a-zazell Posted December 12, 2013 · Report post Здравствуйте, так происходит в нашем олимпийском городе, что точки в разных концах города, где расположены DNS сервера, на длительное время остаются без питания. Периоды восстановления сервиса (время на установку генератора и переключение) не большой, но он есть, и у бОльшей части клиентов не работает интеренет. Думаю на VDS'ках поднять bind'ы + zebra, а IP DNS сервиса на loopback вешать и делиться маршрутами с Core Router (схема во вложении). Может быть есть более простой вариант или другая логика, подскажите, кто сталкивался? Share this post Link to post Share on other sites
Painter Posted December 12, 2013 (edited) · Report post Мы добавили DNS сервера в кластер с помощью heartbeat. Сервера общаются между собой, один основной, второй на подхвате (конфиги синхронизируются с помощью rsync). Как только резервный сервер перестает видеть сообщения основного, он прописывает себе IP и запускает сервис DNS. При восстановлении связности срабатывает защита от split-brain и днс перезапускается снова на основном сервере. Еще можно использовать Pacemaker для создания кластера, это намного более крутая штука чем heartbeat, но и более трудная в конфигурировании. Еще есть Anycast DNS, DNS запросы будут приходить ближайшему доступному серверу. У вас примерно тоже самое получилось. Edited December 12, 2013 by Painter Share this post Link to post Share on other sites
a-zazell Posted December 12, 2013 (edited) · Report post Еще есть Anycast DNS, DNS запросы будут приходить ближайшему доступному серверу. У вас примерно тоже самое получилось. Ох, с кластерами не работал пока, вот почитаю про anycast. Edited December 12, 2013 by a-zazell Share this post Link to post Share on other sites
Painter Posted December 12, 2013 · Report post Heartbeat на самом деле легко настраивается. Вот пример: 10.10.10.1 и 10.10.10.2 - ip адреса, на которые сервера будут посылать keep-alive сообщения 10.10.10.99 - ip адреc, который должен переезжать на другие сервера в случае фейла ns1 и ns2 - хостнеймы предпочтительный сервер для старта - ns1 apt-get install heartbeat touch /etc/ha.d/authkeys touch /etc/ha.d/ha.cf touch /etc/ha.d/haresources chmod 0600 /etc/ha.d/authkeys -/etc/ha.d/authkeys auth 1 1 md5 your-cool-password -/etc/ha.d/ha.cf use_logd yes autojoin none crm off udpport 694 keepalive 2 deadtime 15 warntime 20 initdead 20 ucast eth1 10.10.10.1 ucast eth1 10.10.10.2 auto_failback off node ns1 node ns2 - /etc/ha.d/haresources ns1 IPaddr2::10.10.10.99/24/eth1 bind9 Попробуйте, посмотрите. Только обязательно протестируйте на тестовом стенде, а то может случиться фейл. Так же убедитесь, что ваши роутеры нормально обрабатывают gratuitous arp пакеты, а то они будут продолжать слать пакеты на другой мак-адрес. Share this post Link to post Share on other sites
a-zazell Posted December 12, 2013 · Report post Попробуйте, посмотрите. Только обязательно протестируйте на тестовом стенде, а то может случиться фейл. Так же убедитесь, что ваши роутеры нормально обрабатывают gratuitous arp пакеты, а то они будут продолжать слать пакеты на другой мак-адрес. Спасибо, попробую. Share this post Link to post Share on other sites
EDA_SPB Posted December 12, 2013 · Report post А нельзя пользователям сразу 3 днс отдавать и все? Share this post Link to post Share on other sites
s.lobanov Posted December 12, 2013 · Report post На самом деле, можно с разных DNS анонсить один и тот же IP. Даже если где-то и будет 2 маршрута в FIB, то всё равно сейчас всё балансируется per-flow, а не per-packet, поэтому никаких проблем не будет. Для связи с внешним миром у каждого DNS-а должен быть свой уникальный IP. Share this post Link to post Share on other sites
a-zazell Posted December 12, 2013 · Report post Я решил делать по своей схеме во вложении, т.к. для heartbeat нужен общий VLAN (насколько я понял), а гонять его по всей сети не удобно. Пока настроил zebra+ospfd, /32 на lo:1 отдается. По данной схеме будут подниматься, пока, только кэширующие сервера для клиентов. Авторитарные плавное съедут на другие IP. По ходу дела возникли вопросы: С каким IP будут отдаваться пакеты ответа DNS сервиса (lo:1 или смотрящего в сеть), и будут ли они восприниматься клиентом (Хотя query refused видел ...) IPv6 ... Пока тянутся vlan по сети, без маршрутизации На вопрос: "почему не добавить еще DNS?" - схема Master (primary) + Slave (secondary) живет давно, очень менять параметры на существующую базу клиентов нет смысла. В ситуации сбоя обоих серверов, попытка "донести" настройку доп. публичного DNS 8.8.8.8 встречает непонимание вопроса в 95% случаев. Share this post Link to post Share on other sites
Saab95 Posted December 12, 2013 · Report post Когда я решал подобную задачу, то просто установил необходимое количество DNS серверов и указал на них одинаковые IP адреса, по OSPF они разлетелись с разными метриками, заодно получилась равномерная загрузка всего оборудования. При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется. Share this post Link to post Share on other sites
s.lobanov Posted December 13, 2013 · Report post С каким IP будут отдаваться пакеты ответа DNS сервиса (lo:1 или смотрящего в сеть) На какой IP придёт запрос, с такого же и вернётся, по крайней мере это дефолтный бихейвор для bind и pdns_recursor и для всех приложений, которые используют стандартные сокеты. Исходящий для осуществления рекурсии можно задать явно (или он будет выбран исходя из src по таблице роутинга) Share this post Link to post Share on other sites
a-zazell Posted December 13, 2013 · Report post При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется. Ммм, а вы статику куда направляли? У вас на RB статика с ping check? Share this post Link to post Share on other sites
Saab95 Posted December 16, 2013 · Report post При выходе из строя одного, на него перестает идти пинг, и тут же пропадает статический маршрут, по которому его адрес и анонсируется. Ммм, а вы статику куда направляли? У вас на RB статика с ping check? На адрес DNS сервера, если пинг отправляется с ближайшего, то у него самая маленькая метрика и пинг только от его адреса пойдет, если сервак завис, или с него атаку сделали=) и он блокируется, то пинг перестает идти, маршрут делается неактивный и он пропадает из анонсов. Но для этого требуется прописывать подсеть например /30 на каждом устройстве, к которому ДНС сервер подключен. Share this post Link to post Share on other sites
a-zazell Posted December 16, 2013 · Report post Запускал схему с ospfd+lo, работает (=. VDS 5G ROM, 256M RAM, 1CPU - вполне достаточно ... Share this post Link to post Share on other sites
a-zazell Posted December 21, 2013 · Report post Запустил по схеме во вложении. Share this post Link to post Share on other sites
vlad11 Posted December 21, 2013 (edited) · Report post Схема anycast DNS и синхронизацией по ssh. Еще желательно добавить маршрут к 1.1.1.1/32 по OSPF между switch L3 и ns1-[1,2] Вместо синхронизации соорудите мастер и два слейва ДНС. 1) Ресолвинг внутренних зон через slave зоны 2) Ресолвинг внешних зон (PTR, свои домены) через slave зоны. (можно еще их вынести на внешние секондари ДНС) 3) Все остальное - напрямую. Edited December 21, 2013 by vlad11 Share this post Link to post Share on other sites
a-zazell Posted December 25, 2013 · Report post Столкнулся с проблемой, на одном из серверов не резолвится внешняя зона. Решено запуском bind9 на всех интерфейсах, а не только на lo (пакеты из вне не доходили до lo). Share this post Link to post Share on other sites
