Кто присунул яндексу NS?

Question

[MrAloof]

В эти выходные как-то не стабильно работают Яндекс-сервисы. Многие жалуются на недоступность VK, диска и прочего.
downdetector.ru/ne-rabotaet/yandex
Сам Яндекс, собственно, отпихивается "у нас все работает, трясите своих провайдеров".

В понедельник зашевелился корпоративный сегмент :-)
Начинаем разбираться - лажа с DNS. У некоторых "Умные железки" сделали dns trap на многие имена третьего уровня *.yandex.ru

Что же не так с DNS?
Смотрим:

по данным WHOIS.NIC.RU:
domain:       YANDEX.RU
nserver:      ns1.yandex.ru.
nserver:      ns2.yandex.ru.
nserver:      ns9.z5h64q92x9.net
state:        REGISTERED, DELEGATED
admin-contact:https://www.nic.ru/cgi/whois_webmail.cgi?domain=YANDEX.RU
org:          YANDEX, LLC.
registrar:    RU-CENTER-RU
created:      1997.09.23
paid-till:    2017.10.01
source:       RU-CENTER

>>> Last update of WHOIS database: 2017.06.05T12:19:13Z <<<

Что это за ns9.z5h64q92x9.net появился ВНЕЗАПНО

судя по истории

ПРОМЕЖУТОК ВРЕМЕНИ
ДАННЫЕ WHOIS ЗА ЭТОТ ПРОМЕЖУТОК ВРЕМЕНИ

с 2014.10.01 по настоящее время

<code>domain:        YANDEX.RU
nserver:       ns1.yandex.ru. 213.180.193.1, 2a02:6b8::1
nserver:       ns2.yandex.ru. 93.158.134.1, 2a02:6b8:0:1::1
state:         REGISTERED, DELEGATED, VERIFIED
org:           YANDEX, LLC.
registrar:     RU-CENTER-RU
created:       1997.09.23
paid-till:     2015.10.01
free-date:     2015.11.01</code>

с 2013.10.30 по 2014.09.30

domain:        YANDEX.RU
nserver:       ns1.yandex.ru. 213.180.193.1, 2a02:6b8::1
nserver:       ns2.yandex.ru. 93.158.134.1, 2a02:6b8:0:1::1
state:         REGISTERED, DELEGATED, VERIFIED
org:           YANDEX, LLC.
registrar:     RU-CENTER-REG-RIPN
created:       1997.09.23
paid-till:     2014.10.01
free-date:     2014.11.01

На первый взгляд принадлежит Яндексу и ведёт в финляндию.

Что это? Яндекс развлекается или MiTM?

Comments

[Dimonchik]

Are you from Ukraine ?

[MrAloof]

No

[123459]

z5h64q92x9.net

forum.maxthon.com/index.php?/topic/18337-how-to-ad... - погуглите в тексте адрес

https://productforums.google.com/forum/#!topic/ads...

https://vc.ru/n/safe-internet-for-kids#comment313473

погуглите https://z5h64q92x9.net/proxy_u

судя по всему запасной домен яндекса, но я бы переспросил в поддержке яндекса

[MrAloof]

123459: Ок, значит этот домен как минимум светится больше полугода, имеет валидный ssl и заподозрен в фишинге...

Answer 1

[kazatchkoff]

https://geektimes.ru/post/289801/

Comments

[MrAloof]

Читал. Тут не только блокировка ip.
Смущает появление ns со странным именем. Пока не прояснится, ссыкотно пароли на сервисах Яндекса вводить :-) куда там этот ns заведёт...

[sim3x]

MrAloof: если НС приведет на какой-то сайт и там сертификат не яндекса - тогда стоит волноваться

[MrAloof]

Он может привести на какой то прокси который подсунет валидный сертификат.

Answer 2

[Владимир Дубровин]

Это нормальная практика - разводить DNS-серверы по разным сетям, в случае потери сетевой связанности адрес все равно будет разрешаться. А сетевая связанность может теряться не только из-за технических сбоев, но и из-за событий на Украине, например. То, что адрес вынесен в отдельный домен, позволяет быстро его сменить, не дожидаясь обновления зоны .ru, которое происходит всего несколько раз в сутки.

Comments

[MrAloof]

Не тот случай. Проблему, как вы говорите, "связности" решают ns1 и ns2 из разных сетей. И динамическая маршрутизация. Так же никто не запрещает сделать несколько A записей.

Про обновление зоны ru - это к чему? У yandex.ru refresh 10 минут.
Хорошо, у яндекса есть домен yandex.net - почему не его использовали?
То что один из NS "вынесен в отдельный домен" никаких преимуществ в быстрой смене не даёт...

[Владимир Дубровин]

MrAloof: что делать, когда, например, на украине заблокировали ns1 и ns2 из разных сетей?

[MrAloof]

Владимир Дубровин: Что вы подразумеваете? Заблокировали IP адреса этих серверов?
1. Ничего не делать, так как это законное решение государства и зачем яндексу противостоять блокировке?
2. Просто сменить/добавить IP адреса у ns1 и ns2 - и обновление произойдет быстрее чем добавление в зону еще одного ns

Как в случае блокировки поможет добавление ns9.z5h64q92x9.net?

[Владимир Дубровин]

MrAloof:
это пример. Я не думаю, что это сделано специально для Украины. Но вообще, если я не в юрисдикции данного государства, мне несколько плевать на его законные решения, ограничивающие мою деятельность, если моя деятельность не нарушает международное право.

2. Просто сменить/добавить IP адреса у ns1 и ns2 - и обновление произойдет быстрее чем добавление в зону еще одного ns

И добавление в зону еще одного NS и смена имеющихся NS в зоне может занимать до 6 часов в зоне .ru. Но для ns9.z5h64q92x9.net этого не требуется, достаточно поменять A-запись, что может быть сделано за время TTL (15 минут и может быть понижено при желании).