L'infrastructure DNS dynamique

Le système de noms de domaine (DNS) est une pierre angulaire technique de l’Internet, mais il est confronté à des défis importants en matière de croissance et de sécurité. Internet dépend du DNS ; quand celui-ci ne fonctionne pas, Internet non plus. Les organisations d’aujourd’hui dépendent non seulement du DNS Internet, mais également de leur propre DNS, et lorsque leurs systèmes DNS tombent en panne, leurs applications tombent en panne.

Les smartphones étant devenus omniprésents au cours de la dernière décennie, le nombre d’utilisateurs d’Internet a augmenté de plus de 500 pour cent pour atteindre plus de 2,6 milliards. Forrester¹ prédit que d'ici 2016, il y aura plus d'un milliard de smartphones en service dans le monde, et l'explosion des applications pour smartphones sur les réseaux Long Term Evolution (LTE) 4G qui en résultera entraînera une augmentation exponentielle du trafic DNS.

La croissance des sites de divertissement, des médias sociaux, de la recherche et des achats en ligne exerce également une pression sur le DNS. Au cours des cinq dernières années, le volume des requêtes DNS a augmenté de plus de 200 pour cent : la charge quotidienne moyenne de requêtes au premier trimestre 2011 a atteint le chiffre stupéfiant de 57 milliards.

À mesure que les sites et les applications deviennent plus riches et plus sophistiqués, la charge sur le DNS augmente. Par exemple, sur une page Web moderne, chaque image, bouton d’ajout, widget, lien, icône et autre contenu intégré possède une adresse IP potentielle qui doit être recherchée. Il n’est pas rare qu’une seule page nécessite plus de deux douzaines de recherches DNS différentes par un navigateur. Une page de niveau supérieur telle que cnn.com nécessite plus d'une centaine de recherches DNS. Un Web plus vaste et plus complexe implique des requêtes DNS toujours plus nombreuses.

Presque tous les clients s’appuient sur le DNS pour accéder aux services auxquels ils sont destinés, ce qui fait du DNS le service le plus critique et le plus public de tous. Les perturbations DNS affectent tous les services externes du centre de données, pas seulement une seule application. Ce point unique de défaillance totale, ainsi que l’infrastructure DNS historiquement sous-provisionnée, en particulier dans les centres de données Internet et d’entreprise, font du DNS une cible très tentante pour les attaquants. Il est devenu le deuxième vecteur d'attaque le plus fréquemment utilisé pour les attaques par déni de service distribué (DDoS) (après HTTP), obligeant les organisations à se démener pour trouver des défenses efficaces.

Il est tout aussi significatif que les attaques les plus dommageables financièrement, telles que le phishing et les attaques de l’homme du milieu (MITM), commencent par une manipulation de la réponse DNS. La technologie DNSSEC (Domain Name System Security Extensions) vise à résoudre ces problèmes, mais sa surcharge et sa complexité supplémentaires s'avèrent être un fardeau supplémentaire pour les organisations qui s'efforcent déjà de résoudre les problèmes introduits par la croissance rapide et la défense DDoS.

Même les mesures de sécurité traditionnelles telles que les bloqueurs de barre d’outils du navigateur s’appuient sur les services DNS. Ainsi, lorsque ces services sont perturbés, les mesures de sécurité peuvent échouer. Le même problème existe dans une certaine mesure avec les certificats de sites SSL.

Les organisations doivent revoir leurs solutions DNS pour s’assurer qu’elles répondent aux exigences de performance et de sécurité de l’Internet d’aujourd’hui et de demain.

Les organisations qui relèvent les défis de croissance et de sécurité se tournent vers F5 Networks depuis plus de 10 ans pour le DNS et la livraison d'applications mondiales. F5 BIG-IP Global Traffic Manager (GTM) a toujours été la technologie de diffusion d'applications multisites la plus performante et la plus flexible. F5 repousse désormais les limites technologiques avec une architecture proxy complète pour le DNS dynamique qui fournit une solution complète pour l'équilibrage de charge global, local et cloud.

Pour les organisations mondiales disposant de plusieurs centres de données et d'une infrastructure DNS existante, BIG-IP GTM fournit une gamme de services, allant de l'équilibrage de la charge du serveur global (GSLB) au service de zone complet avec la technologie DNS Express unique de F5. La signature DNSSEC garantit que les clients ne sont pas redirigés de manière malveillante.

Pour l'entreprise, BIG-IP GTM peut agir comme un centre d'échange central pour la résolution de noms DNS sortants, la mise en cache et la résolution, ainsi que la validation DNSSEC. DNS Express dimensionne, sécurise et accélère la résolution de la zone locale.

Pour les organisations disposant de n'importe quelle combinaison de centres de données physiques et virtuels, BIG-IP GTM offre l'agilité nécessaire pour contrôler la manière dont les noms circulent entre eux et à l'intérieur d'eux. Avec BIG-IP GTM Virtual Edition (VE) dans les environnements de cloud public et privé, les organisations peuvent lancer de nouveaux déploiements à volonté et fournir une disponibilité flexible des applications mondiales.

GSLB via DNS est une méthode de répartition de charge depuis que DNS a incorporé pour la première fois plusieurs adresses IP par réponse. Même aujourd’hui, de nombreux sites utilisent encore la technique de réponse DNS round-robin pour tenter de répartir le trafic entre les serveurs et les applications.

Bien que simple et utile, l'équilibrage de charge DNS primitif à tour de rôle présente deux faiblesses importantes. Premièrement, les serveurs DNS conventionnels n’ont aucune connaissance de l’état de santé des serveurs d’applications. Si un nom correspond à quatre adresses de serveur d'application et que le troisième serveur est en panne, 25 % des connexions servies seront refusées. Deuxièmement, la technique conventionnelle du round-robin ne prend pas en compte le profil de l’utilisateur qui interroge le nom lui-même. Autrement dit, il n’a pas la capacité de faire correspondre les utilisateurs aux centres de données à proximité.

BIG-IP Global Traffic Manager fournit une solution GSLB qui répond à ces faiblesses et bien plus encore depuis 2002. Les sites Internet et les centres de données d’entreprise s’appuient sur BIG-IP GTM pour l’équilibrage avancé de la charge du serveur mondial qui offre une disponibilité élevée des applications et une expérience utilisateur positive. Pour l’entreprise, BIG-IP GTM prend en compte la santé de l’application sous-jacente et fournit uniquement des adresses pour les serveurs sains. Pour les sites Internet mondiaux dotés de plusieurs centres de données, BIG-IP GTM peut utiliser des méthodes d’équilibrage de charge sophistiquées qui mettent en œuvre la logique métier de chaque application. La méthode peut être aussi simple qu’une liste de préférences basée sur les priorités qui répartit la charge à l’aide de ratios statiques ou dynamiques, basée sur la proximité du client, ou aussi complexe que l’utilisation de plusieurs facteurs et entrées pour choisir la ressource optimale pour les clients. De nombreuses organisations utilisent désormais les données de géolocalisation pour connecter les utilisateurs au centre de données le plus proche d’eux. Les utilisateurs bénéficient de moins de mauvaises connexions et d’une expérience plus riche, et les centres de données bénéficient d’un meilleur équilibrage de la charge des serveurs mondiaux.

Historiquement, BIG-IP GTM fournissait GSLB en proposant une résolution DNS intelligente mais non faisant autorité. La nouvelle fonctionnalité DNS Express améliore cela en offrant une résolution DNS faisant autorité et de haute performance de classe mondiale. Il le fait en transférant les informations de zone des serveurs DNS existants dans sa propre RAM, puis en répondant lui-même à toutes les requêtes. DNS Express fait de BIG-IP GTM un serveur faisant autorité sans nécessiter une nouvelle infrastructure de gestion.

Lorsqu'ils sont utilisés derrière DNS Express, les serveurs DNS deviennent simplement des points de stockage et de contrôle administratif pour la gestion DNS. Cela signifie que moins de serveurs sont nécessaires. Comme les autres produits F5, BIG-IP GTM est un pare-feu réseau certifié ICSA Labs, il peut donc être placé dans une DMZ ou même en dehors du périmètre du pare-feu.

BIG-IP GTM propose un ensemble de services de sécurité qui assure une protection contre les attaques DDoS au niveau du périmètre de sécurité DNS. Par exemple, BIG-IP GTM atténue facilement les inondations UDP distribuées typiques en augmentant les performances bien au-delà de celles d'un serveur DNS normal. De même, pour les attaques de requêtes plus avancées, la fonctionnalité DNS Express peut surpasser un serveur DNS classique car elle conserve toutes ses entrées de zone valides même pendant une attaque DDoS NXDOMAIN.

Depuis 2002, lorsque les premières attaques majeures contre l’infrastructure DNS mondiale ont eu lieu, la technologie IP Anycast est devenue une défense cruciale contre de nombreux types d’attaques DDoS. IP Anycast dilue les attaques DDoS en répartissant la charge (qu'il s'agisse de trafic légitime ou d'une attaque réseau) sur plusieurs appareils, généralement dans différents centres de données dans différentes parties du globe. Cela déjoue les botnets mondiaux car ils ne sont jamais en mesure de concentrer leur puissance de feu contre une seule cible.

Tous les produits TMOS de F5, y compris BIG-IP GTM, incluent la fonctionnalité de pare-feu réseau certifié ICSA Labs qui atténue les attaques réseau. La nouvelle architecture proxy complète de BIG-IP version 11 permet à BIG-IP GTM d'effectuer une validation de protocole native pour toutes les requêtes DNS. En mettant fin aux deux côtés du dialogue DNS, BIG-IP GTM peut rapidement éliminer toutes les requêtes DNS non valides.

DNS Express révolutionne la manière dont les réponses DNS sont servies ; cependant, F5 continue de faire évoluer sa solution d'équilibrage de charge de serveur DNS classique. La version 11.1 de BIG-IP GTM a introduit une véritable fonctionnalité de proxy complet en ligne, où BIG-IP GTM proxy les demandes du client DNS et les réponses du serveur DNS pour fournir un contrôle maximal.

Cette nouvelle architecture proxy complète donne aux organisations le contrôle nécessaire pour fournir un ensemble complet de services liés aux performances et à la sécurité DNS, notamment la mise en cache, la résolution et la signature et la validation DNSSEC.

Son architecture proxy complète signifie qu'avec la mise en cache et la résolution DNS, BIG-IP GTM peut agir comme un cache transparent non seulement pour un seul serveur DNS, mais pour un pool entier de serveurs DNS. La mise en cache transparente à un point de contrôle unique offre une réponse plus rapide, car le cache unique BIG-IP GTM peut se remplir plus rapidement que les caches individuels sur chaque résolveur DNS. Cela conduit à des performances globales plus élevées et, en fin de compte, à une meilleure expérience utilisateur.

Étant donné que le DNS est généralement la première étape qu'un client effectue lorsqu'il se connecte au centre de données d'une organisation, les attaques qui détournent les réponses DNS (telles que les attaques de phishing et MITM) sont le moyen le plus simple de compromettre les actifs. L’usurpation de réponse DNS a toujours été une méthode populaire auprès des attaquants, et l’empoisonnement du cache contre les serveurs de noms récursifs est beaucoup plus facile que ce que la communauté informatique pensait au départ. En 2008, le chercheur en sécurité Dan Kaminsky a révélé une faille dans la conception des identifiants de messages DNS et, par conséquent, les organisations de haute sécurité comme l'US Open DNS ont été contraintes de se lancer dans cette aventure. Le ministère de la Défense a fait de la sécurisation du DNS une priorité absolue et obligatoire pour la conformité réglementaire.

La solution DNSSEC de F5 protège contre toute la classe d'attaques d'empoisonnement du cache, atténuant ainsi les menaces de phishing et MITM. Il garantit aux clients des organisations qu’ils se connectent bien à leur centre de données et non à un proxy de phishing. Les clés de signature DNSSEC de F5 peuvent être stockées dans des modules de sécurité matériels (HSM) FIPS 140-2 de niveau 3 protégés contre les falsifications pour une sécurité maximale.

L’adoption de DNSSEC a été difficile et lente pour de nombreux acteurs du secteur de la résolution de noms. En particulier, certaines solutions globales d'équilibrage de charge des serveurs sont incompatibles avec DNSSEC. La plupart suivent l'implémentation de référence initiale et signent statiquement l'intégralité de la zone une fois par mois, puis diffusent les réponses pré-signées. Cependant, il existe des problèmes avec une solution signée statiquement (voir l'encadré).

L'infrastructure DNS dynamique de F5 offre une approche supérieure.² Avec BIG-IP GTM, DNSSEC et GSLB coexistent car BIG-IP GTM signe les réponses en temps réel afin que tous les avantages de GSLB puissent être réalisés tout en protégeant les réponses avec une cryptographie asymétrique forte.

Lorsqu'il est utilisé avec DNS Express, BIG-IP GTM signe les réponses à toute requête qu'il traite, y compris celles qu'il traite à partir de ses propres informations de zone, d'autres serveurs DNS locaux (qui peuvent ne pas utiliser DNSSEC) et du propre résolveur de mise en cache de BIG-IP GTM. BIG-IP GTM est également suffisamment intelligent pour ne signer aucune réponse qui a déjà été signée par un autre serveur. F5 offre la seule solution GSLB et DNSSEC complète et peut protéger les clés de signature avec une protection de clé matérielle inviolable FIPS 140-2 de niveau 3.

Problèmes avec les zones signées statiquement

• Les administrateurs ne peuvent pas apporter de petites modifications de zone tant que la zone entière n'est pas re-signée
• Les zones signées statiquement ne peuvent pas utiliser la surveillance de l'état des applications pour garantir une haute disponibilité
• Les techniques avancées de qualification des clients telles que la géolocalisation ne peuvent pas être prises en charge dans un environnement signé statiquement
• Les implémentations GSLB interrompent le DNSSEC statique pour prendre des décisions de routage

Les services DNS locaux (LDNS) résolvent les requêtes de noms sortantes au nom des clients d'entreprise. En fournissant ce service de base, LDNS peut devenir un point de contrôle central permettant aux administrateurs d’entreprise de gérer les performances, l’évolutivité et la sécurité.

• Performance. Une fois remplis, le cache et le résolveur BIG-IP GTM peuvent réduire les requêtes DNS sortantes de 80 %, ce qui se traduit par des performances supérieures et une meilleure expérience utilisateur.
• Évolutivité. L'architecture multicœur BIG-IP GTM peut évoluer avec DNS Express pour répondre aux besoins des plus grands centres de données d'entreprise.
• Sécurité. BIG-IP GTM fournit une solution de validation DNSSEC hautes performances et intégrée, qui décharge les services cryptographiquement intensifs des autres clients internes et services DNS.

La fonctionnalité proxy complète de BIG-IP GTM peut aider une organisation à valider les réponses DNSSEC en effectuant la validation pour toute combinaison de fonctionnalités de résolution, de mise en cache et de réponse DNS. Non seulement BIG-IP GTM peut accepter et résoudre chaque requête, mais il peut également valider les réponses DNSSEC.

La validation par BIG-IP GTM sécurise la communication et libère le client de la nécessité d'effectuer des opérations cryptographiques coûteuses en termes de calcul, et la mise en cache améliore les performances des requêtes ultérieures. Lorsque plusieurs clients demandent la même résolution DNS, tous les clients suivants recevront la réponse déjà mise en cache et validée.

Les solutions DNSSEC ont le potentiel de sécuriser enfin Internet. Maintenant que la racine du nom .com a été signée, il existe enfin une infrastructure mondiale en place qui permet aux clients de vérifier, par exemple, qu'un e-mail de leur banque provient réellement de leur banque. À mesure qu'Internet surmonte ses difficultés de croissance liées au DNSSEC, l'adoption de cette technologie clé deviendra une réalité pour bien plus que les seules organisations fédérales pour lesquelles elle est obligatoire.

Étant donné que la validation DNSSEC peut être très coûteuse en termes de calcul, les grandes entreprises auront besoin de la bonne combinaison de mise en cache et de performances pour assurer le bon fonctionnement des clients internes.

Le matériel cryptographique embarqué hautes performances de BIG-IP GTM décharge le calcul de validation DNSSEC. BIG-IP GTM peut effectuer la validation DNSSEC même pour les clients existants qui ne demandent pas DNSSEC, ce qui en fait une solution de sécurité transparente et intégrée pour l'ensemble de l'entreprise.

BIG-IP GTM inclut un nouveau moniteur de santé des applications qui interroge la santé des services DNS toutes les cinq secondes. Le moniteur vérifie que les serveurs actifs et disponibles répondent correctement aux requêtes. Il peut ensuite évaluer n’importe quel aspect de la réponse, ou simplement surveiller n’importe quelle réponse.

La flexibilité du moniteur de santé DNS signifie qu'il peut devenir efficacement un moniteur de chemin. Par exemple, un administrateur peut surveiller si un nom externe ne se résout pas. En signalant cette panne, le moniteur alerte une organisation qu’une rupture de nom existe quelque part entre le serveur d’entreprise et Internet.

Les centres de données sont aujourd’hui en constante évolution. Certaines organisations consolident leurs centres de données, tandis que d’autres utilisent de nouveaux centres de données virtuels et des déploiements cloud pour gérer leur croissance. D’autres encore utilisent une combinaison d’hébergement de services gérés et de logiciels Internet en tant que service (SaaS) pour fournir des applications virtuelles. BIG-IP GTM fournit des solutions qui s'adaptent à toutes ces architectures.

Gestion DNS cloud simple et robuste :

• Étend la gestion des requêtes et la mise en cache aux déploiements cloud.
• Garantit que les requêtes DNS sont acheminées efficacement vers le meilleur cloud.
• Augmente la productivité grâce à la mise en cache DNS avec des réponses d'application rapides.

Avec BIG-IP GTM, les organisations peuvent obtenir un point de contrôle unique pour leur DNS entrant et l'équilibrage de la charge du serveur global dans les déploiements cloud. L'édition virtuelle (VE) de BIG-IP GTM peut être déployée dans les environnements VMware vSphere, Microsoft Hyper-V et Citrix XenServer³ pour fournir les mêmes services que la version physique. BIG-IP GTM VE dans l'environnement virtuel peut fournir LDNS pour les applications virtuelles, et un périphérique physique autonome BIG-IP GTM peut garantir la disponibilité en externe.

Les mêmes principes qui font de GSLB une solution si convaincante s’appliquent toujours aux environnements virtuels. BIG-IP GTM permet aux organisations de mettre en œuvre facilement une disponibilité globale et flexible des applications en acheminant les utilisateurs vers des applications dans des centres de données virtuels. Le moniteur de santé DNS garantit la disponibilité des applications virtuelles. L'intelligence DNS native de BIG-IP GTM oriente les utilisateurs vers les applications cloud les plus disponibles et entre différents clouds pour les déploiements virtuels.

À mesure que les organisations migrent vers IPv6, les systèmes hérités, les exigences des clients et la compatibilité jouent tous un rôle dans la rapidité de la migration. Pour compliquer encore les choses, certains réseaux sont uniquement IPv6, mais ont également besoin d'accéder à des ressources IPv4 telles que des hôtes sur Internet et des serveurs hérités qui ne prennent pas en charge IPv6. De nombreuses organisations disposent de sous-réseaux qui ne peuvent tout simplement pas prendre en charge une double pile et ont besoin d’une solution pour combler le fossé.

L'architecture proxy complète de F5 offre une solution unique et convaincante qui tire parti des points de contrôle stratégiques du réseau pour combler le fossé entre les clients IPv6 et les serveurs IPv4.

La traduction d'adresses réseau avec la passerelle NAT64 dans BIG-IP Local Traffic Manager (LTM) fournit un proxy IPv6 vers IPv4 pour la distribution des applications. La passerelle DNS64 de BIG-IP GTM simule automatiquement l'adresse IPv6 et appelle le proxy NAT64.

Les organisations utilisent DNS64 et NAT64 pour créer de nouveaux réseaux IPv6 uniquement qui ont toujours accès à l’infrastructure IPv4, sans avoir à implémenter des piles doubles dans leurs réseaux. Les points de contrôle stratégiques de F5 dans le réseau sont les composants critiques qui permettent ces solutions.

• Offrir un support essentiel pour les appareils mobiles LTE
• Prise en charge des clients IPv6 purs qui accèdent à la fois à IPv6 et IPv4
• Combinaison de NAT64 et DNS64 pour fournir une traduction automatique

F5 propose des solutions DNS hautes performances depuis 2002. Avec sa suite de technologies DNS la plus récente, F5 reste à la pointe de la diffusion d’applications mondiales. DNS Express, pour les zones faisant autorité et locales, offre les meilleures performances pour la livraison DNS et ajoute une protection DNS DDoS. La nouvelle architecture proxy complète de BIG-IP GTM permet aux organisations de maximiser l'agilité grâce à la résolution DNS, les performances grâce à la mise en cache et la sécurité DNS complète grâce à la signature et à la validation. Pour les organisations qui migrent vers des services cloud, BIG-IP GTM VE permet une flexibilité au sein du cloud privé et des environnements virtuels. Et pour les organisations qui migrent vers IPv6, DNS64 dans BIG-IP GTM relie avec succès les mondes IPv6 et IPv4 pendant la transition.

Que les organisations disposent d'une infrastructure de centre de données mondiale, de centres de données d'entreprise ou d'un mélange des deux ainsi que de services de cloud privé ou hybride, les solutions basées sur BIG-IP GTM les aident à protéger, faire évoluer et diffuser leurs applications dans le monde entier.