Egen maskine primær eller sekundær ?

Det er ikke der den største trafik ligger, trafikmængden er ligestor for primær og sekundær. Så jeg vil da bestemt foreslå at køre primær selv, så du har fuld kontrol over zonen.

Iøvrigt, udaf 400.000 hits, hvor mange forskellige ip\'er er det? Hvor mange domainer er det fordelt på? (det er vigtigere tal når vi taler dns)

1 domæne
ca 200.000 unikke IP\'er
Hvorfor er trafikmængden lige stor ? Bliver sekundær kontaktet hvis primær svarer ?

Ja, forespørgslen fordeles tilfældigt mellem de to, det der ligger i primær og sekundær er en undersættelse af \'master\' og \'slave\' - master er ansvarlig for zonen, slave(r) opdaterer KUN fra master.

jeg mente nu brugernes domains, man må gå ud fra at de laver ca. et lookup/domain/TTL
200.000 unikke ip\'er til 400.000 hits? wow, hvad er det for materiale? 2 hits pr session er ikke meget :)

Ja, men så byt de to tal ;o)

Det er en hitliste hvor de tilmeldte sites kun har mit logo på forsiden. - http://www.avitop.com/aviation/

Kan enhver idiot køre sine egne dns maskiner når vi taler .com ? Hvad med .dk ?

Ja hvis du osse betragter mig som \"idiot\", JA !

Jeg kører selv primær DNS !

Jeg mener at have læst et eller andet sted her at man skulle godkendes som \"zonemaster\" af Dkhostmaster for at få lov til at sætte primær dns op for .dk domæner. Er det en rapand ?

nix ingen rapand
http://www.dk-hostmaster.dk/regler.html


3.1. Godkendelse som Zonekontakt under .dk-domænet

Enhver fysisk eller juridisk person kan ved indgivelse af en Host-ansøgning til DK Hostmaster søge om godkendelse som Zonekontakt under .dk-domænet. Godkendelse hertil opnås for hver navneserver, der ønskes valideret og registreret. Formular for host-ansøgning er tilgængelig fra DK Hostmasters hjemmeside.
Host-ansøgningen skal indeholde følgende oplysninger:
a. Ansøgerens navn, evt. selskabsform, adresse og telefonnummer.
b. Servernavn og IP-nummer for den server, ansøgningen vedrører.
c. Navnet på den fysiske person eller klart identificerbare funktion hos ansøgeren, hvortil henvendelse kan rettes.
d. E-mail adresse på ovennævnte person eller funktion.
Kvalifikationskrav: Godkendelse som Zonekontakt meddeles, hvis ansøgeren overfor DK Hostmaster har dokumenteret fornøden teknisk viden om DNS-funktioner, herunder om opsætning af domæner på en navneserver. Til brug for sin vurdering af, om dette krav er opfyldt, skal DK Hostmaster kunne validere en eller flere zoner på den navneserver, ansøgningen drejer sig om, hvilket bl.a. forudsætter, at ansøgeren tillader zoneoverførsel fra den pågældende navneserver til DK Hostmaster. Valideringen vil blive udført på det domæne, som navneserveren ligger under.
Registrering: Godkendes ansøgeren som Zonekontakt, registrerer DK Hostmaster den godkendte navneserver og giver ansøgeren meddelelse om retten til at være Zonekontakt under .dk for denne navneserver. Afvises en ansøgning, kan ansøgeren indklage DK Hostmasters afgørelse til DIFO.

3.2. Zonekontaktens forpligtelser

Pligt til at stå til rådighed: Zonekontakten forpligter sig til at være til rådighed for besvarelse og afklaring af tekniske spørgsmål vedrørende opsatte DNS-servere. Sker der ændring af den fysiske eller elektroniske adresse, der er angivet i ansøgningsformularen, skal der uden ugrundet ophold gives meddelelse herom til DK Hostmaster.
Zonekontakten har pligt til at underkaste de kontrolforanstaltninger, DK Hostmaster til enhver tid måtte anse for nødvendige for at sikre en forsvarlig løbende drift af DNS. DK Hostmaster kan efter eget valg gennemføre testen på en eller flere af de .dk-zoner, som Zonekontakten administrerer.
Registreringsafgift: Som gebyr for DK Hostmasters behandling af Host-ansøgning betales en ansøgningsafgift på kr. 500,- ex. moms til DK Hostmaster. Skulle ansøgningen ikke resultere i godkendelse og dermed registrering af pågældende navneserver, får ansøgeren tilbagebetalt kr. 200,- ex. moms.
Misligholdelse: DK kan efter forudgående skriftligt påkrav slette en navneserver, hvis den pågældende Zonekontakt har gjort sig skyldig i væsentlig misligholdelse af sine forpligtelser efter dette regelsæt.

.com er absolut intet problem, det er bare at sende den rigtige formular til internic ...
.dk er lidt sværere, kort sagt, du skal betale 5000,- i depositum + du skal godkendes.

Til Beaviz: efter at have fået oplysninger om sammensætningen af min trafik, mener du så stadig at det ikke sætter de store krav til min server ?

afhængigt af OS vel, personligt bruger jeg et par pentium 133 til +1mill hits/dag, den kører linux, ser nok noget hidsigere ud hvis du vil køre win...

Det er en dual PIII 800EB med 512Mb, men den skal også køre både IIS og MSSQL2000

Jeg vilel nok dele det op på hver sin maskine, men, en p3 til dns lyder vildt :) Men hvis den også skal køre sql og iis, så syntes jeg at 512mb ram er lige i underkanten.. syntes let at iis kan sluge 512 mb alene... (self afhængig af sitets størrelse)

>>Jeg ville nok dele det op på hver sin maskine

Snakker du om dns og resten eller MSSQL og IIS ?

Det kunne da godt vaere jeg burde smide 512 mere i. Man faar det jo smidt i nakken nu om dage.

Jeg snakkede om en maskine til hver ting, dvs 3 maskiner ialt. Jeg er meget glad for 1 maskine pr major service princippet :)
Men, ja, 512 mb ekstra i den...

Ja, men det er jo dyrt. Ikke mindst i software :o(

De må nøjes med hver sin processor og jeg får to andre til at hoste min DNS og mail

Er det relativt simpelt at sætte linuxbokse op til henholdsvis dns og mail ?

Ja, men husk at bruge firewall
husk også nyeste version af DNS, der er store sikkerhedshuller i de gamle.
En af mine servere, der er forholdsvist lidt brugt, får gennemsnitlig 2 hackerangreb dagligt, alle bliver selvfølgelig anmeldt til dk-cert.

Og linuxboxen til mail og DNS behøver ikke at være særlig stor, hvis det er det eneste du bruger den til

Sidst talte jeg ca. 50 angreb/forsøg om dagen hertil, ingen bliver anmeldt til nogensomhelst.

beaviz>> De fleste bliver glade for hvis du anmelder det, de 49 ud af de 50 servere er jo nogen der selv er blevet hacket, tror du ikke at ejerne ville foretrække at vide at deres servere blev brugt til ulovlig aktivitet, samt at deres data er i fare?

breum: jo, jeg ville ihvertfald gerne - men arbejdet er enormt. Men, fuck det er ofte jeg ser et sweep efter fx port 21/23/143/1080 og self wintrojan portene (imap) ...

beaviz>>vi har en aftale med http://www.cert.dk/ at vi blot forwarder de beskeder vores firewall sender os til dem, de sammenholder vores anmeldelser med andres og politianmelder hackere og informerer serverejere om at deres servere er hackede.

mht til politianmelde, så syntes jeg at det er overkill, og at det drukner de rigtige sager, hvis man politianmelder et portscan.
Men at informere ejeren af (den eventuelt) hackede server syntes jeg rigtig godt om.

beaviz>>http://www.cert.dk/ beslutter hvem der skal politianmeldes, de anmelder f.eks hvis mange servere er hackede fra samme IP. eller lignende, de politianmelder næppe en enkelt portscan.

Et eksempel

30 af vore maskiner oplevede en portscan fra samme IP, på 2 af dem var et sikkerhedshul, dette udnyttede hackeren, og installerede en del hackersoftware på dem. Men min pointe er at man ikke skal stille en server op, uden at tænke på sikkerhed!

ok, min pointe er ca.: Politianmeld hvis der rent faktisk er sket et indbrud, men den konstante \"baggrundsstøj\" af portscan og jeg skal gi dig, er der ingen grund til at gøre noget ved (medmindre at det medfører et konkret problem)
Jeg vil gerne have mit netværk så åbent som muligt, fx for at andre kan lære af det. Men jeg tænker skam på sikkerhed, der har endnu ikke (3 år) været ubudne gæster. Ihvertfald ikke som vi har opdaget.
Mht portskanningen over mange maskiner, de kommer en del gange dagligt her.. og logprinteren larmer :)