DNS géo-distribué, sans Anycast
Beaucoup d'hébergeurs écrivent « Anycast DNS » dès qu'ils ont plus d'un serveur de noms. Chez nous, l'architecture est géo-distribuée en unicast — et nous préférons le dire clairement.
Le modèle
- Un maître caché à Montréal détient les zones et n'est pas exposé au public.
- Quatre serveurs publics (ns1 à ns4) reçoivent les zones par transfert authentifié (TSIG).
- Les zones sont signées DNSSEC.
Les serveurs publics sont à Montréal, Toronto, Paris et Seattle. Si l'un tombe, les autres continuent de répondre.
Anycast vs multi-NS
| Multi-NS (notre cas) | Anycast | |
|---|---|---|
| Adresses | Une IP (ou un jeu d'IP) par serveur | La même IP annoncée depuis plusieurs sites |
| Routage | Le résolveur choisit parmi les NS du domaine | BGP envoie le client vers le site « le plus proche » |
| Complexité | Maîtrisable pour une PME hébergeur | Exige un réseau et un peering sérieux |
Les deux approches peuvent être excellentes. Ce qui nuit à la crédibilité, c'est d'utiliser le mot Anycast pour décrire un simple jeu de NS géo-répartis.
Pourquoi ça suffit pour nos clients
Pour un site d'entreprise, de camping ou d'agence au Québec, la latence qui compte le plus est souvent celle du premier octet HTML et des assets — servis depuis Montréal — pas uniquement le lookup DNS. Un DNS résilient et signé reste toutefois une base saine : moins de points de défaillance uniques, et une protection contre le détournement de réponses.