Die Erreichbarkeit gilt als der Heilige Gral: Ob E-Mail, Webseite oder Online-Shopping – alle Online-Services sollten den Nutzern permanent zur Verfügung stehen. Angriffe auf das Domain Name System (DNS) führen allerdings immer öfter zu Störungen und Ausfällen. Für Unternehmen kann das teuer werden. Die eigene DNS-Infrastruktur sollte robust und sicher sein – da kommt Anycast ins Spiel: Mit RcodeZero DNS bietet ipcom GmbH, eine Schwesterfirma der österreichischen Domain-Registrierungsstelle nic.at, seit zehn Jahren den Anycast Service RcodeZero DNS an. Das Produkt stellt den Schutz der DNS-Infrastruktur von Top-Level-Domains (TLDs), Internet Service Providern und Unternehmen sicher.
Höchste Verfügbarkeit und maximaler Schutz
„Unsere Kunden profitieren von höchster Verfügbarkeit, maximalem Schutz bei Distributed Denial-of-Service-Attacken (DDoS) und kürzeren Antwortzeiten“, erklärt Richard Wein, CEO von
nic.atnic.at GmbH und ipcom GmbH. Für die erfahrene Registrierungsstelle nic.at war der Aufbau eines Anycast-Netzwerks die ideale Erweiterung des eigenen Portfolios. RcodeZero DNS steht damit im Wettbewerb mit Services von großen Anbietern wie Amazon oder Google. CEO Wein sieht darin einen Vorteil: „Als kleiner Anbieter sind wir flexibel, haben eine 24/7-Hotline für Kunden, es gibt direkte Ansprechpartner und kein anonymes Callcenter.“ Der Kundenkreis wächst stetig: Mittlerweile nutzen 25 internationale TLDs mit knapp 21 Millionen Domains und über 100 Provider und Unternehmen mit etwa 3,8 Millionen Domains den Anycast Service.
Wie funktioniert RcodeZero DNS?
Normalerweise verfügt jeder Server über eine eigene IP-Adresse, alle Anfragen an diese Adresse gelangen zum gleichen Server. Das kann zu Verzögerungen führen. Die Anycast Server von
RcodeZero DNS sind von Seattle bis Sydney auf der gesamten Welt verteilt und sorgen dafür, dass die Online-Services unter ein und derselben IP-Adresse verfügbar sind. Fällt ein Server aus, springt der topologisch nächstgelegene ein. Damit wird die Antwortzeit verkürzt und die Gesamtlast auf das Netzwerk verteilt. Waren es vor zehn Jahren noch sieben Standorte, gibt es mittlerweile mehr als 40 Standorte aufgeteilt in zwei Clouds. Neben Ungarn, Kunde der ersten Stunde, haben sich im Laufe der Jahre viele weitere europäische Vergabestellen für RcodeZero DNS als sekundären Anycast-Anbieter entschieden. Top-Level-Domains wie .eu, .nl oder .ch nutzen das Produkt zur Absicherung ihrer Infrastruktur.
Zuverlässig und vertrauenswürdig
Zu den Kunden zählen auch große internationale Registrare wie die deutschen Internet-Provider united-domains AG und IONOS oder MarkMonitor, ein Provider aus den USA. Externes Nameservice-Monitoring zeigt, dass das Netzwerk von
RcodeZero DNS einer der zuverlässigsten Anycast Services und ein vertrauenswürdiger globaler Anbieter ist. Dafür wird der Service ständig weiterentwickelt. So ist der Signierservice DNSSEC in jedem Paket von RcodeZero DNS kostenlos inklusive. DNSSEC ist eine Sicherheitserweiterung für das DNS, das die Echtheit und Vollständigkeit von DNS-Transaktionen garantiert. Es wird beispielsweise verhindert, dass User auf manipulierte Webseiten umgeleitet werden.
Drei Fragen an Alexander Mayrhofer, Leiter Forschung & Entwicklung bei nic.at und ipcom: Was sind die größten Herausforderungen beim Betrieb eines Anycast Service?
Die richtige Platzierung der einzelnen Standorte ist eine schwierige Aufgabe. Die Topologie des Internets ist eine über den Globus gestülpte Zweitstruktur, die keinen geografischen Grenzen folgt. Die Standorte an die richtige Stelle zu platzieren, so dass die Benutzer im geografischen Umkreis den schnellsten Server erwischen, ist eine Herausforderung. Unser Operations-Team optimiert ständig. Das Ziel ist es immer, die Geschwindigkeit zu verbessern.
Wie oft gibt es Attacken auf die DNS-Infrastruktur?
Das Internet ist kein freundlicher Raum. Wenn es eine Sicherheitslücke gibt, dann ist es nur eine Frage der Zeit, bis sie genutzt wird. Die Möglichkeiten der Attacken sind groß. Man kann sich nur dagegen wehren, wenn die eigene Infrastruktur eine gewisse Größe aufweist. Wird die Domain auf zwei Nameservern betrieben und liegen diese im selben Rechenzentrum, dann ist die Wahrscheinlichkeit deutlich höher, dass dieser Service ausfällt, als wenn man ihn über viele Standorte verteilt. Es gibt immer mehr Ansätze, den Leuten das Geld aus der Tasche zu ziehen. Viele dieser Attacken zielen darauf ab, jemanden zu erpressen oder stellen eine Racheaktion dar. Das Problem ist, dass man diese Attacken anonym ausführen kann. Die Anzahl nimmt auf jeden Fall zu.
Was genau passiert bei einem Angriff und wie hilft RcodeZero DNS?
Der klassische Fall: Die betroffenen Server werden mit Unmengen von Anfragen überlastet. Damit wird die Anbindung des Servers, auf dem der Service läuft, beeinträchtigt. Das kann dazu führen, dass die Infrastruktur komplett lahmgelegt wird. Alle Dienste wie E-Mail oder Webseite, die unter dieser Domain laufen, sind dann nicht erreichbar. Dabei sind das für Unternehmen wichtige Ressourcen. Solche Attacken werden bei unserer Infrastruktur mit
RcodeZero DNS globaler verteilt. Die Anfragen treffen also auf eine viel stärkere Infrastruktur, das verringert den Effekt. Im besten Fall bekommt der Kunde nichts von der Attacke mit. Der Service läuft normal weiter.
