Názory k článku
CZ.NIC spustil VIP doménu, za 150 tisíc získají firmy DNS hosting na všech kontinentech

Cena je nižší než plat admina, který by se ti o to staral. Pokud ti stačí NS na pronajatém serveru v housingu, asi to nepotřebuješ řešit, pokud ale chceš anycast DNS s vysokou dostupností, máš velké problémy, protože to není levné si udělat sám.

Náklady na provoz interních DNS jsou v bankovním sektoru mnohem vyšší než těch 150k a nelze přesunout DNS na zahraniční službu.

píšou to v tiskovce, ochrana proti neautorizovaným změnám (lze daleko lépe určit jak probíhá změna záznamu na NS, což u Cloudflare je dost ledabilé), splňují (*) NIS2 směrnici, Cloudflare neřeší, fungují i v FENIXu, opět Cloudflare neřeší.

Cloudflare je zahraniční společnost, jakékoliv záruky, soudní spory či jiné věci jsou problamtické. Např. zrovna ukradení účtů u CF nebo únos domén je něco, co se tam reálně nedá dobře řešit a děje se.

*) otázka je, co to reálně znamená, ale třeba vytlouc s CF nějaké podrobné logy je nadlidský úkol a to jednám za platící klienty

5 minut měsíčně? Uhf, to se asi bavíme o úplně jiném use case.

Běžně to řeší celý tým lidí. Tohle není určeno pro někoho, komu stačí pronajatý server pro NS. Tohle je pro někoho, kdo potřebuje zajistit chod služeb nonstop i v době útoku. Jen provoz 24/7 znamená nemalý tým lidí.

Útoky na infrastrukturu vč. NS jsou poměrně běžné, jakmile útok začne, musíš být okamžitě připraven, pád NS znamená zpravidla kompletní blackout služeb.

Spravovat anycast servery ve více lokalitách opět není práce na pět minut měsíčně. Každý upgrade kluci připravují měsíce než to jde live. Pokud tuhle službu s jistou dávkou záruk někdo zajistí za mě a ještě za relativně nízkou cenu (ano, 150tis může být nízká cena), může to mít své zákazníky.

Jakou to má výhodu např. oproti Cloudflare, který je v základu zdarma a má další plusy jako WAF atd.

Takze co ze to vlastne nabizeji autore ... ????

"funkčnost webových stránek"
vs
"DNS hosting"

???

Jo aha ... za 150k ... provoz DNSka .. .lul ... Kdyz si kazdy rok koupim novy server, a zaplatim housing ... budu na tom lip. A ta DNSka to klidne muze s prstem v nose delat pri provozu toho webu. Treba. Teda dokud mi NIC tu CZ domenu neukradne ...

Chápu, že pro velké hráče je to jistě (?) zajímavé a pro nás, obyčejné smrtelníky, je tu třeba WEDOS, který má poslední dobou globální ambice. Nabízí pojištění domény, Early Warning and Monitoring domény a webu, certifikát o vlastnictví domény, právní zastoupení v případě problému - a to za zlomek ceny, kterou požaduje CZ.NIC. S tím, jak má WEDOS našlápnuto, se zřejmě brzo stane globálním hráčem. Nebo taky ne, co já vím.

To neni jen o tom, z kolika IP to provozujete. I kdyz budete mit pet DNSek a kazde na desetigigabitu a jine IP adrese, tak ucpat to DDoSem dnes zas tak tezke neni, pokud to nebudete provozovat v non-anycast rezimu. A utoky cilici primo na nameservery nejsou nic az tak neobvykleho. A provozovat anycast rozhodne neni levna sranda - at uz z pohledu konektivity, tak i treba z ohledem na cenu samotnych IP adres. To tech vasich par tisicovek fakt stacit nebude...

Princip mozna, ale zaruky budou asi nekde jinde :-) Odstavec 11 VOP je... ehm... primarne o tom, ze se zrikaji odpovednosti za jakekoliv sekundarni skody. Nefunguje ti domena, protoze nam neco vypadlo? Smolicek, no.... zivot je boj ;-) Ale chapu, ze to lidi honici nizkou cenu moc neresi... tedy jen do chvile, nez se fakt neco po**re :-) Takovi jsou pak nejvtipnejsi... cim min plati, tak o to vic pak vsude nadavaji, jak jim utikaj ty miliony kazdou sekundu... :D

Pokud ti stačí pár serverů v DC, tak si dovolím říct, že ti je něco takového stejně k ničemu.

A co například český anycast dns? https://anycast.systems/ Cena uplně jinde, princip stejný.

Au! Jak prosímtě chceš nastavit směny 4 lidem na 24/7? To nevychází ani prostou matematikou. 42 hodin týdně na zaměstnance, to dělá 2 přesčasové hodiny každý týden a do toho ještě musíš nacpat 160 hodin jako roční dovolenou. A to vůbec nemluvím o minimálním rozestupu mezi směnami, státních svátcích, nemocnosti či jinými zákonými překážkami. Prostě jen trolíš.

Běžný registrátor ale moc neřeší výpadky, neřeší DDoS a neřeší nic moc, viz ty masivní hodinové i několikadenní výpadky wedos, web4u, active24 nebo třeba u subregu. Pokud by na celý den spadly NS bance nebo operátorovi nebo třeba i Českým drahám, je to kardinální problém, když celý den nepoběží root.cz nic moc se neděje.

To se pleteš, i při použití rozumně velkých TTL je na NS kontinuální provoz jak postupně obnovují cache reverzní DNS na cestě. U těch hodně navštěvovaných domén je dokonce cache obnovována preemptivně (např. CF to tak dělá) bez ohledu na TTL.

Zrovna DNS za anycastem a load balancingem patří mezi ty systémy, kde se IT lopaty moc neobjevují a jsou tam převážně spíše IT dinosauři, protože v těch starých protokolech a technologiích se už nováčci nechtějí moc hrabat. Tohle patří mezi věci, na které na stackoverflow řešení nevygooglíš.

Je načase, aby něco takového využily naše státní weby:
https://www.idnes.cz/zpravy/domaci/vypadky-ministerstvo-spravedlnosti-portal-justice-web.A240104_134409_domaci_pukk

4 lidi presne na 24/7...? A zakonik prace jste cetl? ;-)

Ten příklad s dataretart.cz je vtipný ve spojitosti s bezpec'nostní. když se na tom.webu nachází spousta svinstva včetně plausible.hptro­nic.cz a ryChlá zatáčka.

Nedivil bych se, kdyby se bez použití adblocku(to je důsledek kaskádovoého načítání - s adblockem člov3k nevidí kompletní obrázek co vše *by* se načetlo) tam vynořila maskovaná CNAME subdoména jako prvního řádu, ostatně takhle to.dělá sposta webů a pak je nějaká bezpečnost domény k ničemu ani kdyny to stálo milion, protože ta cílová doména není v správě těch hejlů co si tu vip službičku zaplatili

A to na homepage dýlujou ESET.

Je predpokladam rec o tom adminovi ktery se o to DNS bude starat 5 minut mesicne? Tomu ty 2 000Kc ROCNE s radosti zaplatim.

DNS je kupodivu dostupne z principu, staci to nedelat jako nas stat, a neprovozovat je vsechna na jedne hromade z jedne IP.

Smlouvu na VIP od cz.nic jsem ještě neviděl, ale všude možně máš odpovědnost za primární škody přímo způsobené výpadkem služby, nikoliv už za sekundární škody (např. ušlý zisk), ty se zpravidla nechávají na běžný obchodní spor a problematicky se dokazují.

Ano, právě to jsem psal, VIP od cz.nic dává nějaké záruky a zatím z neveřejných informací to vypadá jako velice solidní službu s velkým potenciálem na přechod z vlastního řešení.

Teď jsme to viděli ve španělsku, zajistit bezpečný administrátorský přístup ke změnám je velké úskalí řady globálních i lokálních služeb, stačí získat sezení nebo přihlašovací údaje a mohu dělat cokoliv.

Kolik treba takovych domen registruje takovy registrator provozujici DNS? 100 000? Kdyz malo? Provoz 24/7 obnasi 4 lidi presne. Teda 4 lidi kteri nebudou delat nic. V pripadne DNS na urovni IT lopaty a podle toho placene. Tudiz budou delat 150 dalsich veci, a tudiz generovat hromadu dalsich penez Ale i kdyby kazdy jeden stal 1M rocne, tak to znamena, 40Kc per domena.

Pad jednoho NS neznamena vubec nic. Dokonce ani kdyz lehnou ty 3-4 ktere pouzivaji ti, kteri chteji to ubermegazajisteni, tak to neznamena nekolik hodin skoro nic.

Gransy je super, fandím jim, ale tím velkým výpadkem před 3 roky výrazně ztratili na důvěře, neposkytují (aspoň dříve to nedělali) ale nástroje navíc (ověření, kdo dělá změnu, zamčení záznamů).

znáš vůbec nějakou službu, která by ti ručila za sekundární škody (nemyslím tím pojištění od pojišťoven)?

Záruky přece nejsou pouze odpovědnost za škody.

A to jste si nevsimnul, ze soucasti SLA u te VIP domeny je nejaka garance vyjadrena i v penezich? :-) Takze ano, znam takovou sluzbu. Ono v obecne rovine, tyhle garance byvaji i jinde - ovsemze se take bavime o trosku jine cenove hladine, nez jsou hracky porizene za pet dolaru, ze? ;-)

"e soucasti SLA u te VIP domeny je nejaka garance vyjadrena i v penezich"

Ne, neni. Naucte se cist.

Proc si lzete do kapsy, zatim maji jedineho zakaznika (a to silne pochybuji ze za tu std cenu) a tam 24/7 nevadi. Inu proc ne staci se podivat na Slovensko, takze aktualne se drzitele skladaji na provoz komercni sluzby. Pojdme uzavirat sazky kdy inflace donuti spravce domeny zdrazovat, sazim basu sampanskeho kdo me vyvede z omylu?

Ta sluzba je proste utilizaci existujiciho stacku, je zbytecne komplikovana ale pokud ma kupce proc ne. Jedina vec co mi vadi je zneuziti moznosti presunu do neverejne casti kde je domena administrativne blokovana, to je opravdu za hranou featura kterou to cz.nic pozicuje primo proti existujicim registratorum.

A tak maji jednoho zakaznika driv, nez tomu vubec zacli delat verejne promo. A kdyz byste trosku rozumel technicke strance veci a umel pracovat s informacemi, co jde i verejne dohledat, tak byste rychle pochopil, ze tu samou infrastrukturu pouzivaji i jine top level domeny ;-)

Administrativni blokaci CZNIC nabizi v ramci Domenoveho prohlizece kazdemu drziteli domeny. A dokonce zadarmo! :D Opravdu netusim, co tady mumlate o nejakem zneuziti....

A mimochodem, ta sluzba "VIP domeny" s registratory konzultovana take byla. A proste nemeli zajem. Ono jak dojde na ty garance vyjadrene penezi, tak se do toho uz ne kazdemu chce, ze? ;-) Vsak si proctete obchodni podminky - jo, presne ty veci, co nikdo necte a veci posuzuje jen podle toho, ze jinde neco za par korun naklika. Vyluk z odpovednosti tam je hromada, ze... ?

Proc si lzete do kapsy, zatim maji jedineho zakaznika
Jenže tu samou službu provozují i interně a tu samou službu provozují pro další TLD registry. Takže těch zákazníků je víc, i když to není vždy externí zákazník a nemusí to být vždy na komerční bázi.

aktualne se drzitele skladaji na provoz komercni sluzby
Ta služba je provozována tak jako tak. Takže je to spíš opačně, že komerční zákazníci přispějí na provoz TLD .cz.

Pojdme uzavirat sazky kdy inflace donuti spravce domeny zdrazovat, sazim basu sampanskeho kdo me vyvede z omylu?
Ani vsadit se neumíte. Když chcete uzavírat saazky, kdy k něčemu dojde, musíte za sebe říct nějaký termín, kdy k tomu dojde podle vás.

Ta sluzba je proste utilizaci existujiciho stacku
Na tom je něco špatně?

je zbytecne komplikovana
V čem?

Jedina vec co mi vadi je zneuziti moznosti presunu do neverejne casti kde je domena administrativne blokovana, to je opravdu za hranou featura kterou to cz.nic pozicuje primo proti existujicim registratorum.
Doménový prohlížeč znáte?

A tím jste přesně podpořil argument před-diskutéra, proč by jinde hostingovka nebo firma provozující cloud nemohla saturovat stávající dohled. Tedy přesně podpoření argumentu že nepotřebujete 4 ani 6 lidí na provoz jedné domény.

Ad komplikovanost, nevím provozujeme 15+ let jeden z nejvetších dns stacků (počtem domén i záznamů a samozřejmě CZ subjekt) a s náklady pod 3M se do roka vejdeme. Jen s tím rozdílem že domén není 20 ale 450k (2nd level domén, 3rd level jich je desítky milionů). Uptime za 15 let na celou službu 100%.

Nerozporuji že služba si své kupce najde ale stále trvám na tom že je zbytečně složitá (anycast) což sebou nese zbytečné náklady, tím ji nijak nehaním. Ne všechny služby jsou http s přímou interakcí takže jde o to mít robustní dns stack a ne nízkou odezvu odevšad když pak stejně ukazuje záznam do CF/Outpostu nebo kdoví kam a render browseru uživatele nebo apka potřebuje dvěste prvků z celého světa aby web vůbec poskládal.

Tedy u dns jde především o důveryhodnost proti únosu (změna držitele nebo ns) a kybernetickým hrozbám, robustní stack dnes postavíte pro jednu doménu za vyšší desítky tisíc ročně na jedno kliknutí u všech možných globálník i lokálních dodavatelů.

8. 1. 2024, 13:39 editováno autorem komentáře