неделя 1

Управление веб-хостингом
DNS, серверы имен, хостинг

Интернет-имена и адреса
Адреса, например. 129.10.117.100
Компьютерные этикетки для машин
Соответствовать структуре сети
Имена, например www.северо-восток.edu
Этикетки для машин, которые могут использоваться людьми
Соответствовать организационной структуре
Как вы сопоставляете одно с другим?
Система доменных имен (DNS)

История
До DNS все сопоставления были в hosts.txt.
/etc/hosts в Linux
C:\Windows\System32\drivers\etc\hosts в Windows
Централизованная, ручная система
Изменения были отправлены в SRI по электронной почте.
Машины периодически пересылают по FTP новые копии hosts.txt
Администраторы могли выбирать имена по своему усмотрению
Любое имя было разрешено
alans_server_at_sbu_pwns_joo_lol_kthxbye

DNS
В конце концов, система hosts.txt развалилась.
Не масштабируется, SRI не выдерживает нагрузки
Трудно обеспечить уникальность имен
например Массачусетский технологический институт
Массачусетский Институт Технологий?
Мельбурнский технологический институт?
На многих машинах были неточные копии hosts.txt.
Так появился DNS.

DNS на высоком уровне
система доменных имен
Распределенная база данных
Нет централизации
Простая клиент-серверная архитектура
UDP-порт 53, некоторые реализации также используют TCP
Почему?
Иерархическое пространство имен
В отличие от оригинального, плоского пространства имен
например .com  google.com  mail.google.com

Naming Hierarchy
Top Level Domains (TLDs) are at the top
Maximum tree depth: 128
Each Domain Name is a subtree
.edu ? neu.edu ? ccs.neu.edu ? www.ccs.neu.edu
Name collisions are avoided
neu.com vs. neu.edu
Root
edu
com
gov
mil
org
net
uk
fr
etc.
neu
mit
ccs
ece
husky
www
login
mail

Hierarchical Administration
Tree is divided into zones
Each zone has an administrator
Responsible for the part of the hierarchy
Example:
CCIS controls *.ccs.neu.edu
NEU controls *.neu.edu
Root
edu
com
gov
mil
org
net
uk
fr
etc.
neu
mit
ccs
www
login
mail

Иерархия серверов
Функции каждого DNS-сервера:
Власть над частью иерархии
Нет необходимости хранить все DNS-имена
Хранить все записи для хостов/доменов в своей зоне
Может быть воспроизведен для надежности
Знать адреса корневых серверов
Разрешить запросы для неизвестных имен
Корневые серверы знают обо всех TLD
Деньги останавливаются на корневых серверах

Root Name Servers (Корневые серверы имен)
Ответственный за файл корневой зоны
Перечисляет TLD и кто их контролирует
~ 272 КБ в размере
com. 172800 IN NS a.gtld-servers.net.
com. 172800 IN NS b.gtld-servers.net.
com. 172800 IN NS c.gtld-servers.net.
Администрируется ICANN
13 корневых серверов с маркировкой AM
6 являются произвольными, т. е. глобально реплицируются
Связались, когда имена не могут быть разрешены
На практике большинство систем кэшируют эту информацию.

Map of the Roots

Northeastern
Локальные серверы имен
У каждого интернет-провайдера/компании есть локальный сервер имен по умолчанию.
Часто настраивается через DHCP
Хосты начинают DNS-запросы, связываясь с локальным сервером имен.
Часто кешировать результаты запроса

Авторитетные серверы имен
Сохраняет сопоставление имениIP для данного хоста
Northeastern
Root
edu
neu
www.neu.edu
Authority for ‘neu.edu’
Authority for ‘edu’

Базовое разрешение доменных имен
Каждый хост знает локальный DNS-сервер
Отправляет все запросы на локальный DNS-сервер
Если локальный DNS может ответить на запрос, то все готово.
Локальный сервер также является полномочным сервером для этого имени.
Локальный сервер кэшировал запись для этого имени
В противном случае спуститесь по иерархии и найдите авторитетный сервер имен.
Каждый локальный DNS-сервер знает корневые серверы
Используйте кеш, чтобы пропустить шаги, если это возможно
например пропустить корень и перейти непосредственно к .edu, если корневой файл кэшируется

Рекурсивный DNS-запрос
Перекладывает бремя разрешения на сервер имен, к которому обращаются.
Откуда asgard знает, кому пересылать ответы?
Случайные идентификаторы, встроенные в DNS-запросы
Root
com
ns1.google.com
www.google.com
asgard.ccs.neu.edu

Повторный DNS-запрос
Контактный сервер отвечает именем следующего органа в иерархии.
«Я не знаю этого имени, но этот другой сервер может»
Так работает DNS сегодня
Root
com
ns1.google.com
www.google.com
asgard.ccs.neu.edu

Задержка распространения DNS вызвана кэшированием
Сколько из вас приобрели доменное имя?
Вы заметили, что потребовалось ~72 часа, чтобы ваше имя стало доступным?
Эта задержка называется распространением DNS.
Root
com
ns.godaddy.com
www.my-new-site.com
asgard.ccs.neu.edu
Почему этот процесс может завершиться ошибкой для нового DNS-имени?

Кэширование против свежести
Задержка распространения DNS вызвана кэшированием
asgard.ccs.neu.edu
Root
com
ns.godaddy.com
www.my-new-site.com
Файлы зон могут храниться в кэше от 1 до 72 часов.

Записи ресурсов DNS
DNS-запросы имеют два поля: имя и тип.
Ресурсная запись — это ответ на запрос
Четыре поля: (имя, значение, тип, TTL)
Для одного запроса может быть возвращено несколько записей.
Что означают название и значение?
Зависит от типа запроса и ответа

Типы DNS
Тип = А/АААА
Имя = доменное имя
Значение = IP-адрес
A — это IPv4, AAAA — это IPv6.
Тип = НС
Имя = частичный домен
Значение = имя DNS-сервера для этого домена
«Отправьте запрос на этот другой сервер»

Типы DNS, продолжение
Тип = CNAME
Имя = имя хоста
Значение = каноническое имя хоста
Полезно для сглаживания
CDN используют это
Тип = МХ
Имя = домен в адресе электронной почты
Значение = каноническое имя почтового сервера

Обратный поиск
Как насчет сопоставления IPимен?
В отдельной иерархии серверов хранятся обратные сопоставления
Укоренен в in-addr.arpa и ip6.arpa
Дополнительный тип записи DNS: PTR
Имя = IP-адрес
Значение = доменное имя
Не гарантируется существование для всех IP-адресов

DNS как служба косвенного доступа
DNS дает нам очень мощные возможности
Людям не только проще ссылаться на машины!
Изменение IP-адресов машин становится тривиальным
например вы хотите перенести свой веб-сервер на новый хост
Просто измените запись DNS!

Псевдонимы и балансировка нагрузки
У одной машины может быть много псевдонимов
www.reddit.com
www.foursquare.com
www.huffingtonpost.com
*.blogspot.com
david.choffnes.com
alan.mislo.ve
Один домен может сопоставляться с несколькими машинами
www.google.com

Сети доставки контента

Важность DNS
Без ДНС…
Как вы могли попасть на какие-либо веб-сайты?
Вы ваш почтовый сервер
Когда вы регистрируетесь на веб-сайтах, вы используете свой адрес электронной почты
Что, если кто-то захватит DNS вашего почтового сервера?
DNS — это корень доверия для Интернета
Когда пользователь набирает www.bankofamerica.com, он ожидает, что попадет на веб-сайт своего банка.
Что делать, если запись DNS скомпрометирована?

Отказ в обслуживании
Заваливайте DNS-серверы запросами до тех пор, пока они не выйдут из строя
Октябрь 2002 г.: массивный DDoS против корневых серверов имен.
Каков был эффект?
… пользователи даже не заметили
Файл корневой зоны кэшируется почти везде
Более целенаправленные атаки могут быть эффективными
Локальный DNS-сервер  не может получить доступ к DNS
Авторитетный сервер  не может получить доступ к домену

Перехват DNS
Заразить их ОС или браузер вирусом/трояном
например Многие трояны меняют записи в /etc/hosts
*.bankofamerica.com  evilbank.com
Человек посередине
Спуфинг ответа
Подслушивание запросов
Соревнуйтесь с ответами серверов — полезно для цензуры

dns.bofa.com
DNS Spoofing
123.45.67.89
dns.evil.com
66.66.66.93

Отравление кэша DNS
До истечения TTL все запросы BofA к dns.neu.edu будут возвращать отравленный результат.
Гораздо хуже, чем спуфинг/человек посередине
Целые интернет-провайдеры могут быть затронуты!
ns1.google.com
dns.neu.edu

Как злоумышленник получит доступ к кэшу? 2 пути
1. Сообщите резолверу, что NS для жертвы находится на IP-адресе противника.
Выдать запрос: subdomain.attacker.example IN A
Ответ злоумышленника:
Ответ: (нет ответа)
Раздел полномочий: атакующий.пример. 3600 IN NS ns.target.example.
Дополнительный раздел: ns.target.example. IN A w.x.y.z

Как злоумышленник получит доступ к кэшу? 2 пути
2. Перенаправить NS-запись на домен противника
Выдать запрос: subdomain.attacker.example IN A
Ответ: (нет ответа)
Раздел полномочий:
Цель.пример. 3600 IN NS ns.attacker.example.
Дополнительный раздел:
Ns.атакующий.пример. IN A w.x.y.z

Решение: DNSSEC
Криптографически подписывать важные записи ресурсов
Резолвер может проверить криптографическую подпись
Два новых типа ресурсов
Тип = DNSKEY
Имя = доменное имя зоны
Значение = открытый ключ для зоны
Тип = RRSIG
Имя = (тип, имя) кортеж, т.е. сам запрос
Значение = криптографическая подпись результатов запроса.
Развертывание
На корнях с июля 2010 года
Verisign включила его на .com и .net в январе 2011 г.
Comcast - первый крупный интернет-провайдер, который его поддерживает (январь 2012 г.)

Иерархия доверия DNSSEC
dns.bofa.com
.com (Verisign)
Root Zone (ICANN)
dns.evil.com

Решает ли DNSSEC все наши проблемы?
Нет.
DNS по-прежнему уязвим для отраженных атак + внедренные ответы

Так как это работает?
Помните: DNS — это UDP
Нет рукопожатия между конечными точками
Я могу отправить DNS-запрос с поддельным IP-адресом, и ответ будет отправлен на этот IP-адрес.
Секретный источник: небольшой запрос, который может вызвать большой ответ
Например, запрос файлов зон или записей DNSSEC (оба типа больших записей).
Хосты ботнета подделывают DNS-запросы с IP-адресом жертвы в качестве источника
Resolver отвечает, отправляя огромные объемы данных жертве

Проиллюстрировано усиление DNS
Хосты, зараженные ботнетом
Open Resolver
Victim

Усиление не уникально для DNS
NTP — это последний протокол, который можно использовать таким образом:
http://www.prolexic.com/news-events-pr-threat-advisory-ddos-ntp-amplification.html
(Использование команды NTP Monlist, которая возвращает список из 600 последних хостов для подключения к серверу NTP)

DNS и цензура
DNS — популярный протокол для нацеливания интернет-цензуры.
Несколько вещей, которые нужно иметь в виду…
Отсутствие криптографической целостности сообщений DNS
DNSSEC предложен, но не получил широкого распространения
Кэширование ответов означает, что утечка неверных данных DNS может продолжаться

Blocking DNS Names

Блокировка DNS-имен
Может ли цензура оказывать давление на интернет-провайдеров?
Просто принудительно введите запись в рекурсивном распознавателе, чтобы отравить результаты для данного домена.
Клиенты могут легко обойти это, используя альтернативные службы DNS.
Например, Google 8.8.8.8.
…но это требует изменений клиента
Кроме того, интернет-провайдеры не должны блокировать сторонние DNS-запросы, чтобы это работало.
Первоначально использовался интернет-провайдерами в Великобритании для блокировки Pirate Bay.

This diagram assumes ISP
DNS Server is complicit.
DNS Server
(2.1.2.3)
Типы ложных ответов DNS
Home connection
(2.1.2.4)
3rd Party DNS Server
(8.8.8.8)
DNS QTYPE A
www.censored.com
NXDOMAIN
DNS RESPONSE A
127.0.0.1
DNS RESPONSE A
192.168.5.2
DNS RESPONSE A
159.106.121.75
Block page server
(192.168.5.2)
DNS RESPONSE A
1.2.3.5
(correct IP)

Блокировка DNS-имен
Вариант A: получить резолвер провайдера на борту
(предыдущий слайд)
Вариант B: внедрение пакетов по пути
Цензор вводит ответ DNS, который конкурирует с законным ответом
В основном этому можно противостоять с помощью DNS-hold-open:
Не принимайте первый ответ, а вместо этого подождите до второго
Обычно надежен при использовании рекурсивного разрешения за пределами страны (например, 8.8.8.8, цензурный пакет должен выиграть гонку)
Можно полностью противостоять DNS-hold-open + DNSSEC
Примите первый ответ DNS, который подтверждает

Что такое веб-хостинг?
Веб-хостинг — это место, где компания хранит собственные веб-сайты.

Типы веб-хостинга

Shared Hosting
Вашему сайту предоставляется раздел сервера, который используется совместно с другими веб-сайтами. Это самый распространенный вид хостинга, и самый доступный.

Dedicated Server Hosting (Хостинг на выделенном сервере)

Совместный хостинг серверов
Самый продвинутый уровень хостинга, когда вы владеете сервером, а хостинговая компания просто обеспечивает его обслуживание.

Как выбрать лучший веб-хостинг?
Чтобы выбрать оптимальный веб-хостинг, сначала подумайте, каковы ваши потребности.

Лучший хостинг-провайдер

Функции
Передача данных и место на диске — не единственное, на что следует обратить внимание при выборе хоста.
Гарантия безотказной работы 99,9%
Высокий уровень пропускной способности
круглосуточная поддержка
30-дневная гарантия возврата денег

2. Публикация на веб-сайте
Чтобы сделать ваш веб-сайт доступным для аудитории, вы должны опубликовать его на действующем веб-сервере.
Публикация вашего сайта на работающем сервере включает в себя приобретение места на сервере и загрузку всех файлов вашего сайта.

2. Публикация на веб-сайте
Место на сервере
Веб-сервер — это «компьютер, подключенный к Интернету, который используется для хранения веб-страниц».
Веб-сервер запускает серверное программное обеспечение, которое позволяет ему «обслуживать» веб-страницы и связанные с ними файлы по запросу из браузера.
Существуют тысячи веб-хостинговых компаний, предлагающих персональное или малому бизнесу серверное пространство за скромную ежемесячную плату.

2. Публикация на веб-сайте
Примеры веб-хостинга в Малайзии

Публикация веб-сайта

2. Публикация на веб-сайте
Чтобы найти подходящую услугу веб-хостинга, вы должны получить ответ на следующий вопрос:
Какова ежемесячная/годовая плата за размещение личного или коммерческого веб-сайта?
Сколько места на сервере выделено для ежемесячной/годовой платы? Сколько стоит дополнительное место?
Какая техническая поддержка предлагается и когда она доступна?
Каково самое продолжительное запланированное время простоя в месяц для процедур обслуживания и резервного копирования?

2. Публикация на веб-сайте
Поддерживает ли служба веб-хостинга мультимедийные языки сценариев, апплеты или другие элементы, связанные с вашим сайтом и его страницами?
Как файлы вашего веб-сайта загружаются на сервер? Какова процедура обновления и повторной публикации страниц на вашем сайте? Ограничивает ли служба веб-хостинга количество, размер или тип файлов, которые можно загружать?

2. Web Site Publishing
Загрузка папок и файлов веб-сайта.
Веб-сайт публикуется, когда файлы, составляющие ваш сайт, загружаются на указанную службу веб-хостинга.
Вы должны загрузить папки и их содержимое, например документы HTML и CSS, изображения, мультимедийные файлы и т. д.
Для загрузки файлов вы можете использовать программное обеспечение FTP-клиента.

2. Web Site Publishing
Протокол передачи файлов (FTP) — это стандартный протокол или набор правил для загрузки и скачивания файлов через Интернет.
FTP обычно используется для загрузки файлов на веб-сервер.
Программное обеспечение FTP-клиента — это один из вариантов загрузки папок и файлов вашего веб-сайта.
Программное обеспечение FTP-клиента предоставляет пользовательский интерфейс для передачи файлов, например, CuteFTP, SmartFTP или FileZilla.

2. Публикация на веб-сайте
Пример CuteFTP для загрузки папки и файлов на веб-сервер.

2. Web Site Publishing
Повторное тестирование опубликованных страниц.
После того, как ваши файлы были загружены или опубликованы на работающем сервере, вы должны проверить следующие элементы на своем веб-сайте:
Убедитесь, что все изображения отображаются правильно.
Убедитесь, что битых ссылок нет.
Убедитесь, что все интерактивные элементы, такие как формы, работают правильно.

2. Публикация на веб-сайте
Если необходимы какие-либо изменения, исправьте файлы подкачки на локальном компьютере, а затем загрузите исправленный файл подкачки на сервер.
Просмотрите контент, особенно если он содержит информацию о расписании или дате, которая может быть конфиденциальной.

3. Обслуживание веб-сайта
Интернет — это динамичная среда, в которой быстрые изменения технологий и ожиданий посетителей могут привести к тому, что сайты быстро устареют.
Веб-дизайн — это непрерывный процесс, и работа по разработке, созданию и поддержке веб-сайта никогда не заканчивается.

3. Обслуживание веб-сайта
Текущее обслуживание, обновление и повторное тестирование.
Важно регулярно поддерживать, обновлять и повторно тестировать элементы веб-сайта.
Это заставляет аудиторию возвращаться.

3. Обслуживание веб-сайта
В рамках плана текущего обслуживания вы должны сделать следующее:
Добавляйте своевременный контент. Например, меняйте фотографии, добавляйте новый контент, сообщайте о предстоящих событиях и давайте своевременные советы или создайте часто обновляемый блог.
Проверьте наличие неработающих ссылок и добавьте новые ссылки.
Включите способ получения обратной связи от пользователей и действуйте в соответствии с этой обратной связью.

3. Обслуживание веб-сайта
Оценивайте и внедряйте новые технологии, если они могут способствовать достижению целей вашего сайта и повысить его доступность и удобство использования.
Периодически тестируйте функции сайта.

3. Обслуживание веб-сайта
4 шага в обслуживании и обновлении веб-сайта:
При необходимости загрузите нужную веб-страницу с веб-сервера на свой компьютер для работы с самой последней версией страницы.
Обновите веб-страницу.
Откройте веб-страницу.
Откройте веб-страницу в браузере и проверьте изменения и отображение страницы.
Если изменения и отображение страницы приемлемы, то загрузить обновленную страницу на сервер, заменив существующую страницу.