<div dir="ltr">... o simplemente le pones solo dirección IPv4 a unos recursivos y solo IPv6 a otros recursivos, si no entendí mal el problema.<div><br></div><div>Saludos,</div><div>Nico</div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">El mar., 22 de oct. de 2019 a la(s) 20:09, Nico via dns-esp (<a href="mailto:dns-esp@listas.nic.cl">dns-esp@listas.nic.cl</a>) escribió:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="auto">Hola Douglas,<div dir="auto">No lo probé, pero si utilizas dnsdist, podes armar dos pools de nameservers con su correspondiente cache independiente. </div><div dir="auto">Luego generas reglas que si src es ipv4 va a un cache/pool y si es ipv6 va a otro. </div><div dir="auto">De esta manera, también los backend dns pueden operar solo sobre ipv4 o ipv6</div><div dir="auto"><br></div><div dir="auto">Saludos </div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Oct 22, 2019, 18:46 Mauricio Vergara Ereche via dns-esp &lt;<a href="mailto:dns-esp@listas.nic.cl" target="_blank">dns-esp@listas.nic.cl</a>&gt; wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div>Hola!</div><div><br></div>Complementando un poco los comentarios de Hugo y Douglas, recordé el keynote que dio Dave Dagon, un investigador que se especializa en temas de seguridad del Georgia Tech y que dio a principios de este año en el ICANN DNS Symposium donde habló precisamente sobre sus estudios de uso sobre EDNS-Client-subnet, su adopción en el mundo y cómo muchas veces terminaban haciendo un leak de privacidad no intencional afuera.<div><br></div><div>Por si a alguien le interesa, los slides:<br><div><a href="https://www.icann.org/sites/default/files/packages/ids-2019/02-dagon-icann-ids2019-10may19-en.pdf" rel="noreferrer" target="_blank">https://www.icann.org/sites/default/files/packages/ids-2019/02-dagon-icann-ids2019-10may19-en.pdf</a><br></div></div><div><br></div><div>Y el audio de ese día (empieza app a los 0:36:30)</div><div><a href="https://icann.zoom.us/recording/play/d2W2BusSHGj1rjkNL7N6vv3aqnAXpNptl1Yfe_HmLbj2M-z2j1HS_gKljwcPgH2Q?startTime=1557454159000" rel="noreferrer" target="_blank">https://icann.zoom.us/recording/play/d2W2BusSHGj1rjkNL7N6vv3aqnAXpNptl1Yfe_HmLbj2M-z2j1HS_gKljwcPgH2Q?startTime=1557454159000</a><br></div><div><br></div><div>Saludos!</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Oct 22, 2019 at 1:18 PM Douglas Fischer via dns-esp &lt;<a href="mailto:dns-esp@listas.nic.cl" rel="noreferrer" target="_blank">dns-esp@listas.nic.cl</a>&gt; wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Concordo contigo que EDNSO Client-Subnet &quot;resolveria&quot; o problema!<br><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Mas aí encontramos, como você bem disse, os problemas da vida real...<br><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">1- Muitos ISPs usando Recursivos com versões sem suporte a EDNS0, ou sem as configurações corretas para isso.</div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">1.1 - Um exemplo de configurações incorretas são recursivos de diversos ISPs mandando Redes Inválidas como Client-Subnet.</div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small"><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">2- Firewalls mais antigos, sem suporte a EDNS, no meio do caminho interferindo nas perguntas com EDNS0.</div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small"><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">3- Assim com apontando na questão do DNS64, a questão da privacidade está também interferindo nisso!<br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Existem diversas orientações para se desligar a feature de Client-Subnet nos recursivos.</div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Inclusive, se não estou enganado, o Quad9 não encaminha Client-Subnet propositalmente.<br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small"><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">4- Desconsiderando as CDNs diretas dos próprios Content-Providers(Google, Facebook, Netflix) e focando só nas comerciais... Fora a Cloudflare, quem mais está usando EDNS0-Client-Subnet?<br><br><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Mas essas são Advinhações de minha parte.<br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">O correto mesmo seria pensar num método para verificar e medir isso.<br><br></div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small">Considerando o quanto é complexo o ecosistema de DNS, não sei nem aonde seria o lugar certo para pensar em fazer essas medições.</div><div class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small"><br></div><span class="gmail_default" style="font-family:&quot;courier new&quot;,monospace;font-size:small"></span></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">Em ter, 22 de out de 2019 às 15:12, Hugo Salgado-Hernández &lt;<a href="mailto:hsalgado@nic.cl" rel="noreferrer" target="_blank">hsalgado@nic.cl</a>&gt; escreveu:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Hola Douglas! Português é bom! ;)<br>
Obrigado pela contribuição.<br>
<br>
Respecto a lo que mencionas, entiendo que esto se resuelve con el<br>
uso de la extensión EDNS0 client-subnet. Me parece que las CDNs<br>
hacen uso masivo de esa extensión, justamente para retornar<br>
respuestas cercanas al cliente final.<br>
<br>
En el caso de tu ejemplo la query de e) debería ir con un ECS<br>
como <a href="http://200.189.189.0/24" rel="noreferrer noreferrer" target="_blank">200.189.189.0/24</a>, y la respuesta debiera ser cacheada<br>
considerando ese &quot;source prefix-length&quot;. Entonces cuando en<br>
h) venga una query con source 2001:189:190::/48 el cache no<br>
debiera reutilizar su respuesta anterior, y debe pasarla al<br>
upstream, que en este caso considerante ese source debería<br>
responder con la 2001:1:1::80.<br>
<br>
Esto se encuentra en el RFC7871, sección 7.3.<br>
<br>
Sin embargo, esto es la teoría ;) si tu has encontrado el problema<br>
en el mundo real, sería interesante armar un laboratorio de prueba<br>
y reproducirlo! Podríamos mandar un bug report a los desarrolladores<br>
de los recursivos culpables.<br>
<br>
[]s,<br>
<br>
Hugo<br>
<br>
On 16:42 18/10, Douglas Fischer wrote:<br>
&gt; Olá a todos!<br>
&gt; Uma saudação principal aqueles que estavam no BoF de DNS no LACNIC32.<br>
&gt; <br>
&gt; Bom, o nome da lista é &quot;DNS em Espanhol&quot;, mas vou tomar a liberdade de<br>
&gt; escrever em português...<br>
&gt; (Consultei os colegas, e me disseram que não haveria problemas).<br>
&gt; <br>
&gt; Para meu primeiro contato com o Working Group, resolvi trazer a tona aquele<br>
&gt; tema que comentei na reunião presencial.<br>
&gt; <br>
&gt; *** Caches Separados para DNS Recursivo para IPv6 e para IPv4. ***<br>
&gt; *** Como fazer uma análise para verificar se isso é realmente efetivo? ***<br>
&gt; <br>
&gt; Apenas para clarificar:<br>
&gt; Não falo e eliminar resposta v4 das consultas para o socket v6 e nem<br>
&gt; eliminar respostas v6 para cunsultas feitas para o socket v4.<br>
&gt; <br>
&gt; Essa teoria tem a ver com a formação dos caches e com a diferença da tabela<br>
&gt; de roteamento IPv4 e IPv6<br>
&gt; <br>
&gt; <br>
&gt; Vou tentar exemplificar:<br>
&gt; a - Imagine que uma CDN(Akamai, Azion, EdgeCast, etc...) tenha os seguintes<br>
&gt; nodos:<br>
&gt;  a.1 - São Paulo - 200.1.55.80 - 2001:1:55:80<br>
&gt;  a.2 - Miami - 200.1.1.80 - 2001:1:1::80<br>
&gt; b - Quando um cliente acessa algum site que use essa CDN para entrega de<br>
&gt; conteúdo, ele provavelmente vai receber alguma coisa como<br>
&gt; <a href="https://staticcontent.siteacessed.com/photoofthecompany.png" rel="noreferrer noreferrer" target="_blank">https://staticcontent.siteacessed.com/photoofthecompany.png</a>.<br>
&gt; c - A primeira coisa que vai acontecer é que a empresa <a href="http://siteacessed.com" rel="noreferrer noreferrer" target="_blank">siteacessed.com</a> vai<br>
&gt; apontar <a href="http://staticcontent.siteacessed.com" rel="noreferrer noreferrer" target="_blank">staticcontent.siteacessed.com</a> para a CDN. Provavelmente com um<br>
&gt; CNAME para <a href="http://siteacessed.somecdnname.net" rel="noreferrer noreferrer" target="_blank">siteacessed.somecdnname.net</a>.<br>
&gt; d - Imaginando um end-user usando IPv4 (200.189.189.189) de um ISP no Rio<br>
&gt; de Janeiro esteja acessando esse site, ele vai mandar para o NS recursivo<br>
&gt; usando IPv4 (200.189.180.53) do ISP a pergunta: ?<a href="http://siteacessed.somecdnname.net" rel="noreferrer noreferrer" target="_blank">siteacessed.somecdnname.net</a><br>
&gt; ?<br>
&gt; e - O Recursivo vai fazer a consulta e vai perguntar para os NS<br>
&gt; autoritativo(x.y.z.53) da CDN ?<a href="http://siteacessed.somecdnname.net" rel="noreferrer noreferrer" target="_blank">siteacessed.somecdnname.net</a>?<br>
&gt; f - O mecanismo inteligente do Autoritativo da CDN vai analisar que o<br>
&gt; servidor que está mais &quot;PERTO&quot; desse cliente é o nodo de São Paulo, e vai<br>
&gt; responder<br>
&gt;     A -&gt; 200.1.55.80<br>
&gt;     AAAA -&gt; 2001:1:55::80<br>
&gt; g - O end-user vai acessar o conteúdo em 200.1.55.80,<br>
&gt; RioDeJaneiro-&gt;SãoPaulo_SãoPaulo-&gt;RioDeJaneiro e vai ser feliz...<br>
&gt; ---<br>
&gt; Até aqui tudo normal<br>
&gt; ---<br>
&gt; h - Agora um outro end-user desse mesmo ISP do Rio de janeiro, usando IPv6<br>
&gt; 2001:189:190::1234, resolve acessar o mesmo conteúdo que o usuário<br>
&gt; anterior, e vai mandar a pergunta ?<a href="http://siteacessed.somecdnname.net" rel="noreferrer noreferrer" target="_blank">siteacessed.somecdnname.net</a>? para o<br>
&gt; mesmo NS recursivo só que por IPv6 (2001:189:180::53)<br>
&gt; i -  Acontece que agora o NS Recursivo tem no Cache as duas respostas... E<br>
&gt; vai mandar para o end-user.<br>
&gt;     A -&gt; 200.1.55.80<br>
&gt;     AAAA -&gt; 2001:1:55::80<br>
&gt; j - O end-user vai pegar essa resposta e vai tentar acessar 2001:1:55::80<br>
&gt; que é de São Paulo. Porém, por uma diferença nas políticas de roteamentos<br>
&gt; dos ASNs envolvidos, para acesssar esse IPv6, os pacotes tem que ir<br>
&gt; RioDeJaneiro-&gt;Miami-&gt;SãoPaulo_SãoPaulo-&gt;Miami-&gt;RioDeJaneiro...<br>
&gt; <br>
&gt; <br>
&gt; A diferença entre J e G é absurda... Certo?<br>
&gt; <br>
&gt; Para resolver isso, o que as CDNs fazem?<br>
&gt;  -&gt; Reduzem o TTL para 1 minuto...<br>
&gt; Bom, sabemos que isso não é saudável. E além de resolver completamente,<br>
&gt; pode também causar o problema contrário... No caso de a primeira pergunta<br>
&gt; depois da expiração do cache ser em IPv6.<br>
&gt; <br>
&gt; <br>
&gt; A minha proposta é que para contornar isso, os ISPs criem servidores<br>
&gt; separados para v4 e para v6:<br>
&gt; - Server v4 só responde para IPv4, prefere fazer perguntas aos<br>
&gt; autoritativosm em IPv4<br>
&gt; - Server v6 só responde para IPv6, prefere fazer perguntas aos<br>
&gt; autoritativosm em IPv6<br>
&gt; <br>
&gt; <br>
&gt; Pronto. Contei a história!<br>
&gt; E aí? Faz algum sentido para os senhores?<br>
&gt; <br>
&gt; Se faz sentido, como criar comprovar isso?<br>
&gt; <br>
&gt; -- <br>
&gt; Douglas Fernando Fischer<br>
&gt; Engº de Controle e Automação<br>
<br>
&gt; _______________________________________________<br>
&gt; dns-esp mailing list<br>
&gt; <a href="mailto:dns-esp@listas.nic.cl" rel="noreferrer" target="_blank">dns-esp@listas.nic.cl</a><br>
&gt; <a href="https://listas.nic.cl/mailman/listinfo/dns-esp" rel="noreferrer noreferrer" target="_blank">https://listas.nic.cl/mailman/listinfo/dns-esp</a><br>
<br>
_______________________________________________<br>
dns-esp mailing list<br>
<a href="mailto:dns-esp@listas.nic.cl" rel="noreferrer" target="_blank">dns-esp@listas.nic.cl</a><br>
<a href="https://listas.nic.cl/mailman/listinfo/dns-esp" rel="noreferrer noreferrer" target="_blank">https://listas.nic.cl/mailman/listinfo/dns-esp</a><br>
</blockquote></div><br clear="all"><br>-- <br><div dir="ltr"><font size="2"><span style="font-family:&quot;courier new&quot;,monospace">Douglas Fernando Fischer</span><br style="font-family:&quot;courier new&quot;,monospace"><span style="font-family:&quot;courier new&quot;,monospace">Engº de Controle e Automação</span></font><div style="padding:0px;margin-left:0px;margin-top:0px;overflow:hidden;color:black;text-align:left;line-height:130%;font-family:&quot;courier new&quot;,monospace"></div></div>
_______________________________________________<br>
dns-esp mailing list<br>
<a href="mailto:dns-esp@listas.nic.cl" rel="noreferrer" target="_blank">dns-esp@listas.nic.cl</a><br>
<a href="https://listas.nic.cl/mailman/listinfo/dns-esp" rel="noreferrer noreferrer" target="_blank">https://listas.nic.cl/mailman/listinfo/dns-esp</a><br>
</blockquote></div><br clear="all"><div><br></div>-- <br><div dir="ltr"><div dir="ltr"><div><div dir="ltr"><span style="font-size:12.8px">Mauricio Vergara Ereche</span><br></div><div><a href="http://about.me/mave" rel="noreferrer" target="_blank">about.me/mave</a></div><div><br></div></div></div></div>
_______________________________________________<br>
dns-esp mailing list<br>
<a href="mailto:dns-esp@listas.nic.cl" rel="noreferrer" target="_blank">dns-esp@listas.nic.cl</a><br>
<a href="https://listas.nic.cl/mailman/listinfo/dns-esp" rel="noreferrer noreferrer" target="_blank">https://listas.nic.cl/mailman/listinfo/dns-esp</a><br>
</blockquote></div>
_______________________________________________<br>
dns-esp mailing list<br>
<a href="mailto:dns-esp@listas.nic.cl" target="_blank">dns-esp@listas.nic.cl</a><br>
<a href="https://listas.nic.cl/mailman/listinfo/dns-esp" rel="noreferrer" target="_blank">https://listas.nic.cl/mailman/listinfo/dns-esp</a><br>
</blockquote></div>