Onderwerp: Wat is beter voor DNS

Oorspronkelijk geplaatst door visser

Je wordt misleid door termen als 'primary' en 'secondary'.
Die hebben alleen betekenis mbt tot wie zone levert bij een zonetransfer, en wie de zone ophaalt.
Dat je op je slechte DNS minder requests ziet binnenkomen komt omdat resolvers een goede respons (NS record van je goede DNS) cachen, en een eventueel falen van je slechte DNS negatief cachen.

Kortom, dat je query verhouding niet 50-50 is niet vanwege primary en secondary, maar vanwege het kwaliteitsverschil wat door resolvers gecached wordt.

Ok, voor je bezoekers is het dan misschien minder zichtbaar, omdat slechts als het NS record niet in de cache zit, een bezoeker 50% kans op vertraging heeft, en volgende gebruikers van dezelfde resolver profiteren van het gecachte record.
Toch vind ik het geen optimale setup; Beetje als een slecht werkende deurbel hebben en opmerken "is niet zo erg, de meeste bezoekers voor mij bonzen toch op de deur".

Als je zelf NS records bij toplevel servers opvraagt zie je dat je NS'en in round-robin volgorde worden teruggegeven.

Doe bijvoorbeeld een paar keer (linux/mac/andere unix) :
dig NS webhostingtalk.nl @ns1.nic.nl
en zie dat alle NS records in roulerende volgorde teruggegeven worden.

(Of doe het voor je eigen domein, en zie je dat je van buiten totaal niet kunt opmaken wat een primary of wat een secondary DNS is.)

Dat is default (niet alleen voor NS records) voor de meeste DNS servers, om round robin volgorde terug te geven wanneer er meerdere identieke records aanwezig zijn.

Ah, ik denk dat ik de het verkeerde "type" DNS server in gedachte heb gehad.

Ik doelde in mijn verhaal meer op een DNS resolver / recurser, die wat je bijv. insteld bij je normale computer als zijnde je DNS servers, en dus niet DNS servers welke authoratief zijn voor een bepaald domein. In eerst genoemde geval word de secundaire DNS resolver eigenlijk alleen aangeroepen als de primaire niet meer reageerd, en dat bedoelde ik eigenlijk, maar daar ging het hele topic niet over zie ik nu net..
Sorry, heb ergens zitten slapen...!

Oorspronkelijk geplaatst door Armitum IT Services

@Visser;

Dat trek ik in twijfel wat je zegt, bijv. als je een 2 DNS servers hebt, en de tweede heb je op een langzame verbinding, laat iedereen dan de eerste DNS server als primairy instellen.
De tweede word dan alsnog gebruikt, maar véél minder.
Ik zie het bij mijn eigen DNS servers, iedereen gebruikt ns01 als primair en ns02 als secundair.
ns02 heeft vrijwel nooit iets te doen, totdat ik ns01 uitschakel, dan krijgt hij het druk.

Voor een gedeelte klopt je redenatie, want toch zie ik ook vaak request op ns02 binnenkomen, echter dit is maar 10 á 20% (schatting) van het totaal aantal.

dat was ook wat ik meende op te merken al log ik natuurlijk (as in ik heb geen eigen name server) maar ik log wel mijn eigen verkeer en dus weet ik dat ik doorgaans ook veel meer verbindingen heb met dns1 of ns1 dan met andere namen.

en er zijn wel degelijk 'dns' hosting pakketten (ik meen dat transip daar ook een handje van heeft die stellen dat je slechts 1000 (oid) nslookups per maand krijgt en dat er daarna extra kosten (dataverkeer?) gerekend wordt.
veelal zijn dat wel de 'nameserver hosting pakketten' die je dan voor enkele euro's per jaar bij je domein registratie krijgt, maar 't leek me zinnig het toch te vermelden...

Oorspronkelijk geplaatst door Armitum IT Services

Dat trek ik in twijfel wat je zegt, bijv. als je een 2 DNS servers hebt, en de tweede heb je op een langzame verbinding, laat iedereen dan de eerste DNS server als primairy instellen.
De tweede word dan alsnog gebruikt, maar véél minder.

Ik kan je beeld niet plaatsen, ik draai een redelijk aantal ns2's en zie van 1 node waar ik 100% zeker van ben dat de ns1 nooit uit geweest is (de nagios draait ook op dezelfde host) dat deze 150K+ requests heeft gehad in 2 dagen, iets wat ik gezien het aantal domeinen inschat op +/- 50%

Oorspronkelijk geplaatst door ichat

dat was ook wat ik meende op te merken al log ik natuurlijk (as in ik heb geen eigen name server) maar ik log wel mijn eigen verkeer en dus weet ik dat ik doorgaans ook veel meer verbindingen heb met dns1 of ns1 dan met andere namen.

en er zijn wel degelijk 'dns' hosting pakketten (ik meen dat transip daar ook een handje van heeft die stellen dat je slechts 1000 (oid) nslookups per maand krijgt en dat er daarna extra kosten (dataverkeer?) gerekend wordt.
veelal zijn dat wel de 'nameserver hosting pakketten' die je dan voor enkele euro's per jaar bij je domein registratie krijgt, maar 't leek me zinnig het toch te vermelden...

Dat laatste kan ik mij toch niet voorstellen... Waarom zouden ze?
Ik had ooit wat domeintjes bij TransIP op hun nameservers lopen maar heb nooit wat gemerkt van zo'n limiet... Heb je een bron?

Verder kan je de DNS records op de nameservers van TransIP aanpassen binnen Directadmin hoor. Je moet ze dan wel laten doorpushen (aanpassing binnen de named.conf ... Weet even niet hoe het heet ...)

@Mick, nameservers doen zo weinig verkeer dat de verbinding echt niets uitmaakt. Ik krijg ongeveer evenveel requests op de 3 nameservers die ik heb.

Oorspronkelijk geplaatst door Armitum IT Services

Ah, ik denk dat ik de het verkeerde "type" DNS server in gedachte heb gehad.

Ik doelde in mijn verhaal meer op een DNS resolver / recurser, die wat je bijv. insteld bij je normale computer als zijnde je DNS servers, en dus niet DNS servers welke authoratief zijn voor een bepaald domein. In eerst genoemde geval word de secundaire DNS resolver eigenlijk alleen aangeroepen als de primaire niet meer reageerd, en dat bedoelde ik eigenlijk, maar daar ging het hele topic niet over zie ik nu net..
Sorry, heb ergens zitten slapen...!

Ok.
Hm, bij nader inzien had ik me moeten realiseren dat mijn verklaring voor je load verhoudingen wel erg fraai uitkwam.
Ja, als één van de DNS'en heel erg klote is (extreem traag, of veel packetloss) zullen resolvers die oorspronkelijk die DNS probeerden 'm negatief cachen en inmiddels een retry doen bij een van de andere NS'en.
En daarbij voor de duur van de cache blijven bij die andere DNS, en ga je dus verschil gaat zien in aantal queries.

Maar ik geloof niet dat DNS resolvers nu *zo*
strak de kwaliteit van een NS response tracken en daarbij blijven hangen bij de 'beste'.
Er wordt in resolvers overigens wel iets in die richting gedaan.
http://www.nanog.org/mtg-0310/pdf/wessels.pdf
voor een test van resolver gedrag, en een enkele slide (slide 36) noemt dat BIND8 als resolver inderdaad onder bepaalde omstandigheden kan 'plakken' aan een low-latency low-loss authoritieve DNS server.
Maar blijkbaar erg resolver-afhankelijk, en ook een redelijk obscuur gebied.

Kortom, een 'nogal matige' DNS server in je set van authoritieve DNS'en zal m.i. gewoon voor een behoorlijk evenredig deel de queries gebruikt worden, en daarmee dat deel van het bezoek net wat slechter bedienen.

(zoals je zelf ook noemt, het gedrag van een client met een paar nameservers in z'n /etc/resolv.conf heeft wel heel duidelijk een voorkeursvolgorde .)

Als ik het hier over 'resolver' heb bedoel ik overigens de full-service of 'iteratieve' resolver, degene die de DNS boom van root tot antwoord doorloopt.
Voor de meeste gebruikers is dat 'de DNS server van de ISP' die je instelt op je PC (of router), of meekrijgt met DHCP/PPP.
De resolver van de PC zelf in zo'n geval heet een stub resolver.

Oorspronkelijk geplaatst door visser

Inderdaad vermindert het wel het aantal queries op de NSen van de ISP (met 1/3 van het totaal), maar ik dacht niet dat er abonnementen zijn waarbij het aantal queries op een authoritieve nameserver een contractuele beperking heeft.
(hooguit in de vorm van een generieke DoS clausule 'bij overmatige belasting van onze infrastructuur behouden wij het recht voor...' )

Route53 bij Amazon en ook een oplossing van Akamai als ik het goed heb kent een dergelijke constructie. Deze zijn echter wel bedoeld voor sites/zones met extreem veel queries. In de meeste gevallen zal dit geen rol spelen (of in zeer beperkte mate).