Downloaded 19 times
Uploaded byOntico
Андрей Лескин, QratorLabs/HLL
Документ посвящен тестированию производительности различных DNS-серверов, таких как Knot и PowerDNS, с акцентом на их скорость, устойчивость и производительность. Обсуждаются методы тестирования и оценки, а также потенциальные уязвимости, такие как DNS-атак и проблемы с кэшем. В результате тестов определен победитель среди анализируемых серверов, но также выделены значительные подводные камни и риски.
Андрей Лескин, QratorLabs/HLL
- 1.
- 2.
- 3. Что такое DNS? •Коротко: highloadlab.com 178.248.233.7
- 4. Что такое DNS? •Коротко: highloadlab.com 178.248.233.7 • Длинно: (список неполон)
- 5. DNS-серверы • minidns dnsserver https://code.google.com/p/minidns/source/browse/minidns “wc -l minidns” 107 (!!!)
- 6. DNS-серверы • minidns dnsserver https://code.google.com/p/minidns/source/browse/minidns “wc -l minidns” 107 (!!!)
- 7. DNS-серверы • minidns dnsserver https://code.google.com/p/minidns/source/browse/minidns “wc -l minidns” 107 (!!!) • Authoritative. There can be only one! • Caching. The cache is out there...
- 8. А что мыхотим? • Скорость • Устойчивость • Производительность
- 9. А что мыхотим? • Скорость • Устойчивость • Производительность SUPER Authoritative Server SLOW Authoritative Server SUPER Caching Server QUERIES QUERIES
- 10. А что мыхотим? • Скорость • Устойчивость • Производительность SUPER Authoritative Server SLOW Authoritative Server SUPER Caching Server QUERIES • Доменов: МАЛО • Запросов: МНОГО QUERIES
- 11. DNS test. Ачто уже было сломано до нас?
- 12. DNS test. Ачто уже было сломано до нас? • dnsperf & resperf?
- 13. DNS test. Ачто уже было сломано до нас? • dnsperf & resperf? NO • tcpreplay?
- 14. DNS test. Ачто уже было сломано до нас? • dnsperf & resperf? NO • tcpreplay? NO • Ideal/real world data? NOOO!!!
- 15.
- 16.
- 17. DNS test. Measurements •QPS, RPS = PPS • Traffic: Mbit/s • CPU load avg • Поведение при повышении нагрузки • А еще есть крутилки и включалки!
- 18. DNS test. Ана что будем смотреть? • Knot (1.2.0 & 1.3.0-RC5) • Yadifa (1.0.2) • NSD3 (3.2.15) • NSD4 (4.0.0b4) • PowerDNS (3.3) • TinyDNS (1.05) • Unbound (1.4.16) • Pdnsd (1.2.8) • Server: Dual Xeon E5-2670 32Gb RAM DDR3 1333Mhz Intel X520-DA2 10Gbit • Generator: Single Xeon E5-2670 32Gb RAM DDR3 1333Mhz Intel X520-DA2 10Gbit • Gentoo Linux 3.7.9
- 19. DNS test. Setup •Максимально ванильно! • Authoritative: 300 сформированных зон • Caching: Прогреваем кэш на такой же объем данных
- 20. Results. Выбираем победителякрутилок. Knot-1.2.0, queries=1
- 21. Results. Выбираем победителякрутилок. Knot-1.2.0, queries=1
- 22. Results. Queries inflow: 01 Knot NSD Unbound Yadifa PowerDNS Pdnsd TinyDNS
- 23. Results. Queries inflow: 01 Knot NSD Unbound Yadifa PowerDNS Pdnsd TinyDNS
- 24. Results. Queries inflow: 02 Knot NSD Unbound PowerDNS Pdnsd Yadifa TinyDNS
- 25. Results. Queries inflow: 02 Knot NSD Unbound PowerDNS Pdnsd Yadifa TinyDNS
- 26. Results. Queries inflow: 02 Knot NSD Unbound PowerDNS Pdnsd Yadifa TinyDNS
- 27. Results. Queries inflow: 20 Knot NSD Unbound PowerDNS Pdnsd Yadifa TinyDNS
- 28. Подводные камни. IT HAPPENS. BEPREPARED
- 29. Подводные камни. Local. •Knot-1.2.0 Победитель может все... Или не все?
- 30. Подводные камни. Local. •Knot-1.2.0 Победитель может все... Или не все? • Yadifa-1.0.2 Нужно больше золота!
- 31. Подводные камни. Local. •Knot-1.2.0 Победитель может все... Или не все? • Yadifa-1.0.2 Нужно больше золота! • Pdnsd Приз за оригинальность.
- 32. Подводные камни. Global. Камень Контр-камень •UDP • BCP38 Мне кажется, пакет пришел оттуда... Но я не гарантирую это! Когда случится счастье – нам не ведомо!
- 33. Подводные камни. Global. Камень Контр-камень •UDP • BCP38 Мне кажется, пакет пришел оттуда... Но я не гарантирую это! • DNS cache poisoning (Kaminsky) Адрес поменялся! Иди сюда! Когда случится счастье – нам не ведомо! • DNSSec Это счастье есть, но мало кто пользуется
- 34. Подводные камни. Global. Камень Контр-камень •UDP • BCP38 Мне кажется, пакет пришел оттуда... Но я не гарантирую это! • DNS cache poisoning (Kaminsky) Когда случится счастье – нам не ведомо! • DNSSec Адрес поменялся! Иди сюда! Это счастье есть, но мало кто пользуется • Стать DNS Amplifier • Можно самостоятельно: - закрыть рекурсию извне - RRL (DROP, SLIP) - DROP пакетов с src_port 53 Чтобы не быть жертвой - надо не быть жертвой - dig isoc.org ANY (26 vs 2435) - открытая рекурсия
- 35. Подводные камни. Самне выжил.
- 36. Подводные камни. Самне выжил.
- 37. Подводные камни. Самне выжил.
- 38.