas de acesso com esse cenário. Vamos observar a tela abaixo:		Vamos nos atentar ao seguinte: consultas de DNS usando o protocolo TCP são percebidas em '''transferências de zonas''' entre o '''DNS Autoritativo Primário''' e o '''DNS Autoritativo Secundário''' e consultas cuja resposta tenha um tamanho grande, maior que '''512 bytes''' mas que isso nem sempre é uma regra, por exemplo, consultas envolvendo '''DNSSEC''' possuem respostas '''maiores que 512 bytes''' e são realizadas em UDP. Com isso podemos dizer que consultas recursivas de DNS usando o protocolo TCP são ínfimas e não tenho relatos de problemas de acesso com esse cenário. Vamos observar a tela abaixo:
	[[Arquivo:Dashboard poc.png\|nenhum\|miniaturadaimagem\|1347x1347px]]		[[Arquivo:Dashboard poc.png\|nenhum\|miniaturadaimagem\|1347x1347px]]
	Reparem no monitoramento acima que no item 2 temos no horário de pico '''16948.1 qps (queries per second)''' sendo que '''consultas TCP''' apenas '''202.4 qps'''.		Reparem no monitoramento acima que no item 2 temos no horário de pico '''16948.1 qps (queries per second)''' sendo que '''consultas TCP''' apenas '''202.4 qps''' no item 1.

	== Diagrama do LAB para o nosso PoC (Proof of Concept) ==		== Diagrama do LAB para o nosso PoC (Proof of Concept) ==

Gondim em 03h50min de 19 de janeiro de 2023

2023-01-19T03:50:34Z

← Edição anterior		Edição das 03h50min de 19 de janeiro de 2023
Linha 9:		Linha 9:
	Vamos nos atentar ao seguinte: consultas de DNS usando o protocolo TCP são percebidas em '''transferências de zonas''' entre o '''DNS Autoritativo Primário''' e o '''DNS Autoritativo Secundário''' e consultas cuja resposta tenha um tamanho grande, maior que '''512 bytes''' mas que isso nem sempre é uma regra, por exemplo, consultas envolvendo '''DNSSEC''' possuem respostas '''maiores que 512 bytes''' e são realizadas em UDP. Com isso podemos dizer que consultas recursivas de DNS usando o protocolo TCP são ínfimas e não tenho relatos de problemas de acesso com esse cenário. Vamos observar a tela abaixo:		Vamos nos atentar ao seguinte: consultas de DNS usando o protocolo TCP são percebidas em '''transferências de zonas''' entre o '''DNS Autoritativo Primário''' e o '''DNS Autoritativo Secundário''' e consultas cuja resposta tenha um tamanho grande, maior que '''512 bytes''' mas que isso nem sempre é uma regra, por exemplo, consultas envolvendo '''DNSSEC''' possuem respostas '''maiores que 512 bytes''' e são realizadas em UDP. Com isso podemos dizer que consultas recursivas de DNS usando o protocolo TCP são ínfimas e não tenho relatos de problemas de acesso com esse cenário. Vamos observar a tela abaixo:
	[[Arquivo:Dashboard poc.png\|nenhum\|miniaturadaimagem\|1347x1347px]]		[[Arquivo:Dashboard poc.png\|nenhum\|miniaturadaimagem\|1347x1347px]]
	Reparem no monitoramento acima que no item 2 temos no horário de pico '''16948 qps (queries per second)''' sendo que '''consultas TCP''' apenas '''~~116~~ qps'''.		Reparem no monitoramento acima que no item 2 temos no horário de pico '''16948.1 qps (queries per second)''' sendo que '''consultas TCP''' apenas '''202.4 qps'''.

	== Diagrama do LAB para o nosso PoC (Proof of Concept) ==		== Diagrama do LAB para o nosso PoC (Proof of Concept) ==

Gondim em 03h47min de 19 de janeiro de 2023

2023-01-19T03:47:17Z

← Edição anterior		Edição das 03h47min de 19 de janeiro de 2023
Linha 1:		Linha 1:
	{{DISPLAYTITLE:PoC - Quebra do TCP em DNS Anycast Balanceado}}		{{DISPLAYTITLE:PoC - Quebra do TCP em DNS Anycast Balanceado}}

	~~__SEMTDC__~~		__FORCARTDC__
			[[Arquivo:Poc.jpg\|nenhum\|commoldura]]

	== Introdução ==		== Introdução ==

Gondim em 03h44min de 19 de janeiro de 2023

2023-01-19T03:44:02Z

← Edição anterior		Edição das 03h44min de 19 de janeiro de 2023
Linha 24:		Linha 24:
	== 2ª leva de consultas ==		== 2ª leva de consultas ==
	Agora, conforme abaixo, enviei mais '''duas consultas de DNS''' para o endereço '''www.terra.com.br''' e '''debian.org''' novamente.[[Arquivo:Consulta 2.png\|nenhum\|commoldura]]Dessa vez no servidor de '''DNS Recursivo A''' não chegou qualquer requisição como podemos verificar abaixo:		Agora, conforme abaixo, enviei mais '''duas consultas de DNS''' para o endereço '''www.terra.com.br''' e '''debian.org''' novamente.[[Arquivo:Consulta 2.png\|nenhum\|commoldura]]Dessa vez no servidor de '''DNS Recursivo A''' não chegou qualquer requisição como podemos verificar abaixo:
	[[Arquivo:Dns1 2.png\|nenhum\|miniaturadaimagem\|1666x1666px]]		[[Arquivo:Dns1 2.png\|nenhum\|miniaturadaimagem\|1666x1666px]]Contudo as requisições foram para o servidor '''DNS Recursivo B''' conforme abaixo:
			[[Arquivo:Dns2 2.png\|nenhum\|miniaturadaimagem\|1673x1673px]]

			== Conclusão ==
			Pelo que pude constatar não houve em nenhuma tentativa, de várias que fiz, alguma situação onde visualizei uma consulta chegando '''simultaneamente''' em ambos os servidores de DNS, o que ao meu ver não quebrou a conexão TCP. Juntando esses testes com o que comentei no início do artigo com os dados coletados do '''monitoramento de queries''', tenho por mim que não existe problema de quebra de TCP na arquitetura '''Anycast''', pelo menos utilizando o '''FRRouting''' fazendo os anúncios via '''OSPF'''. Não vi algo que impactasse de alguma maneira os acessos dos clientes.

			Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim\|aqui]].
			[[Categoria:Artigos Técnicos]]

Gondim: /* 1ª leva de consultas */

2023-01-19T03:24:09Z

1ª leva de consultas

← Edição anterior		Edição das 03h24min de 19 de janeiro de 2023
Linha 17:		Linha 17:
	== 1ª leva de consultas ==		== 1ª leva de consultas ==
	Essa abaixo é a tela da '''Máquina de Consulta''', de onde fiz '''duas consultas''' pesquisando o domínio '''debian.org''' via '''TCP''' com o programa '''dig''':		Essa abaixo é a tela da '''Máquina de Consulta''', de onde fiz '''duas consultas''' pesquisando o domínio '''debian.org''' via '''TCP''' com o programa '''dig''':
			[[Arquivo:Consulta 1.png\|nenhum\|commoldura]]
	No momento das duas consultas acima, coletei os seguintes dados no servidor '''DNS Recursivo A''' conforme abaixo:		No momento das duas consultas acima, coletei os seguintes dados no servidor '''DNS Recursivo A''' conforme abaixo:[[Arquivo:Dns1.png\|nenhum\|miniaturadaimagem\|1657x1657px]]
	[[Arquivo:Dns1.png\|nenhum\|miniaturadaimagem\|1657x1657px]]
	Agora repare que no servidor '''DNS Recursivo B''' abaixo; não chegou qualquer requisição para as duas consultas que fizemos acima:		Agora repare que no servidor '''DNS Recursivo B''' abaixo; não chegou qualquer requisição para as duas consultas que fizemos acima:
	[[Arquivo:Dns2.png\|nenhum\|miniaturadaimagem\|1660x1660px]]		[[Arquivo:Dns2.png\|nenhum\|miniaturadaimagem\|1660x1660px]]

	== 2ª leva de consultas ==		== 2ª leva de consultas ==
	[[Arquivo:Consulta 2.png\|nenhum\|commoldura]]		Agora, conforme abaixo, enviei mais '''duas consultas de DNS''' para o endereço '''www.terra.com.br''' e '''debian.org''' novamente.[[Arquivo:Consulta 2.png\|nenhum\|commoldura]]Dessa vez no servidor de '''DNS Recursivo A''' não chegou qualquer requisição como podemos verificar abaixo:
			[[Arquivo:Dns1 2.png\|nenhum\|miniaturadaimagem\|1666x1666px]]

Gondim: /* 2ª leva de consultas */

2023-01-19T03:10:05Z

2ª leva de consultas

← Edição anterior		Edição das 03h10min de 19 de janeiro de 2023
Linha 17:		Linha 17:
	== 1ª leva de consultas ==		== 1ª leva de consultas ==
	Essa abaixo é a tela da '''Máquina de Consulta''', de onde fiz '''duas consultas''' pesquisando o domínio '''debian.org''' via '''TCP''' com o programa '''dig''':		Essa abaixo é a tela da '''Máquina de Consulta''', de onde fiz '''duas consultas''' pesquisando o domínio '''debian.org''' via '''TCP''' com o programa '''dig''':
	~~[[Arquivo:Consulta1.png\|nenhum\|commoldura]]~~
	No momento das duas consultas acima, coletei os seguintes dados no servidor '''DNS Recursivo A''' conforme abaixo:		No momento das duas consultas acima, coletei os seguintes dados no servidor '''DNS Recursivo A''' conforme abaixo:
	[[Arquivo:Dns1.png\|nenhum\|miniaturadaimagem\|1657x1657px]]		[[Arquivo:Dns1.png\|nenhum\|miniaturadaimagem\|1657x1657px]]
Linha 24:		Linha 24:

	== 2ª leva de consultas ==		== 2ª leva de consultas ==
			[[Arquivo:Consulta 2.png\|nenhum\|commoldura]]

Gondim em 03h04min de 19 de janeiro de 2023

2023-01-19T03:04:27Z

@@ Linha 13: / Linha 13: @@
 Além das informações já passadas resolvi montar um LAB em um ambiente real, para vermos o comportamento das consultas quando temos esse cenário com 2 servidores DNS Recursivos Anycast servindo uma rede de clientes. Primeiro vou apresentar o diagrama abaixo para que possamos visualizar os testes que serão feitos. Esses servidores DNS Recursivos Anycast foram montados utilizando esse [[DNS Recursivo Anycast HyperLocal|'''artigo''']].
 [[Arquivo:Poc dns tcp.drawio.png|nenhum|miniaturadaimagem|601x601px]]
-Os IPs no diagrama são fictícios apenas para entendermos o seguinte: Nos servidores de '''DNS A''' e '''B''' terei um programa '''tcpdump''' escutando requisições de '''DNS 53/TCP''' vindas do IP '''198.18.1.10'''. Na máquina de consulta '''198.18.1.10''' forçarei consultas de DNS utilizando apenas o protocolo TCP e observaremos o comportamento em cada servidor. Fiz diversas consultas e sempre percebi o mesmo comportamento registrado nos testes. Abaixo estou colocando apenas o suficiente para concluirmos nosso PoC:
+Os IPs no diagrama são fictícios apenas para entendermos o seguinte: Nos servidores de '''DNS A''' e '''B''' que escutam nos IPs '''10.10.10.10''' e '''10.10.9.9''' anunciados via '''OSPF''' pelo '''FRR''', terei um programa '''tcpdump''' escutando requisições de '''DNS 53/TCP''' vindas do IP '''198.18.1.10'''. Na '''Máquina de Consulta''' '''198.18.1.10''' forçarei consultas de DNS utilizando apenas o protocolo TCP e observaremos o comportamento em cada servidor. Fiz diversas consultas e sempre obtive o mesmo comportamento registrado nos testes. Abaixo estou colocando apenas o suficiente para concluirmos nosso PoC:

Gondim em 02h26min de 19 de janeiro de 2023

2023-01-19T02:26:50Z

← Edição anterior		Edição das 02h26min de 19 de janeiro de 2023
Linha 12:		Linha 12:
	== Diagrama do LAB para o nosso PoC (Proof of Concept) ==		== Diagrama do LAB para o nosso PoC (Proof of Concept) ==
	Além das informações já passadas resolvi montar um LAB em um ambiente real, para vermos o comportamento das consultas quando temos esse cenário com 2 servidores DNS Recursivos Anycast servindo uma rede de clientes. Primeiro vou apresentar o diagrama abaixo para que possamos visualizar os testes que serão feitos. Esses servidores DNS Recursivos Anycast foram montados utilizando esse [[DNS Recursivo Anycast HyperLocal\|'''artigo''']].		Além das informações já passadas resolvi montar um LAB em um ambiente real, para vermos o comportamento das consultas quando temos esse cenário com 2 servidores DNS Recursivos Anycast servindo uma rede de clientes. Primeiro vou apresentar o diagrama abaixo para que possamos visualizar os testes que serão feitos. Esses servidores DNS Recursivos Anycast foram montados utilizando esse [[DNS Recursivo Anycast HyperLocal\|'''artigo''']].
	[[Arquivo:Poc dns tcp.drawio.png\|nenhum\|miniaturadaimagem]]		[[Arquivo:Poc dns tcp.drawio.png\|nenhum\|miniaturadaimagem\|601x601px]]
	Os IPs no diagrama são fictícios apenas para entendermos o seguinte: Nos servidores de '''DNS A''' e '''B''' terei um programa '''tcpdump''' escutando requisições de '''DNS 53/TCP''' vindas do IP '''198.18.1.10'''. Na máquina de consulta '''198.18.1.10''' forçarei consultas de DNS utilizando apenas o protocolo TCP e observaremos o comportamento em cada servidor. Fiz diversas consultas e sempre percebi o mesmo comportamento registrado nos testes. Abaixo estou colocando apenas o suficiente para concluirmos nosso PoC:		Os IPs no diagrama são fictícios apenas para entendermos o seguinte: Nos servidores de '''DNS A''' e '''B''' terei um programa '''tcpdump''' escutando requisições de '''DNS 53/TCP''' vindas do IP '''198.18.1.10'''. Na máquina de consulta '''198.18.1.10''' forçarei consultas de DNS utilizando apenas o protocolo TCP e observaremos o comportamento em cada servidor. Fiz diversas consultas e sempre percebi o mesmo comportamento registrado nos testes. Abaixo estou colocando apenas o suficiente para concluirmos nosso PoC: