تم نقل خادم البريد الإلكتروني الخاص بنا () إلى خادم المعدن العاري الذي ترعاه شركة Xenyth في تورونتو. نحن الآن نستخدم مساحة IP نظيفة تم الإعلان عنها عبر BGP مع نظام AS لتحسين قابلية تسليم البريد الإلكتروني من خلال عدم وجود جيران IP/AS يرسلون رسائل مزعجة.

@bkong_a على سبيل المثال، خادم تورونتو لدينا لديه زينيث كمزود مباشر لنا. تقوم Xenyth بتوجيه الخطوط عبر بنيتها التحتية إلى مصادرها العليا (Arelion، GTT، Zayo وأيضا Hurricane Electric التي تعمل فقط على IPv6) ونظيراتها (على منصات Onix وTorIX إلى جانب نظائر خاصة مثل Google).

@bkong_a لدينا نظام AS خاص بنا (AS) لتنفيذ شبكاتنا وتوجيهاتنا. نستخدمها للإعلان عن مساحة IP الخاصة بنا لمزودي الخدمة والتحكم في كيفية استخدام الإعلانات من قبل المصادر الصالية. بالنسبة لشبكات DNS anycast لدينا، نحتاج إلى إجراء هندسة حركة مرور شاملة.

@bkong_a بالنسبة ل anycast DNS، لدينا 11 موقعا ل ns1 و9 مواقع ل ns2. إليك مثالا على كيفية عمل هندسة المرور من موقعنا ns1 Vultr فرانكفورت: نتحكم في أي الجهات العليا/الأقران يستقبلون مساراتنا من Vultr ونضبط التوجيه للأعلى (upstream).

@bkong_a لا يوجد لدينا حاليا خوادم لديها عدة بثوان منفصلة مباشرة بنفسها. هذا يعني أننا لا نملك بعد حالة استخدام لاستيراد المسارات من القنوات العليا وضبط الأماكن التي نوجه فيها بناء على توجيه BGP. نخطط للقيام بذلك لخادم قادم واحد.

@bkong_a حاليا، نحن فقط نصدر مساراتنا إلى المسار المباشر الوحيد من كل خادم نستخدم فيه BGP. بالنسبة لنماذج DNS في anycast، نعلن عن IPv4 /24 وIPv6 /48 للاستخدام الإنتاجي بالإضافة إلى IPv6 /48 آخر لتجارب هندسة المرور.

@bkong_a Anycast يعني أن نفس كتلة IP تعلن في عدة مواقع، لذا سيقرر المزودون بناء على قرارات التوجيه الموزعة بالإجماع. بشكل عام، يفضل الخطوط الأقصر والمسارات التي يتقاضون أجرا مقابلها (عملاء النقل العام) مفضلة على الطرق التي لا يفعلون بها.

@bkong_a بالنسبة لموقعنا في تورونتو، نعلن أيضا عن بث أحادي IPv4 /24 وIPv6 /48. كتل IPv4 /24 و IPv6 /48 هي أصغر وحدات مدعومة للتوجيه عبر الإنترنت العام، ولهذا السبب تستخدم هذه الكتل. يمكن استخدام كتل أصغر داخل Xenyth أو شبكتنا الخاصة أيضا.

@bkong_a خادم Xenyth لدينا يقوم ببعض التوجيه الفعلي بنفسه لأنه يحتوي على حاويتين: واحدة توفر نسخة DNS لنظام ns2 anycast والأخرى توفر خادم البريد الخاص بنا. لدينا فقط هذا التوجيه مهيأ بشكل ثابت، لكن من الناحية التقنية من الممكن استخدام BGP لذلك.

@Avamander @HSVSphere Stalwart لم يكن موجودا عندما بدأنا استضافة بريدنا الإلكتروني. لم يكن متاحا كخيار، واستغرق الأمر وقتا حتى يبدأ في أن يصبح أكثر اكتمالا ونضجا. يبدو الأمر مثيرا للاهتمام لكن لدينا خادم بريد إنتاجي ولا يمكننا استبداله بسهولة أو تجربة تنفيذ جديد.

@Avamander @HSVSphere هناك صناديق وسطى تعاني من مشاكل في توافق DNSSEC ويعتمد بشكل ضعيف مقارنة بمعظم خوادم حل DNS الكبرى ومزودي DNS المستقلين الذين ينفذونه. وينطبق الأمر نفسه على الكثير من الأشياء مثل QUIC وWebRTC. DNSSEC يعمل بشكل جيد عمليا وهو ذو قيمة كبيرة.

@Avamander @HSVSphere المتصفحات المحددة تطبق سياسات شفافية الشهادات. خارج استخدام المتصفح، بما في ذلك MTA-STS مع خوادم البريد الإلكتروني، لا يتم تطبيق هذه المتطلبات عمليا. غالبا لا يتم الالتزام به. يستخدم WebPKI أيضا للتطبيقات الأصلية، وبين الخوادم، وما إلى ذلك، وليس فقط المتصفحات.

@Avamander @HSVSphere هناك طرق أخرى للقيام بذلك بخلاف BGP. النظام ليس آمنا بشكل خاص. WebPKI غير المتصفح لا يفرض CT ويشكل جزءا كبيرا من حركة TLS. نادرا ما يراقب CT لخدماته، لذا فهي لا تقدم ما يصور على أنه يقدم للمنظمات غير التابعة لجوجل.

@Avamander @HSVSphere جوجل ألغت التثبيت الديناميكي والثابت على الشهادات لغير جوجل. ادعى أنهم توقفوا عن استخدامه لكنهم استمروا في استخدامه. إنها مخالفة لقوانين مكافحة الاحتكار. هذا جزء من كمية هائلة من السلوك غير النزيه المناهض للمنافسة من جوجل، وMTA-STS جزء من ذلك أيضا.

يعتمد @Avamander @HSVSphere WebPKI على أمان DNS. WebPKI يثق في سجل النطاق، TLD، وIANA. WebPKI لا يمنع DNS كجذر للثقة لأنه يعتمد على التحقق من النطاق، التحكم في DNS. TLD يمكنه توجيه DNS الخاص بك إلى مكان آخر والحصول على شهادات لنطاق نطاقك.

يعتمد @Avamander @HSVSphere WebPKI على أمان DNS. WebPKI يثق في سجل النطاق، TLD، وIANA. WebPKI لا يمنع DNS كجذر للثقة لأنه يعتمد على التحقق من النطاق، التحكم في DNS. TLD يمكنه توجيه DNS الخاص بك إلى مكان آخر والحصول على شهادات لنطاق نطاقك.

يعتمد @Avamander @HSVSphere WebPKI بشكل أساسي على أمان DNS. MTA-STS في جوهره غير آمن ولا يشكل سوى نهج مؤقت ضعيف. البريد الإلكتروني يعتمد بشكل أساسي على أمان DNS لأسباب متعددة، وWebPKI يعتمد أيضا على أمان DNS. لن تفلت من تلك الأكاذيب معنا، آسف.

يعتمد @Avamander @HSVSphere WebPKI بشكل أساسي على أمان DNS. MTA-STS في جوهره غير آمن ولا يشكل سوى نهج مؤقت ضعيف. البريد الإلكتروني يعتمد بشكل أساسي على أمان DNS لأسباب متعددة، وWebPKI يعتمد أيضا على أمان DNS. لن تفلت من تلك الأكاذيب معنا، آسف.

@1ngenious @TorontoIX لدينا حاليا 5 خوادم مخصصة للتحديثات. تعمل خوادم التحديث لدينا أيضا كمجموعة فرعية من 11 موقعا لخدمات موقعنا الإلكتروني والشبكة، والتي تحتوي أيضا على 6 حالات VPS لتوفير تغطية أوسع حول العالم. نستخدم الخادم في تورونتو أيضا للبريد الإلكتروني وDNS الموثوق.

@1ngenious @TorontoIX هو حاوية نظام على . هو حاوية نظام أخرى توفر واحدا من المواقع التسعة لشبكة Anycast الخاصة بنا في NS2. الحافظات الثمانية الأخرى هي مثيلات VPS. جهاز NS1 لدينا يحتوي على 11 نسخة VPS من Vultr.