Edgium / DNS Firewall
DNS Firewall para provedores: as zonas ficam no seu servidor, os ataques DDoS ficam na borda
O seu DNS autoritativo continua com você, com as zonas de todos os clientes do jeito que estão. A Edgium responde na frente dele, numa rede anycast com pontos no Brasil e no exterior, e só deixa passar o que é consulta de verdade. Serve para provedores de internet, hospedagens e empresas com DNS próprio.
Um DNS virtual na frente do seu
Os endereços dos seus nameservers passam a ser anunciados pela rede da Edgium. A consulta legítima é repassada ao seu servidor e a resposta volta para quem perguntou. Com mais de um servidor, a Edgium distribui as consultas entre eles, como um balanceador de DNS. A consulta de ataque para no primeiro ponto da rede que ela encontra.
- consulta legítima
- repasse ao seu servidor e resposta
- resposta entregue
- ataque barrado no firewall
Arraste para o lado para ver a animação inteira.
Contra quais ataques ao DNS ele protege
Os ataques DDoS que mais derrubam DNS de provedor não são grandes. São consultas que nenhum cache segura e que obrigam o servidor a trabalhar em cada uma.
Subdomínio aleatório
Milhares de nomes que não existem, como x7k2q.cliente.com.br, para esgotar o servidor autoritativo. O firewall reconhece o padrão e limita.
NXDOMAIN em massa
Limite próprio para respostas de domínio inexistente, separado do tráfego normal, para que o ataque não leve junto quem pergunta certo.
Consultas vazias e malformadas
Pacotes sem pergunta válida param na borda e nem chegam ao seu servidor.
Consultas ANY bloqueadas
A consulta ANY, usada para amplificar ataques, é recusada. O seu DNS deixa de ser arma contra terceiros.
Limites por segundo sob medida (rate limit)
Consultas totais, respostas NXDOMAIN e SERVFAIL, cada uma com limite ajustado para o tráfego normal da sua rede.
Inundação de SYN bloqueada
Conexões TCP falsas, abertas só para ocupar o servidor, param na borda e não chegam ao seu DNS.
Regras de bloqueio por origem
Redes ou endereços que só mandam ataque podem ser bloqueados de vez, em todos os pontos da rede ao mesmo tempo.
Servidores fora da vista
Os IPs reais dos seus servidores deixam de ser o alvo. Quem ataca encontra a rede da Edgium, espalhada e preparada para isso.
Prefere que a Edgium responda sozinha, com uma cópia das zonas? Isso é o DNS Slave: o seu servidor vira o master oculto e nunca aparece na internet.
O que muda para o provedor e para o assinante
Para o provedor
- Sem mexer nas zonas: nada de migrar domínio por domínio. As zonas e as ferramentas de hoje continuam iguais.
- Menos noite em claro: o ataque que derrubava o DNS e lotava o suporte fica na borda.
- Menos hardware na linha de frente: o servidor autoritativo atende só consulta de verdade.
- Argumento de venda: DNS protegido para oferecer aos clientes corporativos que hospedam com você.
Para o assinante e os clientes do provedor
- Sites e e-mails dos clientes respondem mesmo durante um ataque ao DNS.
- Resposta mais rápida, vinda do ponto da rede mais perto de quem perguntou.
- Nada para configurar: para quem usa, o nameserver é o mesmo de sempre.
Exemplos de uso
Situações comuns e como a Edgium resolve cada uma.
Provedor de internet (ISP) e hospedagem
DNS que para de cair: zonas no seu servidor, ataque de subdomínio aleatório barrado na borda.
Ver o exemplo completoEmpresas com ERP, banco de dados e e-mail próprio
ERP e e-mail acessíveis de fora, com o servidor da empresa escondido atrás da borda.
Ver o exemplo completoPerguntas sobre o DNS Firewall
Preciso mudar as zonas ou os domínios dos meus clientes?
Não. As zonas continuam no seu servidor, do jeito que estão. Só os endereços dos seus nameservers passam a responder pela rede da Edgium.
Qual a diferença entre o DNS Firewall e o DNS Slave?
No DNS Firewall, cada consulta legítima é repassada ao seu servidor, que continua respondendo. No DNS Slave, a Edgium recebe uma cópia da zona e responde sozinha, sem consultar o seu servidor.
O que é um ataque de subdomínio aleatório?
É uma enxurrada de consultas a nomes que não existem, como x7k2q.cliente.com.br, que nenhum cache segura e que derruba o servidor autoritativo. O DNS Firewall reconhece o padrão e limita na borda.
Os limites podem ser ajustados?
Sim. Consultas por segundo, respostas NXDOMAIN e respostas de erro têm limites próprios, ajustados para o tráfego normal da sua rede.
Dá para testar o DNS Firewall antes de contratar?
Sim. Converse com a gente: a Edgium combina um teste com você, sem parar o serviço, e você acompanha as consultas passando pela borda antes de levar todos os nameservers.
O seu DNS já passou por um ataque?
Converse com a Edgium: conte quantas zonas e consultas o provedor tem, e a gente combina um teste com você, sem parar o serviço.