Google, Cloudflare и третий на всякий случай. Провайдеры устроили тройную перестраховку DNS
Интернет-провайдеры нашли необычный способ повысить надёжность DNS и теперь создают тройную нагрузку там, где хватило бы одного запроса. Организация ICANN обнаружила операторов, которые одновременно отправляют обращения пользователей к трём независимым DNS-резолверам. Такая перестраховка расходует ресурсы инфраструктуры интернета, хотя реальной необходимости дублировать каждый запрос нет.
О странном поведении операторов на конференции ICANN87 в Индонезии рассказала технический специалист организации Мод Дюран. По результатам наблюдений, некоторые провайдеры направляют одинаковый DNS-запрос сразу в Google, Cloudflare и ещё один сервис разрешения доменных имён. Вместо резервного сервера, который подключается при сбое основного, все три получают работу одновременно.
DNS преобразует доменные имена в адреса серверов, а резолверы выполняют необходимые запросы к распределённой системе доменных имён. При отсутствии нужных записей в кэше резолвер может обратиться к вышестоящим серверам, включая корневые. Поэтому бессмысленное дублирование обращений способно увеличить нагрузку и на инфраструктуру DNS.
Измерения выявили характерную закономерность. Примерно в половине случаев повторные обращения к записям, отсутствующим в кэше, поступают с интервалом менее 100 миллисекунд. Ещё около 30% повторяются в пределах 30 секунд. Провайдеры используют как IPv4, так и IPv6. ICANN пока не установила, связана ли необычная схема с ошибками настройки или сознательным решением сетевых администраторов.
Дюран предположила, что некоторые операторы пытаются компенсировать недостаток квалифицированных сетевых инженеров грубым дублированием запросов. Вместо настройки нормального резервирования провайдеры заставляют несколько независимых систем выполнять одинаковую работу. Пока ICANN наблюдает подобное поведение у сравнительно небольших операторов, но массовое распространение практики может заметно увеличить нагрузку.
Проблема напоминает историю с Google Chrome, который несколько лет создавал огромный объём лишнего DNS-трафика. В 2020 году механизм Chromium, предназначенный для обнаружения возможного перехвата DNS-запросов, генерировал около 45% обращений к корневым серверам. После исправлений Google доля подобного трафика постепенно сократилась до 1%. Теперь место браузера среди источников неэффективных запросов начинают занимать провайдеры.
Дополнительную тревогу вызывает концентрация DNS-инфраструктуры. ICANN отслеживает состояние системы через программу Identifier Technology Health Indicators. Согласно представленным измерениям, в 2020 году половина пользователей интернета обращалась примерно к 250 группам резолверов, а сейчас показатель опустился ниже 150. Причины сокращения пока не установлены, но Дюран допускает усиление роли крупных технологических компаний.
Непосредственной угрозы стабильности интернета ICANN пока не зафиксировала. Организация продолжает выяснять причины тройных запросов и опасается прежде всего масштабирования неэффективной практики. Если аналогичную схему внедрит крупный провайдер, миллионы дополнительных обращений могут создать ненужную нагрузку на DNS-сервисы, от которых зависит доступность сайтов и других интернет-ресурсов.