DNS - jak wybrać optymalny serwer

[szopen]

ten wątek powstał przez podział innego, link dla tych którzy chcą wiedzieć skąd się wziął:
http://forum.jdtech.pl/Watek-dovado-bez-...5#pid36195
no i jednak źle podzieliłem tamten wątek ^ tak to jest gdy wypłynie za wiele różnych zagadnień w jednym wątku…
więc zapraszam do jego lektury najpierw (może to kiedyś poprawię, a może nie?)

PS przy okazji można tam znaleźć wszystkie adresy DNS działające w sieci Play (a zatem również w RBM, FM, MV i VM)

---

pominąłem tu cała masę innych zagadnień, ale z tych które warto wiedzieć:

a) ostatnimi czasy pojawiło się sporo wirusów potrafiących zmienić konfigurację routerów, podstawową metodą ich ataku jest właśnie podmiana serwerów DNS na własne "zatrute", które mogą przekierowywać np. na fałszywe strony wyszukiwarek (uniemożliwiając znalezienie rozwiązania jak je usunąć) czy choćby na fałszywe strony banków(!), dlatego bardzo istotna jest zmiana hasła administracyjnego routera na tzw. trudne i inne od fabrycznego

b) kwestia cache DNS - każdy współczesny system operacyjny ma własny cache, więc zapytania komputer czy telefon najpierw kieruje sam do siebie, a dopiero potem pyta znany mu DNS, dlatego używanie routera jako cache mając tylko 1 komputer może się wydawać, że niemal mija się z celem, ale…
dane w cache przechowywane są w RAMie więc są one tam tylko do momentu restartu czy to komputera czy routera, ą że router z zasady nigdy nie jest restartowany, a komputer raczej często, to dopiero teraz widać przewagę rozwiązania 1

c) test pozwalający sprawdzić jakość używanych przez nas DNSów
https://www.grc.com/dns/dns.htm
(załącznik pierwszy - akurat serwery cache Play'a, które dostajemy z automatu np. w DIL w RBM, wypadają całkiem nieźle)
   

d) test "wywracalności" routera
https://www.grc.com/dns/crashtest.htm
(załącznik drugi, u mnie to był Asus RT-N10U-B na fabrycznym sofcie, jak widać przeżył test)
   

w przypadku gdyby komuś ten test nie zakończył się pomyślnie sugeruję
- aktualizację firmware
- jeśli po wgraniu najnowszego softu nadal nie przechodzi testu, to warto sprawdzić czy istnieje alternatywny soft (nie widziałem jeszcze żadnego niezależnego oprogramowania, które nie radzi sobie z tym testem)
- jeśli alternatywa nie istnieje wywalamy router do kubła na elektro-śmieci (albo oddajemy znajomemu elektronikowi na części) i kupujemy jakąś współczesną konstrukcję

e) i na sam koniec zostawiłem link do benchmarka (tylko windows) za jego pomocą właśnie można wybrać optymalne serwery DNS
https://www.grc.com/dns/benchmark.htm
aby go pobrać klikamy jego wielkiego screenshota - pobieramy plik DNSBench.exe więc jest on "na dzień dobry" wykonywalny, ale…

aby działał poprawnie konieczne jest parę ruchów
1. należy zbudować bazę DNS'ów, wydaje mi się, że przy pierwszym uruchomieniu sam o to poprosi (ale głowy sobie nie dam uciąć) w głównym menu (lewoklik w górnym lewym rogu)
   
"build custom nameserver list"
w zależności od wydajności łącza potrwa to od ~pół godziny do kliku godzin (na współczesnych łączach trwa zwykle ~40 minut)

2. mając zbudowaną bazę, trzeba do niej dodać te z których potencjalnie chcemy korzystać (trzeba znać te adresy, bo program zna tylko ograniczoną liczbę serwerów, a polskich tam nie ma za wiele)
czyli zapewne trzeba dorzucić ręcznie adresy swojego providera (najlepiej wszystkie które znamy - więc dla Playa będą to wszystkie które podałem gdzieś wyżej)
można to zrobić z menu głównego "add/remove individual servers" albo z zakładki "nameservers" i klawisza "add/remove"

3. jeśli zmieniamy providera jest to przebudowa bazy serwerów jest konieczna po każdej takiej zmianie (czyli trzeba wykonać kroki 1 i 2)

w każdym razie po wykonaniu kroków 1. i 2. można uruchomić zasadniczy benchmark
pamiętając, że musi być on wykonywany na nieobciążonym łączu czyli wyłączamy wszelkie ściągania (szczególnie mam na myśli torrenty itp.), oglądane filmy czy słuchaną muzę online (podczas budowania bazy nie musimy tego robić)

(oczywiście można dla porównania wykonać dodatkowy test na łączu obciążonym, ale wtedy wyniki mogą znacznie odbiegać od rzeczywistości, więc ewentualny wybór serwerów na podsiewie benchmarka na obciążonym łączu jest niemiarodajny)

na fragmencie screenshota (z nieprawidłowo wykonanego benchmarka, bo szkoda mi było czasu na budowanie bazy a to tyko poglądowa infografika) zaznaczyłem
na niebiesko router
na zielono te DNSy Playa, które bym użył statycznie
dla kontrastu na czerwono DNSy Orange i Google (aby wykazać, że na tym łączu się nie sprawdzają, mimo, że generalnie są to jedne z szybszych)
   
oczywiście każdy musi sobie zrobić test samodzielnie (i pełny wraz punktami 1 i 2) aby uzyskać w miarę realne wyniki, warto też zwrócić uwagę na to że DNSbenchmark sortuje wyniki w/g wyniku zapytań cache'owanych (czyli wyżej znajduje się na obrazku akurat OpenDNS), podczas gdy ogólnie (w tym pomiarze!) wygrywają te serwery, które zaznaczyłem na zielono

te testy robimy właśnie po to aby wybrać ręcznie adresy DNS, które zapewne ustawimy statycznie dla interfejsu WAN routera
(choć przy takim ustawieniu trzeba o tym pamiętać, bo zmiany będą konieczne przy zmianie providera, a nawet wtedy gdy nasz provider znacząco zmieni konfigurację sieci - to akurat byłoby zdarzenie wyjątkowe, ale trzeba mieć to gdzieś w świadomości)

f) inny link do innego benchmarka - tu oprócz Windows jest też uwzględniony Mac OS X (choć projekt jest stary i lubi nie działać w 64-b itowych wersjach windows)
https://code.google.com/archive/p/namebench/downloads

[grzech1991]

U mnie na dovado pro wygląda to tak:


chyba 192.168.0.1 najszybsze.

[szopen]

chyba nie zrobiłeś benchmarka tak jak opisywałem… (gdzie są WSZYSTKIE inne serwery z bazy?)

[grzech1991]

Nie chce wszystkich, interesowało mnie tylko czy mają być routera czy Playa bezpośrednio. Ale jak widać jest zysk na routera.

Wysłane z mojego ONE A2003 przy użyciu Tapatalka

[szopen]

no to mogłeś sobie odpuścić ten test przecież taki wynik można było przewidzieć na wstępie
biorąc pod uwagę rekursywne działanie DNS można przewidzieć też pozostałe zachowania
a lokalny cache jest praktycznie zawsze szybszy niż zdalny choćby dlatego, że jest bliżej

wybrane w benchmarku najoptymalniejsze serwery DNS możesz ustawić na stałe na interfejsie WAN routera
(zamiast tych które dostajesz z automatu, choć być moiże z automatu dostajesz akurat najoptymalniejsze - jeśli infrastruktura operatora jest dobrze przemyślana, to przydziela najbliższe serwery cache)

pisałem też co zrobić, aby nie zabić sobie tego cache śmietnikiem generowanym np. przez nieodpowiednio działające klienty p2p

wróć do wątku o dovado pro i jeszcze raz przeczytaj - po co ja się tak produkowałem, skoro i tak to ignorujesz
(być może z tego wynikło całe nieporozumienie, że pisałem o czymś innym niż chciałeś wiedzieć - ale widząc, że błądzisz poświęciłem jeszcze trochę czasu na uzupełnienia by nie dało się opacznie zrozumieć tego co miałem na myśli)

[grzech1991]

wybacz, dla mnie to jest zbyt rozległy temat. Moja wiedza ogranicza się do konfiguracji, a nie wyboru najlepszego...

Program chyba testuje różne adresy podawane z DNS? Jeśli tak to cache nie powinien mieć znaczenia. Bo jaka jest szansa, że program wejdzie na te same strony?

I czy na prawdę podanie DNS przez router zamiast przez play jest tak wolne?

Wysłane z mojego ONE A2003 przy użyciu Tapatalka

[szopen]

sorry nic nie zrozumiałeś chyba…

wszystkie moje opisy są UNIWERSALNE a nie dotyczące jednej wyjątkowej sytuacji, nie jestem nauczycielem, więc najwyraźniej nie umiem tłumaczyć, przeczytaj jeszcze raz wszystko od początku, bo chyba po prostu pomijasz najistotniejsze fragmenty

---

grzech1991 napisał(a):I czy na prawdę podanie DNS przez router zamiast przez play jest tak wolne?

jest dokładnie odwrotnie - te słupki, to czas odpowiedzi = im mniej tym lepiej

---

lokalny cache masz w domu

najbliższy w infrastrukturze operatora jest znacznie dalej (ale odpowiada on najszybciej na wszystkie zapytania na które nie masz odpowiedzi na chacie)

pozostałe są jeszcze dalej

naprawdę jesteś informatykiem z wykształcenia?

[jakubd]

Chyba po prostu trzeba zacząć od tego jak działa system DNS (nie do czego służy. tylko jak działa). Na tej podstawie można wysnuć wnioski dotyczące konfiguracji optymalnej - w danej sytuacji.

Jak dla mnie konfiguracja domyślna - cache serwer w routerze - działa wystarczająco dobrze. Różnica przy zmianie na DNSy bezpośrednio operatora, czy Google - wydajnościowo mają mniejsze znaczenie (to jednak są milisekundy), a liczy się niezawodność. Dlatego najlepiej zastosować mieszankę - Cache DNS w routerze, a ten korzysta dalej z proponowanego DNSa operatora, dalej google i np. OpenDNS, a dalej np. własnego DNSa, jeżeli posiadamy.

[bakahk]

mam wrażenie, iż mniejsze znaczenie ma odpowiedz na pytanie:
czy korzystasz z "najwydajniejszych" DNS`ów?
a raczej:
czy wiesz z jakich DNS`ów korzystasz? / sam je konfigurowałeś? / kiedy je sprawdzałeś?

niemniej tak jak przy sieciach WiFi warto (zwłaszcza na początku) raz na jakiś czas sprawdzać zaśmiecenie kanałów tak i DNS`y warto przejrzeć/przetestować co jakiś czas;

jednocześnie (przynajmniej z własnego doświadczenia) "najszybsze" z reguły okazują się te (DNS`y) od providera, ot specyfika sieci;

------------------------------------------------------------------------------------------------
dla wygody zsumowane linki:

DNS - WEB_BENCH_TEST
https://www.grc.com/dns/dns.htm

DNS - WEB_Router_CRASH_TEST
https://www.grc.com/dns/crashtest.htm

DNS - Portable_Windows_BENCH_TEST - DNSBench.exe
https://www.grc.com/dns/benchmark.htm
download => https://www.grc.com/files/DNSBench.exe

DNS - Windows&OSX_BENCH_TEST - namebench-1.3.1-Windows.exe
https://code.google.com/archive/p/namebench/downloads
download - https://storage.googleapis.com/google-co...indows.exe

------------------------------------------------------------------------------------------------

co do samego DNSBench.exe, tak jak wspomniał przedmówca:
-przy pierwszym uruchomieniu "buduje" sobie listę DNS;
-a budowa "Custom Nameserver List" trwa około 37 minut;
-+można sobie później zapisać listę do plików *.ini;

                       

------------------------------------------------------------------------------------------------

"wynik" dla nieobciążonego łącza (działające tylko urządzenie testujące)

PLUS (DOVADO TINY AC) - po WiFi
   

PLAY (DOVADO TINY) - po LAN
   

------------------------------------------------------------------------------------------------

[morfik]

Jak dla mnie, to tego typu testy są pozbawione sensu. Nawet jeśli uda się komuś uzyskać boost 3-5ms na każde zapytanie DNS, to i tak pierwszy lepszy lokalny cache zmiecie to bez problemu. Poniżej przykład:

Kod:

Jun 03 16:02:02 morfikownia dnsmasq[2019]: time 1464962522
Jun 03 16:02:02 morfikownia dnsmasq[2019]: cache size 10000, 0/34353 cache insertions re-used unexpired cache entries.
Jun 03 16:02:02 morfikownia dnsmasq[2019]: queries forwarded 25541, queries answered locally 45506
Jun 03 16:02:02 morfikownia dnsmasq[2019]: queries for authoritative zones 0
Jun 03 16:02:02 morfikownia dnsmasq[2019]: server 212.2.96.51#53: queries sent 0, retried or failed 0
Jun 03 16:02:02 morfikownia dnsmasq[2019]: server 192.168.1.1#53: queries sent 0, retried or failed 0
Jun 03 16:02:02 morfikownia dnsmasq[2019]: server 208.67.222.222#53: queries sent 12, retried or failed 0
Jun 03 16:02:02 morfikownia dnsmasq[2019]: server 127.0.2.1#5353: queries sent 25529, retried or failed 434

Serwerów kilka, bo i domeny różne.

Czasy:

Kod:

$ dig onet.pl | grep Query
;; Query time: 50 msec

$ dig onet.pl | grep Query
;; Query time: 0 msec

$ dig interia.pl | grep Query
;; Query time: 27 msec

$ dig interia.pl  | grep Query
;; Query time: 0 msec

Wpisy w cache siedzą do 2h, zatem odwiedzając w kółko te same domeny żaden serwer DNS nie dorówna temu mojemu mechanizmowi.

No i oczywiście w testach zabrakło informacji o szyfrowaniu zapytań DNS, a to jest kluczowa sprawa. No i jakby ktoś się wczytał w ten log wyżej, to zapytania nieznalezione w cache idą na localhost, gdzie są szyfrowane i przesyłane do upstreamowego serwera DNS.

[jakubd]

morfik napisał(a):Wpisy w cache siedzą do 2h, zatem odwiedzając w kółko te same domeny żaden serwer DNS nie dorówna temu mojemu mechanizmowi. Big Grin

Poprawka: wpisy siedzą w Cache tyle, ile wynika z informacji w pliku strefy danej domeny. Są wpisy, które mają obowiązek wylecieć nawet po 60 sekundach, a refresh można ustawić na dużo więcej, niż 2h.

[morfik]

No tak ale w dnsmasq można przepisać to:

Kod:

min-cache-ttl=3600
max-cache-ttl=7200

[jakubd]

Wymuszanie TTL jest... naruszeniem integralności systemu DNS i tylko proszeniem się o kłopoty. Jeżeli TTL jest ustawiony na jakąś wartość (minimalnie właśnie 60s) to prawdopodobnie miało to sens:
- adres jest dynamiczny
- adres zaraz ulegnie zmianie
i być może inne.
Efektem wymuszania dłuższego TTL jest narażenie klienta twojego DNSa na... brak lub nieprawidłowo działający dostęp do niektórych stron.
Zwykle (choć oczywiście nie zawsze) TTL jednak ustawiają ludzie, którzy wiedzą po co jest TTL i jeżeli jest krótszy od domyślnego, to mają w tym cel.
Ja stosowałem skracanie TTL do godziny na kilka dni przed zmianą IP serwera oraz do 60s na adresach z dynamicznym IP.

[morfik]

Ja zacząłem od 10min. Później ustawiłem 30 i w końcu doszedłem do 1-2h. Twórcy dnsmasq nie zalecają podbijania wyżej i chyba nawet się nie da więcej ustawić. Dokładnie nie pamiętam jaka jest maksymalna wartość w przypadku tego softu. Cache DNS w windows też ma ustawioną wartość w okolicach godziny chyba. Dokładnie nie wiem, bo nie używam ale 1-2min, to dla mnie za mało.

Ja sobie zdaję sprawę, że jak jakiś serwer przełączy się na inny adres za sprawą jakiegoś mechanizmu faiover czy przez równoważenie ruchu to mogą być problemy z połączeniem. Ja jednak przez cały czas stosowania 1-2h cache nigdy ich nie doświadczyłem. Tam w logu widziałeś, że było paręset wpisów w FAIL. Niemniej jednak zawsze mi się strony ładują bez problemu. Może jeszcze ma znaczenie odznaczenie czegoś co się nazywa "negative cache". To też można ustawić w dnsmasq, choć do końca to nie wiem jak działa, bo brak dokumentacji na ten temat. W każdym razie u mnie net na tych ustawieniach działa bez problemu od bardzo dawna.

[szopen]

szukałem czegoś innego a trafiłem tu
"negative cache' polega w dużym skrócie na cache'oewaniu odpowiedzi świadczących o błędzie

zasadnicze zastosowanie to przechowywanie informacji o nieistniejących domenach, ale obsługiwane są też np. błędy "nieżywego" serwera DNS odpowiadającego za daną strefę (jeśli mnie pamięć nie myl,i to tak a propos timeout'ów - za martwy uznaje się serwer DNS, który nie odpowie w ciągu 2 minut, ale np. windows w wersjach desktopowych odpuszcza sobie dalsze zapytania po 6s.)

tyle, że w obecnych czasach rynek reklamowy zagarnął sporą część tego "czarnego" ruchu DNS i często zamiast informacji o nieistniejącej domenie zostajemy po prostu przekierowani w inne miejsce (więc odpowiedź nie jest błędem tylko oszustwem )

[morfik]

A ja się tam któregoś dnia dopytałem o te wysokie TTL dla cache w dnsmasq: http://lists.thekelleys.org.uk/pipermail...10663.html

Teoretycznie ma nie działać jak adres ulegnie zmianie ale działa.

A co do cache błędnych odpowiedzi -- to lepiej jest je wrzucać do cache czy nie? Bo ja mam ustawione, by mi dnsmasq nie wrzucał ich.

[szopen]

raczej wrzucać

taką politykę cache'owania stosują serwery DNS przynajmniej od 20 lat więc czemu nie powielić tego lokalnie?