Názory k článku
Resort justice včetně soudů zůstal 16 hodin odříznut od internetu [AKTUALIZOVÁNO]

Jen by mne zajímalo, zda ten dodavatel má dobrou pojistku odpovědnosti za způsobené škody, protože se dá očekávat, že jim hodí na krk každou škodu, která vznikne tím, že nešlo něco udělat "elektronicky" a proto se nestihly termíny...

dodavatel přece není provozovatel. Tyhle DNS servery si provozuje stát sám

Cituji: Na odstranění závad pracujeme s našim dodavatelem. ;o)

pokud se vyskytne problém v systémech, které jsou dodávány na klíč je běžné, že se o pomoc požádá dodavatel, který o systému ví nejvíce, ať už v rámci dopředu sjednané podpory nebo se objedná extra.

Ja bych rekl, ze tomu statu je to asi uplne jedno. Tak si udelali 16h downtime a jede se dal. Urednici.

MV si na tom muze udelat reklamu, ze .gov.cz je lepsi, at to hodi tam. Do doby, nez jim to spadne taky.

16. 2. 2023, 21:47 editováno autorem komentáře

Tak určitě. ROFLMAO.

České justici dodává IT systémy dlouhodobě firma CCA Group, která nyní čelí společně se svým majitelem Tomášem Váchou a dalšími šesti lidmi trestnímu stíhání kvůli krácení daní se škodou 100 milionů korun.

Mimochodem, stále mi web www.justice.cz a rejstříky vyhazují náhodně "Connection reset", to asi s DNS tak nějak nesouvisí.

To ale hrozí pouze v případě že dodavatel měl smlouvu postavenou tak, že za nějaké způsobené škody ručí. Celkem často se šetří tím, že se dodavatelé najmou způsobem "bodyshopping" - takže objednatel si je úkoluje jak potřebuje, ale dodavatel ručí v podstatě jen za to, že člověk dojde do práce včas, střízlivý a s funkčním notebookem.

Příčinou výpadku byl sofistikovaný kybernetický útok na Justici, který nadále trvá a v čase se mění.

to, že je justice.cz pod různými "sofistikovaný útoky" typu ubohý DDoS, to už si jeden za poslední rok zvykl.. ale zajímalo by mě, když v minulosti byli schopni vyhodit min. 404 Error page, že je justice dočasně nedostupná - proč se jim to nepodařilo tentokrát.

Všude se píše, že byl problém s DNS.

Dva DNS servery, oba v temze IP segmentu - IP adresy hned vedle sebe... DNSSEC nasazeny s algoritmy, co detaily o vnitrni infrastrukture skrze DNS vykeca do sveta.

Nabizi se otazka, ktery diletant tohle stavel...

a teď si představ, že někdo dokonce provozuje několik DNS serverů na stejné IP adrese, ne jen na těch vedle sebe.

A to ma vadit cemu presne? Vice DNS zon na jednom DNS serveru je naprosto bezny use-case. Rec je o tom, ze kdyz ustrelim jednu konektivitu, tak nesmi lehnout vsechny DNSka obsluhujici dane zony. Aneb v situaci, kdy mam DNS servery na dvou IP adresach hned vedle sebe vice nez pravdepodobne, ze to umre naraz komplet.

Jestli náhodou nebylo sestřelení těch DNS pokusem o mitigaci nějakého jiného problému ... :-)

My taky meli dve IP vedle sebe, ale tech POPu bylo asi 30. Jen ze uvaha IP = server sice u justice.cz asi plati, ale ne vsude.

Tak on je fail mít vsechny DNS v ramci jednoho ASN. Staci si pozorne precist clanek 3.1 v pomerne starickem RFC2182:
When selecting secondary servers, attention should be given to the various likely failure modes. Servers should be placed so that it is likely that at least one server will be available to all significant parts of the Internet, for any likely failure.
Jasne, muzete v ramci routingu sve site mit propagovane /32 IPv4 resp. /128 IPv6 a kazdy server mit v ramci sve site jinde. Ale do globalniho internetu tyhle specificky routy jaksi neposlete, ze? ;-) A ano, vypadek afektujici agregovanou routu propagovanou do globalniho internetu je take scenar, se kterym by se melo pocitat. A s tim co popisujete proste ono "any likely failure" pokryte nemate, pokud mate IP hned vedle sebe (a nejsou to IP na zacatku/konci dvou propagovanych subnetu).

A to ti čučkaři nemohli aspóň napsat tweet s IP adresami vybraných domén? (Samozřejmě jako obrázek: screenshot excelovské tabulky s páry doména : ip). Aspóň by pak ŇJŮ Kib mohl je pochválit že dělají osvětu jak funguje a jak používat dns ruským způsobem +se lidi naučí používat netcat (Host:), curl(--header)(,wget --header, připadně tam jsou přímo volby na dns)

Tak pokud jim padnul nejaky firewall, co tu /24 resi, tak nam IPcka moc nepomuzou :-) Mimochodem jim to uz zase nejede....

$  host justice.cz 194.213.41.91
;; communications error to 194.213.41.91#53: timed out
;; communications error to 194.213.41.91#53: timed out
;; no servers could be reached

$  host justice.cz 194.213.41.92
;; communications error to 194.213.41.92#53: timed out
;; communications error to 194.213.41.92#53: timed out
;; no servers could be reached

no a teď to sice vypadá, že justice jede.. ale nefunguje jim insolvenční rejstřík.. connection reset.