• [cancellato]

  • Modificato

mpanella Ma non solo, rischi ti usino come vettore di amplificazione per attacchi DDoS.
Per uso nelle proprie subnet è perfetto, certo per i domini acceduti meno frequentemente si paga lo scotto di qualche decina di ms di latenza in più, ma chi se ne accorge all'atto pratico? Ci sono molti altri tempi morti nel caricamento delle pagine ben più lunghi della query DNS.

A questo punto, visto già l'utilissimo post sui dns cloudflare, manca la ciliegina sulla torta: come implementiamo un nostro server dns? :-)

    Una guida "tranquilla" per il reverse proxy domestico interesserebbe anche a me...
    Poi devo rompere le scatole a fastweb che per qualche oscura ragione mi fa transitare i pacchetti da Trapani in Sicilia. Ho latenze da dsl anche verso il mix... per fortuna non gioco online però chissà se posso chiedere un reinstradamento decente...

      • [cancellato]

      mkonsel

      Temo, a parte i concetti generali, troppe differenze a seconda del software usato.

      vic3000 se puoi, offri i tuoi servizi agli altri in reciproco scambio

      Temo sia un'epoca finita vent'anni fa. Oggi se pubblichi dei DNS sono quelli dei tuoi domini, al massimo, a meno che non fai l'ISP o sei Google/Cloudflare/etc. E già c'è poco da fidarsi - pare che metà delle query ai root server le faccia Chrome nel tentativo di individuare quali DNS fanno hijacking delle richieste.

      Dal quel che leggo Cloudflare implementa soluzioni alternative all'EDNS per mitigare il problema: https://news.ycombinator.com/item?id=19828702

      We are working with the small number of networks with a higher network/ISP density than Cloudflare (e.g., Netflix, Facebook, Google/YouTube) to come up with an EDNS IP Subnet alternative that gets them the information they need for geolocation targeting without risking user privacy and security. Those conversations have been productive and are ongoing.

      Probabilmente questo problema è limitato ad Akamai che è un concorrente diretto di Cloudflare...

        eang Si verifica anche con Amazon cloudfront.
        Youtube invece usando scripting lato browser ti mandanda sul server giusto

          stemax97 Ah ecco, quindi effettivamente Google e altri non sono affetti dal problema.
          Interessante la soluzione che usi con pihole.

          P.S.
          Utilizzare un proprio server ricorsivo risolve il problema privacy? Non bisogna comunque inoltrare le query ad un DNS upstream?

            eang Certo a un server root e poi tutta la catena, ma quello sempre per come funziona internet.
            A meno che non hai server vicino usato da molti che ha molti dns in cache che è quello che si fa con Google e/o cloudflare o i dns dei provider.
            https://www.iana.org/domains/root/servers

            Il tema privacy era relativo più che altro a Google e alla profilazione.

            • [cancellato]

            eang Utilizzare un proprio server ricorsivo risolve il problema privacy? Non bisogna comunque inoltrare le query ad un DNS upstream?

            Da un certo punto lo peggiora perché arrivi a richiedere la risoluzione del nome al resolver direttamente con il tuo IP di casa.

            Se usi un tuo DNS ricorsivo per definizione non hai un upstream cui inoltrare le query ma le risolvi step by step (appunto, ricorsivamente) a partire dai root resolver direttamente con il tuo software.

              gandalf2016 anche Netflix, credo. Fanno quella cosa strana di avere un dominio per ogni punto di presenza della CDN, che viene fornito dalle API immagino in base all'IP sorgente bypassando il problema client subnet

              • [cancellato]

              • Modificato

              [cancellato] Da un certo punto lo peggiora perché arrivi a richiedere la risoluzione del nome al resolver direttamente con il tuo IP di casa.

              Poi tanto arrivi con il tuo IP all'host restituito dal resolver, quindi a meno che il resolver non sia sempre di terze parti cambia poco. È vero che i server dei domini che passi vedono il tuo IP, però non c'è una singola entità che vede tutte le tue query, specialmente dopo che tramite i root server la cache comincia a riempirsi con i DNS dei vari TLD. Se fai una query per un dominio .it non passerà per i DNS del dominio .com e così via. Poi dipende da a chi è stato delegata la gestione del DNS - Clodflare fa anche quello, ad esempio, così come molti altri. Però non so se possono usare quei dati per le loro "analisi", perché sono di clienti paganti.

              Vero che se il traffico non è cifrato l'ISP può cercare di "sniffare" tutte le query DNS.

              DrGix anche io vivo a Trapani e sono tim fttc 100 mega. In che senso ti instrada i pacchetti in Sicilia?

              gandalf2016 Che problema hanno i dns di cloudflare? Non l'ho capito bene

                giuse56
                Che alcune risorse e contenuti che sarebbero più vicini li allontano.
                Non è una cosa voluta però è un effetto di una configurazione di privacy

                  Questo thread mi ha mandato in crisi comunque XD
                  Al momento il mio DNS è su un raspberry pi su cui gira cloudflared (per il DoH, DNS over HTTPS) che usa 1.1.1.1 come upstream.

                  In realtà ho appena realizzato che il DoH in realtà serve a poco o nulla, perchè se è vero che il tuo ISP non vedrà le tue query DNS, vedrà comunque l'IP di destinazione che farai nelle request HTTP successive alle query DNS...

                  Quindi tanto vale davvero usare il DNS dell'ISP. O al massimo se l'ISP impone filtri DNS troppo stringenti si può usare un resolver locale tipo unbound, che quantomeno ti garantisce l'autenticità delle risposte tramite DNSSEC.

                  Vi torna?

                    Il tradeoff di usare i dns Cloduflare di avere più buffer in cambio di più privacy mi tengo la privacy. I DNS nazionali per vari motivi non voglio usarli, quelli di Google do già fin troppi datia loro per il datamining...

                    • [cancellato]

                    eang Quindi tanto vale davvero usare il DNS dell'ISP. O al massimo se l'ISP impone filtri DNS troppo stringenti si può usare un resolver locale tipo unbound, che quantomeno ti garantisce l'autenticità delle risposte tramite DNSSEC.

                    Vi torna?

                    Usare DNS dell'ISP è una soluzione per i "tecnici" sconsigliabile sia perché appunto è un facile punto di raccolta di dati statistici sulla navigazione (molto più semplice esaminare un log query che andare ad analizzare il traffico di rete, pur se è possibile farlo) e perché in passato avevano la facile tendenza a mandarti su pagine pubblicitarie al posto che restituirti NXDOMAIN.
                    Unbound nella propria rete con validazione DNSSEC e risoluzione ricorsiva è una delle soluzioni migliori, si perdono i filtri che gli ISP devono imporre per legge (siti sequestrati dalla GdF e portali di scommesse illegali che non sottostanno ai monopoli AAMS), però si è tranquilli che le risposte non possono venir alterate da soggetti terzi (per i resolver che firmano le zone con DNSSEC, lasciamo perdere che è un'altra storia infinita, un po' come IPv6).

                      [cancellato] quindi per un utente come il sottoscritto, che dispone:

                      • ffth tiscali of
                      • fritzbox 7530
                      • pc muletto acceso h24 con ubuntu , 8 giga di ram e disco a volontà

                      Qual'è la configurazione migliore per gestire il servizio DNS? Installare unbound su Linux e far puntare il 7530 a lui come dns server?

                      Grazie per l'aiuto

                        • [cancellato]

                        • Modificato

                        mkonsel Se vuoi usare un tuo resolver, sì, anzi potresti banalmente andare a far puntare direttamente i cilent al muletto andando a cambiare le impostazioni del DHCP.
                        Ah, le risorse occupate da un resolver DNS sono infime, ne ho 3 che girano su un OrangePi Zero + altra roba 😃

                        • mkonsel ha risposto a questo messaggio

                          Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
                          P.I. IT16712091004 - info@fibraclick.it

                          ♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile