Dovolte mi další krátký díl našeho „nekonečného“ seriálu o zvyšování bezpečnosti provozu DNS pro .CZ doménu. Zřejmě proto, že jeho poslední zveřejněný díl znamenal upgrade v řádu 100 GE, a také proto, že naši administrátoři mají plné ruce práce se stěhováním do privátního sálu, tento vychází poněkud zpožděný a navíc z mé klávesnice.
Nové ODVR již odbavuje více než 20 procent provozu
Dnešní krátký článek bych rád pojal jako velké poděkování! Komu? Všem těm, kteří nejen že pomohli s otestováním nových Otevřených DNSSEC Validujících Resolverů po jejich spuštění v květnu tohoto roku, ale dále zkouší nově zavedenou podporu DNS-over-TLS a DNS-over-HTTPS a v neposlední řadě systematicky přecházejí na systémech ve své správě právě na nové ODVR.
Kdo je za dveřmi? Jen my…
Jak jsem psal ve svém prvním příspěvku o budování privátního sálu, realizací tohoto projektu získáme zejména vyšší kapacitu v datovém centru a také vyšší fyzickou bezpečnost. Jak je to tedy s tou bezpečností?
Bez šťávy by to nejelo
V předcházejícím dílu seriálu o budování našeho privátního datového sálu jsem psal o chlazení. Dnes bych se zaměřil na další klíčový prvek datových center a tím je napájení. Je to část, která je (společně s budovou) nejvíce technologicky sdílená s provozovatelem datového centra. Ne, opravdu nebudeme mít pro svůj privátní sál svoje tři VN přívody od distributorů elektrické energie nebo svoje trafostanice. Dokonce ani nebudeme mít svoje dieselové agregáty nebo UPS pro zajištění nepřetržitých dodávek elektrické energie při výpadku dodávek od distributora. Ekonomicky to prostě pro naše potřeby nedává smysl a tyto části sdílíme s provozovatelem datového centra. Ano, stávající UPS jednotky jsou již doplněny o dva 50 kW moduly (jeden pro napájecí větev A, druhý pro „Béčko“) a do nádrží dieselů provozovatel DC dolil „pár“ litrů nafty navíc, aby i při rostoucí zátěži dokázal garantovat 30 hodin kontinuálního provozu bez dodávek externích paliva (v případě výpadku napájení DC), ale to je vše, co bylo třeba udělat ve stávající energetické soustavě provozovatele datového centra. Ne, ani svoji jadernou elektrárnu si opravdu nestavíme :).
Teplo je třeba uchladit
Venkovní teploty oproti včerejšku sice poněkud opadly, ale i tak bude myslím ideální, když dnešní díl seriálu o budování privátního sálu pojedná o jeho chlazení. Technologie v datovém centru totiž generují obrovské množství tepla (my kalkulujeme s řádově desítkami kW) a bez chlazení, nebo při jeho výpadku, se za pár minut „upečou“. Myšleno v nadsázce. Dnes to již neplatí. Všechny technologie, které budeme v privátním sále provozovat, se při případném přehřátí automaticky vypnou, což dává vlastně stejný výsledek, protože služby na nich přestanou běžet. A výpadky chlazení se opravdu stávají. Ve své praxi jsem je zažil několikrát a často přispěly i ke změně provozovatele datového centra.
Kolik je 52U aneb Jaké budeme používat racky
Kdo se těší, že budu psát o německých válečných ponorkách nebo o využití racka chechtavého při správě registru, ten nechť zavítá na jiné webové stránky. Mým záměrem je pokračovat ve sdílení informací o budovaném privátním datovém sále. Instalace v privátním sále totiž za poslední tři týdny výrazně pokročily, nejrozpoznatelnější změnou jsou nainstalované rackové skříně neboli racky neboli speciální skříně na IT technologie umístěné v datovém centru. A právě o nich bych rád dnes zmínil pár detailů. Nejdřív ale fotka, jak vypadal sál před instalací racků.
Privátní sál – upgrade a vyšší bezpečnost v jednom
Na úvod si dovolím popis současného stavu. Pro účely provozu infrastruktury (včetně infrastruktury registru .CZ domén a české části DNS anycastu) si sdružení pronajímá kapacity ve třech datových centrech:
– DC TOWER Českých radiokomunikací
– CE Colo
– neveřejné lokalitě
Přísnější hesla v mojeID
Od začátku provozu služby mojeID zobrazujeme sílu hesla, které uživatel zadává při zakládání účtu (nebo při změně hesla). Dosud jsme umožňovali uložit i slabé heslo, pokud to tak uživatel chtěl. To se teď ale mění a slabá hesla již nepůjde u účtu mojeID zadat. Bezpečnost našich služeb je pro nás klíčová a tak jsme se, po konzultaci s našimi bezpečnostními experty, rozhodli od 12. prosince zpřísnit politiku hesel pro službu mojeID. Služba, která má již bezmála 600 000 registrovaných účtů a denně se pomocí ní přihlásí běžně i více než 5 000 uživatelů k desítkám internetových aplikací tak bude ještě bezpečnější.
Nová verze FREDa aneb Hlavní je testování
Dnes v noci naši systémoví správci úspěšně nasadili do produkce, v rámci nahlášené odstávky, novou verzi FREDa, tedy systému, který je základem doménového registru .cz. (kromě toho, že je využíván pro národní domény v dalších více než deseti zemích světa). Co to ale vlastně znamená?
Mají i dnes smysl otevřené validující resolvery?
Již řadu let naše sdružení provozuje službu skrývající se pod zkratkou ODVR, tedy Otevřené DNSSEC Validující Resolvery. V dobách, kdy byl DNSSEC v plenkách, jsme měli za to, že je třeba přijít s alternativou DNS resolverů poskytovatelů připojení, kteří zaváděli podporu validace pozvolna. Od té doby tedy nabízíme veřejně dostupnou službu, která umožňuje validace domén používajících zabezpečení DNSSEC i v těch sítích, jejichž defaultní DNS resolvery toto nepodporují.