Whalebone (Bylo: ? Webinář: DNS + ochrana sítě)

suk

Toto vlákno vzniklo původně pouze k propagaci webinářů Whalebone. Vzhledem k relevantní obecnější diskuzi o Whalebone, která se zde rozproudila, bylo přejmenováno na Whalebone a nechť slouží k dalším diskuzím o Whalebone, dotazům, námětům, kritice, postřehům.

Vždy zde v prvním příspěvku bude uveden přehledem nejaktuálnějších informací a termínů.

Webinář o DNS a ochraně sítě přes DNS s Whalebone

📅 27.8.2020
🕙 13:30-14:30

Představení Whalebone DNS lokálního resolveru a DNS ochrany, vychytávky, jak řídit a chránit síť přes DNS, jak mnohem lépe nahlédnout do síťového provozu, možnosti alertingu a reportingu, napojení přes API. Mimo to: RFC a DNS, DNS a IPv6, DoH, právní aspekty blokace, Info o kampaních nabízejících jménem ISP mobily zdarma a jak s tím, malware, jeho životním cyklu, jak v tom hraje roli DNS.

👉 Přihlásit se můžete zde

stepan_benes

Tohle může bejt docela zajímavý. Good idea v době kdy firmy "stojí". Za mě palec nahoru !
Btw. docela by mě zajímal poměr kolik menších ISP má aspoň nějak řešený vlastní DNS a kolik ISP se spoléhá na 4 osmičky.
A pak poměr čínskej koncovejch krabiček, který k těm 4 osmičkám lezou napřímo, ať je kde nastavený, co je nastavený.
A jak se vlastně ČTÚ dívá na blokaci/překlad přístupu k těmhle veřejnejm DNS z pohledu 15/2120.

suk

stepan_benes díky za náměty. Přehled vlastní DNS vs. veřejné DNS zpracuju. Doplním tam i srovnání ČR vs. UK. Bude to trošku zkreslené tím, že ISP, se kterýmu jsme v kontaktu, byli vždy nakloněnější mít DNS ve svých rukou a už před tím provozovali, typicky Bind.

Už teď máme připraveno srovnání rychlostí překladu: Whalebone resolvery s malware ochranou vs. Google 8.8.8.8 vs. CloudFlare 1.1.1.1. Cloudflare ze sítě, kde je jejich kešování umístěno přímo v dané síti.

Protože jde o srovnání, které máme z opravdu velkých sítí, bylo by zajímavé ještě doplnit rozměr klasických ISP. Pokud by tu byl někdo, kdo by chtěl test spustit a přehled obohatit, zajistím od kolegů instrukce. Předáme pak podrobné výstupy. Do veřejného přehledu data anonymizujeme.

petrbacina

Za nás mohu říct že Whalebone řešení stojí za vyzkoušení, poslední webinář byl super a celkově musím Whalebone pochválit před nastoupenou jednotkou.
Máme nasazené WB DNS na vlastním železe už pár let a naprostá spokojenost. Funkce, které jsme požadovali byly velmi rychle implementované, podpora taky super.
Na webinář dorazíme, i kdyby nás korona držela :-)

okoun

Mohu se zeptat jak to bude když se bude používat DoH, případně DoT (firefox, chrome) tak potom whalebone bude k ničemu?

děkuji

suk

okoun Díky za dotaz. Naopak: Whalebone umožní v síti DoH i DoT využívat. Podporou DoH pak také nepřijdeme o možnost filtrace. Vše máme připraveno a aktuálně pracujeme na pilotních nasazeních DoH u prvních ISP. Tato problematika bude jedním z témat zítřejšího webináře.

okoun

OK, budu vás sledovat

pelirob

suk
Chápu že jsou trochu výjimečné podmínky, ale není to příliš brzo anoncovat seminář už celých 21 hodin před jeho začátkem? <sarkasmus>Vždyť by to stačilo hodinu, max. dvě předem</sarkasmus>, toho si určitě každý hned všimne a stihne si to naplánovat.
Minule jsem seděl na jiném školení, dneska u zubaře, čekám jaká kratochvíle mě potká při případném dalším termínu...

suk

pelirob Díky. Na začátku června bude další. Kdy by se vám to hodilo? Termín přizpůsobím 🙂 A teď aspoň posílám záznam z minula a na našem Youtube kanálu jsou i další relevantní videa. Během víkendu mrknu na záznam ze včerejška.

suk

Protože na nás dneska na Lupě prasklo, že jsme i u největšího bulharského mobilního operátora A1, je asi správný čas vypsat další webinář, kde se rádi podělíme i o zkušenosti z nasazení v prostředí velkého národního operátora.

Srdečně zveme 18.6. od 10:00 --> https://www.whalebone.io/cs/webinar-isp/

pelirob trefil jsem se tentokrát nebo už to vyjde?

okoun

Dobrý den, whalebone se mi moc líbí, hlavně vidím, že to funguje tak jak má, ale nebylo by možné do budoucna nějak zapracovat do DNS tohoto druhu i komunikaci ven? Jde nám o to že udržujeme vlastní reverzní záznamy jakožto LIR a musíme teď mít díky tomu dvě DNS (vlastně x4 (2x whalebone a 2x bind)), úplně sexy to není.... Věřím, že nejsme jediní ISP.

rsaf

Mít oddělené autoritativní a rekurzivní servery je určitě dobrý nápad!

okoun

rsaf V čem je to dobrý nápad?

standula

okoun
kromě oddělených logických služeb i to, že když rozbiješ jeden druhý funguje

helapc

U nás je problém, že si držíme i vlastní DNS třetí úrovně pro naše zařízení. Máme to v Bindu, nemůžeme uvolnit port kde naslouchá, řešení whalebone s tím koliduje.

rsaf

Autoritativní DNS: má sloužit pro dotazy na tebou spravované domény z celého internetu
Rekurzivní DNS: mí sloužit výhradně pro klienty ze tvé sítě
Obojí je sice DNS, ale jsou to služby zcela rozdílné, bez průniku. Na jednom serveru/ip adrese nemají co dělat. Je k tomu několik důvodů:

rekurzivní DNS servery jsou nedilnou součástí fungující služby koncovým uživatelům. Není jediný důvod je vystavovat rizikům např. DDoS útkou z internetu apod.
pokud na autoritativním serveru hostuješ nějakou doménu, kterou nemáš pod plnou kontrolou, může ji její vlastník kdykoliv nasměrovat na jiné DNS servery. Mixovaný autoritativní+rekurzivní server pak dává svým klientům neplatné odpovědi (má je dávat nový server...)
-

okoun

rsaf tohle je jasné, ale normálně to lze provozovat na jednom stroji a kočírovat to tak jak píšeš, takže jak píšu nevidím tam žádný přínos

suk

okoun resolver a autoritativní server na samostatných virtuálkách je lepší i bezpečnější cesta:

• Přestože autoritativní server i resolver pracují s DNS protokolem, služby obsluhují jiné sítě (resolver interně a autoritativní server celý svět).
• Při spojení služeb ovlivní zranitelnost autoritativního serveru i resolver - jeho dostupnost nebo integritu (např. DoS na autoritativní server ovlivní i resolver).
• Historicky to bylo pravděpodobně výhodné v tom, že spojení služeb znamenalo menší počet serverů v síti. S nástupem virtualizace to již není takový problém.
• Jediný významný software, který obě služby spojuje do jedné, je BIND. Všechny ostatní obě služby vyvíjí a nasazují samostatně.
• Z našeho průzkumu vyplynulo, že kromě malého počtu menších providerů, většina preferuje oddělený provoz obou služeb —> budeme ale rádi i za další názory: https://forms.gle/X4MgxeAW9DW9zH9m9

Další stránka »