Onderwerp: Kwaliteit webhosting diverse overheidssites

Hi,

Ik heb een bepaalde 'tik' die jullie wellicht ook hebben, ik lees van mails vaak de headers, gewoon om te zien hoe die mail bij mij kwam.

Nu werkt bij zus bij de politie en kreeg laatst een mail vanaf @xx.politie.nl mail adres en dook de headers eens in. Mail kwam via "mail1.politie.nl"

Afijn, zoals ik dan ben wil ik altijd weten het host en hoe het in elkaar steekt en toen kwam ik wat zaken waar ik van dacht, juist!

Code:

wido@crew:~$ host -t MX politie.nl
politie.nl          	MX	10 mail1.politie.nl
politie.nl          	MX	10 mail2.politie.nl
wido@crew:~$ host mail1.politie.nl
mail1.politie.nl    	A	145.119.166.19
wido@crew:~$ host mail2.politie.nl
mail2.politie.nl    	A	145.119.166.20
wido@crew:~$

Ahum, beide mailservers van de politie in het zelfde subnet!? Dat netwerk kan blijkbaar niet plat.

Met de DNS was het iets beter geregeld:

Code:

wido@crew:~$ host -t NS politie.nl
politie.nl          	NS	ns2.asp4all.nl
politie.nl          	NS	ns2.isc.nl
politie.nl          	NS	ns3.asp4all.nl
politie.nl          	NS	ns1.asp4all.nl
wido@crew:~$

Na het lezen van http://tweakers.net/nieuws/71263/ano...rrestatie.html ging ik eens kijken hoe het bij "om.nl" zit.

Code:

wido@crew:~$ host -t NS om.nl
om.nl               	NS	ns1.asp4all.nl
om.nl               	NS	ns2.asp4all.nl
om.nl               	NS	ns3.asp4all.nl
wido@crew:~$ host -t MX om.nl
om.nl               	MX	10 smtp7.minjus.nl
om.nl               	MX	20 smtp8.minjus.nl
wido@crew:~$ host smtp7.minjus.nl
smtp7.minjus.nl     	A	159.46.2.165
wido@crew:~$ host smtp8.minjus.nl
smtp8.minjus.nl     	A	159.46.2.166
wido@crew:~$ host ns1.asp4all.nl
ns1.asp4all.nl      	A	62.112.224.60
wido@crew:~$ host ns2.asp4all.nl
ns2.asp4all.nl      	A	62.112.236.60
wido@crew:~$ host ns3.asp4all.nl
ns3.asp4all.nl      	A	62.112.244.60
wido@crew:~$

Ook daar staan beide mailservers wéér in het zelfde subnet, maar ook hier staan alle 3 de DNS servers in het zelfde netwerk. Weliswaar in verschillende /24's, maar wat ik zo op maak uit de route informatie, is het het zelfde AS en dus zelfde netwerk.

Dat bracht me een beetje op een klopjacht, laat ik eens wat meerdere overheidssites gaan bekijken!

crisis.nl

Code:

wido@crew:~$ host -t NS crisis.nl
crisis.nl           	NS	ns6.asp4all.nl
crisis.nl           	NS	ns5.asp4all.nl
crisis.nl           	NS	ns4.asp4all.nl
wido@crew:~$ host ns6.asp4all.nl
ns6.asp4all.nl      	A	62.112.244.62
wido@crew:~$ host ns5.asp4all.nl
ns5.asp4all.nl      	A	62.112.236.62
wido@crew:~$ host ns4.asp4all.nl
ns4.asp4all.nl      	A	62.112.224.62
wido@crew:~$

Ook weer alle DNS in het zelfde netwerk gestopt lijkt het zo.

rijksoverheid.nl

Code:

wido@crew:~$ host -t NS rijksoverheid.nl
rijksoverheid.nl    	NS	ns1.zurich.surf.net
rijksoverheid.nl    	NS	ns1.prolocation.net
rijksoverheid.nl    	NS	ns1.surfnet.nl
rijksoverheid.nl    	NS	ns3.prolocation.net
wido@crew:~$ host -t MX rijksoverheid.nl
rijksoverheid.nl    	MX	10 mail2.minbzk.nl
rijksoverheid.nl    	MX	10 mail1.minbzk.nl
wido@crew:~$ host mail2.minbzk.nl
mail2.minbzk.nl     	A	193.177.183.238
wido@crew:~$ host mail1.minbzk.nl
mail1.minbzk.nl     	A	193.177.183.237
wido@crew:~$

De DNS is in dit geval netjes verspreid over verschillende netwerken, maar we stoppen de mail wéér in het zelfde subnet?

mindef.nl

Code:

wido@crew:~$ host -t NS mindef.nl
mindef.nl           	NS	ns4.mindef.nl
mindef.nl           	NS	ns3.mindef.nl
wido@crew:~$ host ns4.mindef.nl
ns4.mindef.nl       	A	217.169.229.14
wido@crew:~$ host ns3.mindef.nl
ns3.mindef.nl       	A	217.169.229.6
wido@crew:~$ host -t MX mindef.nl
mindef.nl           	MX	5 mx3.mindef.nl
mindef.nl           	MX	5 mx4.mindef.nl
wido@crew:~$ host mx3.mindef.nl
mx3.mindef.nl       	A	217.169.229.18
wido@crew:~$ host mx4.mindef.nl
mx4.mindef.nl       	A	217.169.229.20
wido@crew:~$

Hier zit ALLES in het zelfde subnet?

Dit topic openen is ook deels geïnspireerd door http://www.webhostingtalk.nl/sidn/16...010-topic.html

Ik wil hier geen heksenjacht van maken, maar hoe kan het toch dat de zelfde fouten over en over gemaakt worden?

Hoe goed je netwerk ook is, alles kan plat. En zo lastig is het niet om je mailservers en DNS servers te verspreiden over netwerken.

Ook wil ik hier geen 'zeik hier de concurrent af' topic van maken, maar ik begreep dat ASP4All (Ken ze verder totaal niet!) bepaalde certificeringen heeft waardoor ze overheidssites van bepaalde omvang mogen hosten, maar hoe kan het dan dat zo'n partij zulke fouten maakt?

Heeft iemand hier iets meer informatie over? Ik sta er namelijk nogal van te kijken..

Tsja ik heb geen idee hoe het precies geregeld is bij de overheid, maar probeer flevoland.nl eens daar zie je dat het wel goed geregeld is.

Maar als het bij ICT aan komt (dan heb ik het enkel over provincie flevoland maar dat zal op andere overheden ook wel zo zijn) kan het stukken beter. Zo kreeg ik te horen dat de ICT afdeling van Flevoland niet aan maatwerk doet omdat dit te veel werk zou zijn, gevolg men moet het doen met bestaande applicaties en die maar eigen leren te maken. Een ander voorbeeldje is dat alles nu vervangen word door thin clients, zodat het opstarten nu sneller gaat (ipv 20 minuten een paar minuten). Het gevolg alleen hiervan is dat het opstarten van de programma's erg lang duurt en op één dag ben je dan dus langer dan 20 minuten bezig met wachten totdat een programma gestart is.

Ik weet niet wat ze precies doen, maar de overheid kan flink wat geld besparen als ze het ICT gedeelte in orde maken. Op maat applicaties kost misschien voor de ICT wat meer, maar als je het omrekent dan kost het voor de medewerkers minder tijd en dan kan een medewerker meer doen. En je hebt minder medewerkers nodig, dus geldbesparing.

Maar goed, ik kan nog wel meer bedenken waar geld op bespaard kan worden. Waar wij werken met een karretje om de servers naar binnen slepen, is dit een gemotoriseerd karretje bij de overheid. Vraag mij niet waarom, maar dit zal ook wel flink wat kosten.

Maar, om ook iets positiefs te melden... Voor de ontwikkeling van een applicatie word nu gekeken naar de samenwerking met andere overheden om de kosten te delen. Blijkbaar werken er toch mensen die wel geld willen besparen.

Edit: Wat ik mij nog steeds afvraag is waarom de politie alles in één datacentrum wilt neer gaan zetten (dacht ik even geleden gelezen te hebben). Even het datacentrum opblazen en ze hebben niks meer, en blijkbaar is redundantie onbekend daar dus aan backuplocatie zal er ook wel niet zijn (of er is een backuplocatie maar die hebben ze door het SIDN laten regelen )

ASP4all zit hier om de hoek, die hebben er een handje van helaas om alles in hetzelfde subnet te gooien. Ik durf te stellen dat zeker 90% van hun klanten in deze situatie draaien en de overige 10% heeft wel gescheiden DNS en mail.

Ze hebben het helemaal niet slecht voor elkaar, maar dat is nog een groot leerpunt voor ze.

Oorspronkelijk geplaatst door Spyder01

ASP4all zit hier om de hoek, die hebben er een handje van helaas om alles in hetzelfde subnet te gooien. Ik durf te stellen dat zeker 90% van hun klanten in deze situatie draaien en de overige 10% heeft wel gescheiden DNS en mail.

Ze hebben het helemaal niet slecht voor elkaar, maar dat is nog een groot leerpunt voor ze.

Maar hoe kan het zijn, dat een partij die zulke websites mag hosten, zulke simpele zaken niet voor elkaar heeft?

Dat vraag ik me af, waar is de kwaliteitscontrole op dit vlak?

Nou Wido aan jou de eer misschien een offerte uit te brengen dat het redundant via jullie kan worden aangeboden bij de volgende aanbestedingskalender.

Zagen we dit trouwens al niet eerder met de UWV die 2 ns machines onder elkaar had draaien ?

Politie gaat lekker met hun ICT, afgelopen maand ook iets op TV gezien dat het hele "nieuwe systeem" van de politie een miskoop blijkt te zijn geweest

Oorspronkelijk geplaatst door dhmedia

Politie gaat lekker met hun ICT, afgelopen maand ook iets op TV gezien dat het hele "nieuwe systeem" van de politie een miskoop blijkt te zijn geweest

Op je woorden letten hé, x aantal miljoen van het uitgegeven geld in de programmatie ervan zou nog gerecupereerd kunnen worden door het in te zetten van de code in andere toepassingen.
Moeten ze bij die andere toepassingen ook nog wel even rekening houden met de implementatiekosten.
Hoe je aan de ontwikkeling van zo'n platform tientallen miljoenen op een jaar, misschien een paar jaar, kan komen gaat mijn petje sowieso te boven...

Oorspronkelijk geplaatst door Phu

Nou Wido aan jou de eer misschien een offerte uit te brengen dat het redundant via jullie kan worden aangeboden bij de volgende aanbestedingskalender.

Nee, ik denk niet dat ik daar zo veel zin in heb

Zelfs de grotere bedrijven in de hosting sector zondigen vaak tegen simpele DNS 'best practice' regels. Wat verwacht je dan van bedrijven waar IT/hosting helemaal geen core business is?

Het is bv niet alleen belangrijk om je DNS servers in verschillende subnetten (of beter verschillende netwerken/DC's) te zetten, maar best zorg je er ook voor dat de desbetreffende DNS servers van verschillende TLD's gebruikmaken.

Ik herinner me een aantal jaren geleden dat door door een fout/probleem bij SIDN geen enkel .nl zone nog bereikbaar was. Dus alle domeinen die bij hosting partijen ondergebracht waren die enkel van .nl name servers gebruik maakten waren toen onbereikbaar.

Hoe zou een grote partij als I3D dit geregeld hebben? Oops

Nou, voordat de rootservers ermee ophouden (zoals bij het niet werken van je .net-nameservers het geval moet zijn) zijn we wel even verder.

Oorspronkelijk geplaatst door Cybafish

Nou, voordat de rootservers ermee ophouden (zoals bij het niet werken van je .net-nameservers het geval moet zijn) zijn we wel even verder.

SIDN heeft het al eens voor elkaar gekregen

# dig ns nl

; <<>> DiG 9.3.6-P1-RedHat-9.3.6-4.P1.el5_4.2 <<>> ns nl
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54074
;; flags: qr rd ra; QUERY: 1, ANSWER: 7, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;nl. IN NS

;; ANSWER SECTION:
nl. 172800 IN NS nl1.dnsnode.net.
nl. 172800 IN NS ns1.nic.nl.
nl. 172800 IN NS sns-pb.isc.org.
nl. 172800 IN NS ns2.nic.nl.
nl. 172800 IN NS ns-nl.nic.fr.
nl. 172800 IN NS ns4.nic.nl.
nl. 172800 IN NS ns3.nic.nl.

;; Query time: 1 msec
;; SERVER: 193.189.139.100#53(193.189.139.100)
;; WHEN: Sun Dec 12 00:04:11 2010
;; MSG SIZE rcvd: 179

# dig ns net

; <<>> DiG 9.3.6-P1-RedHat-9.3.6-4.P1.el5_4.2 <<>> ns net
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40025
;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 13

;; QUESTION SECTION:
;net. IN NS

;; ANSWER SECTION:
net. 172800 IN NS f.gtld-servers.net.
net. 172800 IN NS h.gtld-servers.net.
net. 172800 IN NS m.gtld-servers.net.
net. 172800 IN NS d.gtld-servers.net.
net. 172800 IN NS b.gtld-servers.net.
net. 172800 IN NS j.gtld-servers.net.
net. 172800 IN NS i.gtld-servers.net.
net. 172800 IN NS l.gtld-servers.net.
net. 172800 IN NS k.gtld-servers.net.
net. 172800 IN NS e.gtld-servers.net.
net. 172800 IN NS c.gtld-servers.net.
net. 172800 IN NS a.gtld-servers.net.
net. 172800 IN NS g.gtld-servers.net.

;; ADDITIONAL SECTION:
a.gtld-servers.net. 172800 IN A 192.5.6.30
b.gtld-servers.net. 172800 IN AAAA 2001:503:231d::2:30
c.gtld-servers.net. 172800 IN A 192.26.92.30
d.gtld-servers.net. 172800 IN A 192.31.80.30
e.gtld-servers.net. 172800 IN A 192.12.94.30
f.gtld-servers.net. 172800 IN A 192.35.51.30
g.gtld-servers.net. 172800 IN A 192.42.93.30
h.gtld-servers.net. 172800 IN A 192.54.112.30
i.gtld-servers.net. 172800 IN A 192.43.172.30
j.gtld-servers.net. 172800 IN A 192.48.79.30
k.gtld-servers.net. 172800 IN A 192.52.178.30
l.gtld-servers.net. 172800 IN A 192.41.162.30
m.gtld-servers.net. 172800 IN A 192.55.83.30

;; Query time: 2 msec
;; SERVER: 193.189.139.100#53(193.189.139.100)
;; WHEN: Sun Dec 12 00:04:15 2010
;; MSG SIZE rcvd: 462

Denk dat het risico wel aanvaardbaar is.

Daarnaast is het ook lastiger onthouden voor klanten als de ene ns eindigt op .nl, de andere op .eu en nog een op .net (ik noem maar iets).

Daar komt dan nog bij dat NS-records een vrij hoge expiry hebben (als het goed is), dus een storing niet direct tot problemen (mag) leiden.

Zoals ik al zei, enkele jaren geleden heeft SIDN het toch gepresteerd... De impact was toen toch enorm. Dat klanten het lastig zouden vinden lijkt me een non-argument. Het gros van de klanten neemt toch zijn domeinen toch rechtreeks bij de hosting partij af, dus ze komen nooit in aanraking met NS records.

Oorspronkelijk geplaatst door Wynand

Op je woorden letten hé, x aantal miljoen van het uitgegeven geld in de programmatie ervan zou nog gerecupereerd kunnen worden door het in te zetten van de code in andere toepassingen.
Moeten ze bij die andere toepassingen ook nog wel even rekening houden met de implementatiekosten.
Hoe je aan de ontwikkeling van zo'n platform tientallen miljoenen op een jaar, misschien een paar jaar, kan komen gaat mijn petje sowieso te boven...

Ik heb 15 jaar gewerkt bij die 'ICT' bigshots. De overheid laat zich gewoon 50 van die externen aansmeren voor 25k per dag en dan ben je er snel hoor. Zonde van het belastinggeld aangezien je met een goede personeelsmanager (die de JUISTE mensen uitkiest) veel meer bereikt in minder tijd. Als echte hardcore programmeur is het erg lastig om daar te werken omdat je op vrijwel elk gebied wordt tegengehouden.

Oorspronkelijk geplaatst door KerberosX

Zoals ik al zei, enkele jaren geleden heeft SIDN het toch gepresteerd... De impact was toen toch enorm. Dat klanten het lastig zouden vinden lijkt me een non-argument. Het gros van de klanten neemt toch zijn domeinen toch rechtreeks bij de hosting partij af, dus ze komen nooit in aanraking met NS records.

Probleem bij SIDN was toen dat de GLUE niet meer werkte door het inladen van een verkeerde zonefile. De DNS zelf lag niet plat.

Maar we gaan wel een beetje offtopic hierzo