Re: Résilience infrastructure DNS

Le 19/04/2017 à 11:52, [email protected] a écrit :
> Bonjour,
>
> Je me soumets à votre expertise, et souhaite partager avec vous quelques axes de réflexions concernant l’amélioration de la résilience des DNS d’une entreprise en cas d’attaques et partager avec vous nos expériences.
>
> Je travaille à améliorer la résilience de nos infrastructures DNS publics.
> Le but, en cas d’attaques, dégradant la disponibilité de l’infrastructure réseau ciblée, continuer de répondre aux requêtes DNS.
> Une des améliorations, mise en place, déployer des serveurs sur des infrastructures réseaux indépendantes les unes des autres.
> Pour diminuer l’impact d’une attaque, je m’appuie sur :
> •	une liste de NS cohérente (serveurs NS réparties sur des infrastructures indépendantes),
> •	sur des valeurs de TTL suffisamment longues,
> •	sur les caches des résolveurs.
> Une des limites de cette usage, des problèmes de « timeout » peuvent perturber les clients, en cas de serveurs NS indisponibles.
>
> Une seconde amélioration, envisagée, utiliser de l’IP Anycast. Solution lourde à mettre en place.
> En Anycast, Les paquets sont routés (annonce BGP) vers le point le plus proche ou le plus efficace (je cîble plutôt ce dernier point).
> Anycast est plus adapté au protocol UDP que TCP. En pensant à DNSSEC, est-ce que l’Anycast peut poser problème ?
>
> Nous utilisons le GSLB directement implémenté sur nos serveurs DNS. Le GSLB impose un TTL de quelques secondes pour les zones concernées.
> Je pense, que le GSLB diminue la qualité de notre résilience. Je ne voie pas d’axe d’améliorations sur ce sujet. Qu’en pensez-vous ?
>
> Ma contrainte, ne pas pouvoir utiliser les solutions DNS proposées par des AWS, DynDNS ou autres, ceci nécéssiterait que j’implémente des développements intégrés à nos solutions d’administrations centralisées, à nos solutions d’automatisation et nécéssite pour certains de leur déléguer les zones, notre service sécurité ne l’autorise pas. De plus les solutions dans le cloud ne proposent pas le même niveau de service GSLB.
>
> N’hésitez pas à me faire part de votre propre expérience sur le sujet.

pour répondre en partie au sujet posé, voici quelques remarques :
- mettre des serveurs de noms faisant autorité, dans plusieurs TLD
         exemple :   ns1.mondom.fr.   ns2.mondom.net. ns3.mondom.info.
- présenter ces serveurs en IPv4 et IPv6, et depuis plusieurs AS
- conserver la source de la zone sur un hidden master
- TSIG pour transfert de zone AXFR + ACL sur IP
- signer les zones avec DNSSEC
- mettre de la supervision sur les dns exposés (plugins nagios pour SOA, 
DNSSEC)