Alguns servidores DNS do mundo fornecem endereço IP incorreto para nosso domínio?

25

Nosso domínio, grahamhancock.com está sendo erroneamente resolvido por algumas pessoas em todo o mundo, mas é resolvido corretamente para a maioria das pessoas.

Quando percorro uma lista de provedores de DNS abertos e gratuitos, cerca de 90% resolvem corretamente e fornecem informações consistentes com nosso arquivo de zona. 10%, no entanto, não e reivindicam o endereço IP como um link para alguma instância do Amazon EC2 que nós nunca possuiu ou usou nunca no passado. Aqui estão alguns exemplos de servidores DNS que fornecem as informações erradas:

dig www.grahamhancock.com @173.84.127.88
dig www.grahamhancock.com @209.222.18.222

Como esses servidores podem ter informações erradas e como podemos recuperar o controle da situação?

Isso pode ser algo malicioso ou um erro de configuração? Somos um site de 1 milhão de acessos por mês, com bons rankings de busca, então provavelmente somos um alvo para algo malicioso. O endereço IP incorreto que o servidor incorreto está retornando para algumas pessoas aponta para algum site de enriquecimento rápido em uma instância do AWS EC2.

O que devemos fazer?

    
por Duncan Marshall 30.07.2015 / 16:24

2 respostas

44

O Drifter está correto, você tem um problema na configuração do servidor de nomes. Aqui está o final da saída de dig +trace +additional www.grahamhancock.com :

grahamhancock.com.      172800  IN      NS      ns1.grahamhancock.com.
grahamhancock.com.      172800  IN      NS      ns2.grahamhancock.com.
grahamhancock.com.      172800  IN      NS      server.grahamhancock.com.
ns1.grahamhancock.com.  172800  IN      A       199.168.117.67
ns2.grahamhancock.com.  172800  IN      A       199.168.117.67
server.grahamhancock.com. 172800 IN     A       199.168.117.67
;; Received 144 bytes from 192.35.51.30#53(f.gtld-servers.net) in 92 ms

www.grahamhancock.com.  14400   IN      CNAME   grahamhancock.com.
grahamhancock.com.      14400   IN      A       199.168.117.67
grahamhancock.com.      86400   IN      NS      ns2.grahamhancock.com.com.
grahamhancock.com.      86400   IN      NS      ns1.grahamhancock.com.com.
;; Received 123 bytes from 199.168.117.67#53(ns2.grahamhancock.com) in 17 ms

Seus registros de cola estão apontando para um endereço IP de 199.168.117.67, que retorna a resposta correta. Sua zona, no entanto, está definindo os registros do servidor de nomes terminados em com.com . Se nós +trace um desses servidores de nomes ...

com.com.                172800  IN      NS      ns-180.awsdns-22.com.
com.com.                172800  IN      NS      ns-895.awsdns-47.net.
com.com.                172800  IN      NS      ns-1084.awsdns-07.org.
com.com.                172800  IN      NS      ns-2015.awsdns-59.co.uk.
;; Received 212 bytes from 192.26.92.30#53(c.gtld-servers.net) in 22 ms

ns1.grahamhancock.com.com. 30   IN      A       54.201.82.69
com.com.                172800  IN      NS      ns-1084.awsdns-07.org.
com.com.                172800  IN      NS      ns-180.awsdns-22.com.
com.com.                172800  IN      NS      ns-2015.awsdns-59.co.uk.
com.com.                172800  IN      NS      ns-895.awsdns-47.net.
;; Received 196 bytes from 205.251.195.127#53(ns-895.awsdns-47.net) in 16 ms

... acabamos nos servidores de nomes hospedados pela AWS de alguém.

Seu problema é algo conhecido como uma incompatibilidade de registros de cola . Os servidores de nomes remotos estão inicialmente aprendendo sobre o seu domínio por meio dos registros de cola, mas, assim que esses servidores remotos executam uma atualização, acabam por consultar o domínio. nameservers falsos que você definiu com um .com extra no final.

Este não é seu único problema. Você está listando o mesmo endereço IP três vezes em seus registros de cola, o que é extremamente volátil. Você deve sempre ter vários servidores de nomes, eles nunca devem compartilhar uma sub-rede ou ponto de rede upstream, e eles nunca devem estar localizados no mesmo local físico. Como as questões estão atualmente, qualquer problema de roteamento breve entre os servidores DNS e seu servidor único fará com que seu domínio fique temporariamente inacessível.

Atualização:

Este Q & A foi apresentado na primeira página e está recebendo muitos comentários. Infelizmente, isso inclui pessoas que são apenas um pouco pouco muito ansiosas para responder a esta resposta sem verificar se seus pontos já foram abordados nos comentários expandidos.

O detalhe que a maioria das pessoas parece estar negligenciando é o comentário que estou citando aqui:

  • [...] servidores DNS geo-redundantes impedem cenários em que uma breve interrupção de roteamento resulta em cache negativo temporário de servidores de nomes. Por mais breve que seja o período de cache negativo, quase certamente excederá a quantidade de tempo que houve uma interrupção de conectividade. [...] o número de cenários em que a falta de redundância geográfica do DNS não criará problemas esporádicos e difíceis de solucionar problemas de disponibilidade é exatamente zero.

Se você acha que meu entendimento do cache negativo de servidores de nomes está errado, esse é um jogo aberto para discussão, mas fora disso você precisa trazer algo para a mesa além de "é um site pequeno e que se importa se o site e o DNS o servidor está inativo ao mesmo tempo ". Se você está dizendo isso, não entende o tópico tão bem quanto pensa.

Segunda atualização:

Eu fui em frente e escrevi um canonical Q & A que podemos vincular sempre que o único tópico do servidor DNS surgir no futuro. Espero que isso resolva o problema.

    
por 30.07.2015 / 17:05
11

Usar as seguintes ferramentas fornece algumas dicas

https://www.whatsmydns.net/#NS/grahamhancock.com informa que os registros do NS no domínio apontam para ns1.grahamhancock.com.com , notam o extra .com

http://mxtoolbox.com/SuperTool.aspx?action=dns%3agrahamhancock.com&run=toolpage também informa que o mesmo servidor de nomes está relatando como autoritativo.

Se você der uma olhada aqui http://www.dnsstuff.com/tools#dnsReport|type=domain&&value=grahamhancock.com , ele também informará que seus servidores de nomes estão abertos.

Assim, em algum lugar ao longo da linha, os servidores de nomes não estão configurados corretamente. Se eles aparecerem corretamente para você através de um painel de controle, etc, você precisará falar com o provedor para que eles possam verificá-los nos servidores reais.

Esses links também têm um relatório completo sobre as melhores práticas e como lidar com elas

    
por 30.07.2015 / 16:51