Jump to content
Калькуляторы

Распределенная DNS система Резервирование на основе OSPF

Здравствуйте, так происходит в нашем олимпийском городе, что точки в разных концах города, где расположены DNS сервера, на длительное время остаются без питания. Периоды восстановления сервиса (время на установку генератора и переключение) не большой, но он есть, и у бОльшей части клиентов не работает интеренет.

 

Думаю на VDS'ках поднять bind'ы + zebra, а IP DNS сервиса на loopback вешать и делиться маршрутами с Core Router (схема во вложении).

 

Может быть есть более простой вариант или другая логика, подскажите, кто сталкивался?

post-87545-059516700 1386834602_thumb.png

Share this post


Link to post
Share on other sites

Мы добавили DNS сервера в кластер с помощью heartbeat. Сервера общаются между собой, один основной, второй на подхвате (конфиги синхронизируются с помощью rsync). Как только резервный сервер перестает видеть сообщения основного, он прописывает себе IP и запускает сервис DNS. При восстановлении связности срабатывает защита от split-brain и днс перезапускается снова на основном сервере.

 

Еще можно использовать Pacemaker для создания кластера, это намного более крутая штука чем heartbeat, но и более трудная в конфигурировании.

 

Еще есть Anycast DNS, DNS запросы будут приходить ближайшему доступному серверу. У вас примерно тоже самое получилось.

Edited by Painter

Share this post


Link to post
Share on other sites

Еще есть Anycast DNS, DNS запросы будут приходить ближайшему доступному серверу. У вас примерно тоже самое получилось.

 

Ох, с кластерами не работал пока, вот почитаю про anycast.

Edited by a-zazell

Share this post


Link to post
Share on other sites

Heartbeat на самом деле легко настраивается. Вот пример:

10.10.10.1 и 10.10.10.2 - ip адреса, на которые сервера будут посылать keep-alive сообщения

10.10.10.99 - ip адреc, который должен переезжать на другие сервера в случае фейла

ns1 и ns2 - хостнеймы

предпочтительный сервер для старта - ns1

 

apt-get install heartbeat

touch /etc/ha.d/authkeys
touch /etc/ha.d/ha.cf
touch /etc/ha.d/haresources
chmod 0600 /etc/ha.d/authkeys

-/etc/ha.d/authkeys
auth 1
1 md5 your-cool-password

-/etc/ha.d/ha.cf
use_logd yes
autojoin none
crm off    
udpport 694
keepalive 2
deadtime 15
warntime 20
initdead 20
ucast eth1 10.10.10.1
ucast eth1 10.10.10.2
auto_failback off
node ns1
node ns2

- /etc/ha.d/haresources
ns1 IPaddr2::10.10.10.99/24/eth1 bind9

 

Попробуйте, посмотрите. Только обязательно протестируйте на тестовом стенде, а то может случиться фейл. Так же убедитесь, что ваши роутеры нормально обрабатывают gratuitous arp пакеты, а то они будут продолжать слать пакеты на другой мак-адрес.

Share this post


Link to post
Share on other sites

Попробуйте, посмотрите. Только обязательно протестируйте на тестовом стенде, а то может случиться фейл. Так же убедитесь, что ваши роутеры нормально обрабатывают gratuitous arp пакеты, а то они будут продолжать слать пакеты на другой мак-адрес.

 

Спасибо, попробую.

Share this post


Link to post
Share on other sites

А нельзя пользователям сразу 3 днс отдавать и все?

Share this post


Link to post
Share on other sites

На самом деле, можно с разных DNS анонсить один и тот же IP. Даже если где-то и будет 2 маршрута в FIB, то всё равно сейчас всё балансируется per-flow, а не per-packet, поэтому никаких проблем не будет. Для связи с внешним миром у каждого DNS-а должен быть свой уникальный IP.

Share this post


Link to post
Share on other sites

Я решил делать по своей схеме во вложении, т.к. для heartbeat нужен общий VLAN (насколько я понял), а гонять его по всей сети не удобно.

Пока настроил zebra+ospfd, /32 на lo:1 отдается. По данной схеме будут подниматься, пока, только кэширующие сервера для клиентов. Авторитарные плавное съедут на другие IP.

 

По ходу дела возникли вопросы:

 


  1.  
  2. С каким IP будут отдаваться пакеты ответа DNS сервиса (lo:1 или смотрящего в сеть), и будут ли они восприниматься клиентом (Хотя query refused видел ...)
  3. IPv6 ... Пока тянутся vlan по сети, без маршрутизации

 

На вопрос: "почему не добавить еще DNS?" - схема Master (primary) + Slave (secondary) живет давно, очень менять параметры на существующую базу клиентов нет смысла. В ситуации сбоя обоих серверов, попытка "донести" настройку доп. публичного DNS 8.8.8.8 встречает непонимание вопроса в 95% случаев.

Share this post


Link to post
Share on other sites

Когда я решал подобную задачу, то просто установил необходимое количество DNS серверов и указал на них одинаковые IP адреса, по OSPF они разлетелись с разными метриками, заодно получилась равномерная загрузка всего оборудования. При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется.

Share this post


Link to post
Share on other sites

С каким IP будут отдаваться пакеты ответа DNS сервиса (lo:1 или смотрящего в сеть)

 

На какой IP придёт запрос, с такого же и вернётся, по крайней мере это дефолтный бихейвор для bind и pdns_recursor и для всех приложений, которые используют стандартные сокеты. Исходящий для осуществления рекурсии можно задать явно (или он будет выбран исходя из src по таблице роутинга)

Share this post


Link to post
Share on other sites

При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется.

 

Ммм, а вы статику куда направляли? У вас на RB статика с ping check?

Share this post


Link to post
Share on other sites

При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется.

 

Ммм, а вы статику куда направляли? У вас на RB статика с ping check?

 

На адрес DNS сервера, если пинг отправляется с ближайшего, то у него самая маленькая метрика и пинг только от его адреса пойдет, если сервак завис, или с него атаку сделали=) и он блокируется, то пинг перестает идти, маршрут делается неактивный и он пропадает из анонсов. Но для этого требуется прописывать подсеть например /30 на каждом устройстве, к которому ДНС сервер подключен.

Share this post


Link to post
Share on other sites

Запускал схему с ospfd+lo, работает (=. VDS 5G ROM, 256M RAM, 1CPU - вполне достаточно ...

Share this post


Link to post
Share on other sites

Схема anycast DNS и синхронизацией по ssh.

Еще желательно добавить маршрут к 1.1.1.1/32 по OSPF между switch L3 и ns1-[1,2]

 

Вместо синхронизации соорудите мастер и два слейва ДНС.

1) Ресолвинг внутренних зон через slave зоны

2) Ресолвинг внешних зон (PTR, свои домены) через slave зоны. (можно еще их вынести на внешние секондари ДНС)

3) Все остальное - напрямую.

Edited by vlad11

Share this post


Link to post
Share on other sites

Столкнулся с проблемой, на одном из серверов не резолвится внешняя зона.

Решено запуском bind9 на всех интерфейсах, а не только на lo (пакеты из вне не доходили до lo).

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this