watercloud.net

この記事はDNS Advent Calendar 2015 - Qiitaの7日目の記事です。

Route53への移行は早々にターゲットから外れることになったPJでしたが
ここで僕は前職から実用検証を実施していたPowerDNSのことを思い出しました。

PowerDNSは権威サーバ専用(フルサービスリゾルバであるPowerDNS Recursorは別のプログラム)で
・バックエンドにDB(基本はRDBMSだがNoSQLも使えるらしい)を使うのでデータ管理が容易
・サードパーティからGUIがリリースされている(PHP製、Rails製などさまざま)
というのが特徴です。

特筆すべきはやはりGUIの存在で、ゾーン情報変更が簡単！というところでしょうか。
前職の時検証していたのも、オペレータにDNSの運用管理を委譲するためでしたし。

ところがバックエンドにDBを使うのでテキストファイルを処理するBIND9よりも
パフォーマンスは若干劣り、NSDには大差をつけられるという問題がありました。

そこで多いのはPowerDNSとNSDの併用です。今回は上司の案で
マスターにPowerDNS、スレーブにNSD2台(NSレコードの対象はこの2台)
つまり、PowerDNSで設定管理を容易にしつつ、NSDをフロントに置いて
パフォーマンスを確保するというやり方ですね。

しかしこれについては先日触れた「NSDをスレーブにすると毎回全ゾーン転送する」
という問題があり、それを7000ゾーンでやられたら困るなということになり…

次回に続く。

この記事はDNS Advent Calendar 2015 - Qiitaの6日目の記事です。

某Web屋さんでオンプレミスからパブリッククラウドへの移行を担当していたときの話。
もちろんWebサービスそのものの移行も担当してたんですが、もっぱら担当してたのは
その周辺環境、具体的に言うとメールサーバとDNSサーバの移行ですね。

DNSサーバは、クラウドに移行するなら「まずRoute53を検討するだろ」
というわけで検討しまして、移行できるものは移行したんですが
どうしてもRoute53に持って行けないものがありまして。

共用ホスティングサービスみたいなシステムがあったんですね。
店舗のHPと販促システムが一緒になったようなやつ。

これがコスト的には結構カツカツでやっていて、1ドメインあたりの売上が
Route53に移行した別のサイトよりも圧倒的に低かったんですね。
全部束になっても1個のサイトの売上に勝てないとかそんな感じでした。

そんな共用ホスティングですが、なんとドメインが約7000個。
これをそのままRoute53に持っていったら
ドメイン費用だけで70000円/月かかるわけです。
それにさらにリクエスト課金が発生するわけで…。

このサービス全体で見てもDNSの費用に70000円はかけられない
ということで、別の方法を考えましょうということになったわけです。

というわけで、次回へ続く。

この記事は
・DNS Advent Calendar 2015 - Qiitaの5日目
・Linux Advent Calendar 2015 - Qiitaの5日目
の記事です。

とあるセキュリティアプライアンスを導入したときにハマったこと。

構成は以下の通り。


LANスイッチとルータの間にTransparentモードでセキュリティアプライアンス入れて
アクセスログとかアプリケーションコントロールとかやろうとしたんですね。

で、この構成にしたところ、同一LANにあるクライアント(Windows)から
サーバ(Linux)へのSSHが極端に遅くなりまして。

/etc/ssh/sshd_configのUseDNSをNoにしたところ
クライアント(Windows)→サーバ(Linux)のSSHは速くなりました。
(完全にLinux側の名前解決に問題が生じているな…)

しかしサーバ(Linux)から同一LANのサーバ(Linux)や
インターネット上のサーバ(Linux)へのSSHが遅くなったのは
その場では解決できず、一旦切り戻して検証環境を作って
切り分けをしました。

F/Wポリシーのログを見ると、どうやら戻りの通信を止めているようだ。
なぜ止められているのかはよくわからないのでtcpdumpをとったら
なぜか最初にAAAAを引きにいこうとしている。IPv6無効にしているのに。

で、「CentOS6 名前解決 遅い」でググったら、出てくる出てくる。
しかしそれらしいページを5つ見たら、5つとも違う対処方法が書いてあるｗ
結局このケースでうまくいったのは以下ページの手法でした。

CentOS6 (RedHat6) 名前解決に時間がかかる。

/etc/resolv.conf内に
options single-request-reopen
を追加したところ見事に解決。