Selbst gehostete DNS-Ausfälle zeigen: Getestete Redundanz ist entscheidend

Ein selbst gehosteter DNS-Ausfall zu Hause ist eine Erinnerung daran, dass Resilienz entworfen und getestet werden muss und nicht einfach mit Hardware gekauft werden kann. George Michaelson beschreibt im APNIC-Blog, der Website des Asia Pacific Network Information Centre, seine jüngsten Bemühungen, verbesserte Heim-DNS-Dienste aufzubauen, mit dem Ziel, Spam und Werbung zu blockieren. Er nutzte Pi-hole und AdGuard, um sein eigenes hausinternes DNS zu betreiben, und leitete einige bekannte Domainnamen auf ungerootete IP-Adressen um. Das DNS, das Domain Name System, ist der Dienst, der benutzerfreundliche Website-Namen in die numerischen IP-Adressen umwandelt, die Computer verwenden, um sich gegenseitig zu erreichen. Sein Setup machte die Dinge für ihn und seine Heimnutzer einfacher, und bisher scheint es gut zu funktionieren. Doch der Weg dorthin war nicht ganz reibungslos.

Zu Hause funktionieren die Dinge, bis sie es nicht mehr tun. Michaelson merkt an, dass der Betrieb eines solchen Systems bedeutet, dass er effektiv einen kompetenten, bezahlten Systemadministrator ersetzt. Die Menschen in seinem Haus und die Geräte in seinem Heimnetzwerk verlassen sich darauf, dass er nicht zufällig Dinge ausschaltet oder kaputt macht. Er listet den Digitalen Videorekorder, die Soundanlage, den Heimdateiserver, der jede Nacht die PCs sichert, und sogar einen winzigen GPS-Sensor auf, den er für ein europäisches Projekt zur Überwachung der GPS- und GLONASS-Satellitensichtbarkeit betreibt. All diese hängen von ihm als Systemadministrator ab. Leider müssen DNS-Systeme manchmal neu gestartet werden, und wenn das passiert, bleibt alles andere im Heimnetzwerk stehen. Eine Änderung der Router-Konfiguration kann das gesamte drahtlose Netzwerk lahmlegen, während es neu lädt. Eine Änderung der DNS-Konfiguration des Routers wirkt sich auf DHCP aus, den Netzwerkdienst, der Geräten automatisch IP-Adressen zuweist, was wiederum einen Einfrier- und Auftau-Zyklus im gesamten Netzwerk verursacht. Das eigentliche Problem, schreibt er, ist, dass kritische Dienste unsichtbar werden, sobald sie funktionieren. Die Leute hören auf, sie als Infrastruktur zu sehen, und beginnen, sie als Geräte zu behandeln. Das ist normalerweise der Moment, in dem sie entdecken, dass sie überhaupt keine Resilienz eingebaut haben.

Die Antwort, schlägt er vor, ist mehr Resilienz durch mehr Redundanz. In der realen Welt, bei der Arbeit, im Mobilfunknetz eines Telefons und sogar in Konferenzräumen werden diese Dienste nicht als einzelne Instanzen betrieben, wenn es nicht sein muss. Es sollte mindestens zwei geben, unabhängig konfiguriert, und man sollte vermeiden, beide gleichzeitig neu zu starten, wann immer möglich. Michaelson gibt zu, dass er einen Backup-Plan hatte, aber nur in der Theorie. Er hatte ihn nicht tatsächlich umgesetzt. Während er sein DNS auf eine neue Plattform verlagerte, vergaß er zu bestätigen, dass eine Alternative vorhanden war, bevor er die primäre neu startete. Als die Dinge im Heimnetzwerk begannen zu brechen, entdeckte er, dass es überhaupt keine primäre war. Es war die einzige Instanz. Dies ist genau der Moment, in dem ein Heimnetzwerk still und leise zu einer Produktionsumgebung wird, und die Konsequenzen sind die gleichen wie bei einem Büroausfall, auch wenn niemand sonst zusieht.

Jetzt versucht er, die Gewohnheiten wiederzuerlangen, die am Arbeitsplatz gelten. Vor jeder Änderung an seinem Heimnetzwerk stellt er drei Fragen. Erstens: Verstehe ich alle Geräteabhängigkeiten im Zusammenhang mit der Sache, an der ich arbeite? Zweitens: Gibt es einen alternativen Dienst, den mein Heimnetzwerk übernehmen wird, wenn ich diesen ändere? Drittens: Wenn sich herausstellt, dass ich einen Fehler gemacht habe, kann ich die Dinge wieder so herstellen, wie sie vor meiner Entscheidung zur Änderung waren? Er merkt an, dass keine dieser Fragen spezifisch für das DNS ist. Es sind dieselben Fragen, die er stellen würde, bevor er eine Änderung an einem Produktionssystem vornimmt. Der einzige Unterschied ist, dass er vergessen hatte, dass sein Heimnetzwerk still und leise zu einem geworden war. Er glaubt nicht, dass jedes Heimnetzwerk unternehmensgerechte Redundanz benötigt. Die meisten von uns können den gelegentlichen Ausfall tolerieren. Was die Erfahrung ihn lehrte, ist, dass Resilienz nichts ist, was man beim Kauf von Hardware erwirbt. Es ist etwas, das man in ein System hinein entwirft und dann wiederholt testet. Da Haushalte immer mehr Geräte, Dienste und Abhängigkeiten ansammeln, schrumpft der Unterschied zwischen einem Heimnetzwerk und einer kleinen Produktionsumgebung stetig. Leider ist der Systemadministrator immer noch er.

Für Leser, die ihr eigenes DNS zu Hause oder in einem kleinen Unternehmen betreiben, ist die Lektion direkt. Bevor Sie eine Änderung vornehmen, testen Sie das Backup, dokumentieren Sie die Abhängigkeiten und seien Sie bereit, zurückzurollen. Wenn die Wartung von zwei unabhängigen DNS-Servern zu viel Arbeit erscheint, kann ein verwalteter verschlüsselter DNS-Dienst die Last reduzieren. AEU DNS bietet eine private, sichere Alternative zum Betreiben und Warten eines eigenen Resolvers und beseitigt die Einzeladministrator-Abhängigkeit, die den in der Quelle beschriebenen Ausfall verursacht hat. Es ist keine Lösung für jeden selbst gehosteten Dienst, aber es ist ein vernünftiger Weg, den Single Point of Failure im DNS zu beseitigen und gleichzeitig eine professionell betriebene Alternative anzubieten.