Provedor Onda · DNS Anycast · NOC 24x7
DNS & Resolução · Resolvers Recursivos Anycast · BIND · Unbound · PowerDNS
A resolução da operadora,
do root à resposta
Provedor Onda — 24 resolvers anycast em 8 POPs resolvendo 128 mil consultas/s (pico 185 mil) para 1,2 milhão de assinantes. Do dual-stack A×AAAA à cascata de recursão (root → TLD → autoritativo): QPS e cache hit-ratio por POP, distribuição de RCODE, percentis de latência, cobertura DNSSEC e higiene de DNS. Resolveu rápido = internet que funciona.
01Visão Geral da Resolução
02Resolução em Tempo Real · A×AAAA
03Frota de Resolvers & Anycast
04Cascata de Resolução · Recursão
05Qualidade & Erros · RCODE
06Segurança & Higiene de DNS
dual-stack · anycast · recursão · RCODE · DNSSEC → uma sala de comando
01 / 08
Provedor Onda/DNS & Resolução/Visão Geral — Saúde de ResoluçãoAO VIVO10:20 · qua 22/07
Zabbix · BIND 9.18 · Unbound 1.19 · PowerDNS 4.98 POPs · 24 nós · 4 IPs anycastatualiza 30s ↻
SUCESSO A (IPV4)
99,99%
SLO 99,95 · 30d 99,98 · 0 breach
SUCESSO AAAA (IPV6)
99,87%
−0,12pp vs A · 30d 99,91
LATÊNCIA DNS MÉDIA
4,2ms
hit 1,1ms · miss 26,8ms
QPS AGREGADO
128,4k
pico 185k · média 95k · 8,2 bi/dia
CACHE-HIT
88%
A 89,4% · AAAA 85,8%
RCODE-ERRO
2,1%
SERVFAIL 1,7 + REFUSED 0,4
DNSSEC VALIDÁVEL
35,2%
bogus 0,04% · NTA 2 zonas
POPS ANYCAST
8/8
24 nós · 23 ativos · 1 em dreno
NXDOMAIN 24H
8,1%
664 M · informativo · típico 7–9
SERVFAIL 24H
1,7%
139 M · 62% validação DNSSEC
TIMEOUTS
0,4%
cliente >1,5s · retry médio 1,9%
DOH + DOT
27%
DoH 8 · DoT 19 · Do53 73
AMEAÇAS BLOQ. 24H
14,7M
malware 8,1M · phishing 4,2M
TTL MÉDIO SERVIDO
142s
CDN 30–60s · big techs 300s
RESOLVERS SERVIÇO
4/4
.113.53/.54 · db8:53::1/::2
FALHAS 24H
37
0 impacto · failover BGP 1,8s
03
Resolução em Tempo Real · A×AAAA
62% base v6ESTÁVELQPS A78,1k
QPS AAAA50,3k
MÉD A3,9ms
MÉD AAAA4,6ms
P95 A32ms
P95 AAAA37ms
HIT A89,4%
HIT AAAA85,8%
200k100k0
10h ontem16h22h04h10:20
agora 128,4kpico 185k 20:45vale 41,2k 04:10média 95k
SF A 1,5% · AAAA 2,0%miss→recursão 15,4k/sDo53 73% DoT 19 DoH 8
SPO29,2k3,6ms
VCP21,5k3,8ms
RJO19,4k4,1ms
BHZ14,6k4,3ms
CWB12,5k4,4ms
POA11,1k4,6ms
SSA10,4k4,9ms
REC9,7k5,8ms
AAAA +0,7ms vs A (média) — v6 marginalmente pior por caminho · lima = A/IPv4 · ciano = AAAA/IPv6 → tela 03
04
Frota de Resolvers & Anycast
24 nós · 8 POPs1 NÓ EM DRENONÓS UP23/24
POPS8/8
BGP EST.46/48
CPU MÉD34%
MEM MÉD41%
CACHE RAM71%
WITHDRAW 24H3
FAILOVER MÉD1,8s
60%30%0
10h ontem16h22h04h10:20
CPU agora 34%pico 47% 20:50mín 22% 04:30por nó 5,6k QPS
top nó rsv-gru-03 10,4kmem pico 58%uptime médio 74ddrops 0,002%
SPO3/333%
VCP3/336%
RJO3/335%
BHZ3/331%
CWB3/334%
POA3/332%
SSA3/338%
REC2/341%
rsv-rec-02 em dreno BGP desde 09:41 (withdrawal) · mesmo IP de serviço 203.0.113.53 · 0 impacto → tela 04
05
Cascata de Resolução · Recursão
15,4k rec/sESTÁVELRECURSÕES/S15,4k
MÉD RECURSÃO26,8ms
P95 RECURSÃO89ms
IDAS AO ROOT0,3%
IDAS A TLD8,9%
DIRETO AUTORIT.90,8%
TIMEOUT UPSTR.0,4%
RETRIES1,9%
40ms20ms0
10h ontem16h22h04h10:20
cache-miss 12% → recursãoEDNS buffer 1232 BQNAME-min onNS/zona 3,4
cache 41,2M RRsprefetch hit 6,2%serve-stale 0,11%lame deleg. 24h 312
.com38,2%24ms
.br24,6%19ms
.net6,1%26ms
.org3,8%31ms
.io2,9%48ms
.dev1,7%29ms
.xyz1,4%52ms
outros21,3%33ms
root j.root (instância anycast local) 8,1ms · TLD .br via registro.br 14ms · cadeia média 2,1 saltos → tela 05
06
Qualidade & Erros · RCODE
8,2 bi resp/dPICO 07:20 SANADONOERROR89,4%
NXDOMAIN8,1%
SERVFAIL1,7%
REFUSED0,4%
OUTROS0,4%
TRUNCADOS TC0,9%
SF→DNSSEC62%
TIMEOUTS0,4%
4,0%2,0%0
10h ontem16h22h04h10:20
SERVFAIL agora 1,6%pico 3,4% 07:20base 1,5–1,8%SLO <2,5%
01h1,5%
02h1,4%
03h1,6%
04h1,7%
05h1,6%
06h2,9%
07h3,4%
08h2,1%
09h1,8%
10h1,6%
pico: RRSIG expirado em zona externa (validação DNSSEC) · normalizado 08:05 · NXDOMAIN é informativo, não falha → tela 06
07
Segurança & Higiene de DNS
14,7M bloq/24hRPZ ATIVABLOQUEIOS 24H14,7M
MALWARE8,1M
PHISHING4,2M
BOTNET C21,6M
POLÍTICA0,8M
DNSSEC VAL.35,2%
BOGUS0,04%
FEEDS RPZ4/4
800k400k0
10h ontem16h22h04h10:20
média 612k/hpico 758k 20hclientes únicos 214kFP confirmados 0
resposta bloqueio: NXDOMAIN TTL 60srebinding barrado 4,1kIDN homógrafo 2,3k
13h604k
15h618k
17h672k
19h731k
21h758k
23h702k
01h512k
03h402k
06h445k
09h597k
RPZ atualizada 10:05 · 4 feeds · tráfego cifrado DoH+DoT 27% · NTA ativas em 2 zonas legadas → tela 07
PG
Pulso Global A×AAAA · latência média · 24h
DUAL-STACK OK840 ms
A · IPv4 · méd 3,9ms
0 ms48
AAAA · IPv6 · méd 4,6ms
00h06h12h18h24h
NOERROR89,4%7,33bi
NXDOMAIN8,1%664M
SERVFAIL1,7%139M
REFUSED0,4%33M
OUTROS0,4%33M
A méd 3,9 · p95 32 · p99 84 msAAAA méd 4,6 · p95 37 · p99 94 msΔ +0,7ms
consultas AAAA = 39,2% do QPS · 62% da base dual-stack · 1,2M assinantes · disp. v4 99,99% × v6 99,94%
dnstap + Zabbix agent2 · 24 nós recursivos anycast · 8 POPs · 4 IPs de serviço · 128,4k QPS · cache-hit 88% · 8,2 bi consultas/dia · Provedor Onda · qua 22/07 10:20
02 / 08
Provedor Onda/DNS & Resolução/Resolução em Tempo Real · A×AAAAAO VIVO10:20 · qua 22/07
Zabbix · BIND 9.18 · Unbound 1.194 resolvers anycast · 8 sentinelas · sonda 10satualiza 30s ↻
V4-PRI58,3k qps
203.0.113.53
99,99%
V4-SEC24,1k qps
203.0.113.54
99,99%
V6-PRI32,8k qps
2001:db8:53::1
99,84%
V6-SEC13,2k qps
2001:db8:53::2
99,94%
SUCESSO V4
99,99%
meta ≥99,95 · 7d 99,98
SUCESSO V6
99,87%
netflix AAAA · meta ≥99,90
LATÊNCIA AGORA
4,2ms
p50 2 · p95 34 · p99 88
FALHAS 24H
37
29 v6 · 8 v4 · 1 em curso
QPS AGORA
128,4k
pico 185k · média 95k
CACHE-HIT
88%
recursão 12% · 8,2 bi/dia
Espelho Dual-Stack · A × AAAA nos 4 Resolvers
sonda dig a cada 10s · janela 60m · TTL do autoritativo · pior lado pinta o veredito · 6 ok · 1 lento · 1 servfailIPv4 · Registro ADomínio SentinelaIPv6 · Registro AAAA
500
-60magora
157.240.12.35TTL 60s
3ms
100% resol
ffacebook.com
OK4ms
100% resol
2a03:2880:f12e::35TTL 60s
500
-60magora
500
-60magora
186.192.82.14TTL 300s
5ms
99,99% resol
gglobo.com
OK7ms
99,97% resol
2804:29b8:500a::14TTL 300s
500
-60magora
500
-60magora
142.250.219.14TTL 300s
2ms
100% resol
Ggoogle.com
OK3ms
100% resol
2800:3f0:4004::200eTTL 300s
500
-60magora
500
-60magora
157.240.12.53TTL 60s
4ms
100% resol
Wwhatsapp.com
OK5ms
100% resol
2a03:2880:f22e::cTTL 60s
500
-60magora
500
-60magora
54.235.180.22TTL 60s
6ms
99,98% resol
Nnetflix.com
SERVFAIL V6—
0% resol
—SERVFAIL
500
-60magora
500
-60magora
20.112.52.29TTL 120s
8ms
99,97% resol
Mmicrosoft.com
LENTO V639ms
99,2% resol
2603:1030:c02::2cTTL 120s
500
-60magora
500
-60magora
104.16.132.229TTL 300s
2ms
100% resol
Ccloudflare.com
OK3ms
100% resol
2606:4700::6810:84e5TTL 300s
500
-60magora
500
-60magora
146.112.61.106TTL 3600s
4ms
100% resol
Oopendns.com
OK6ms
100% resol
2620:119:35::35TTL 3600s
500
-60magora
Disponibilidade Dual-Stack · 24h
v4 99,99% · v6 99,94% · SLA 99,90100%99,7599,5
00h06h12h18h24h
mín v4 99,97 (03:40)mín v6 99,55 (04:12)SLA 99,90 tracejado
Latência Média de Resolução · 24h
v4 3,8ms · v6 5,1ms · Δ +1,3ms12ms60
00h06h12h18h24h
v4 p95 8,1msv6 p95 12,4mspico v6 8,9ms às 08:47
Últimas Falhas de Resolução
37 em 24h · 29 v6 · 8 v4 · 1 em cursoTSDomínioRegMotivoResolverDuração
10:02netflix.comAAAASERVFAILv6-pri17m52s ●
08:47microsoft.comAAAASLOW>40msv6-sec6m00s
05:19globo.comATIMEOUTv4-sec41s
04:12uol.com.brAAAASERVFAILv6-pri1m04s
04:08mercadolivre.comAAAATIMEOUTv6-sec28s
03:55globoplay.globo.comATIMEOUTv4-pri19s
02:31tiktok.comAAAASLOW>40msv6-pri3m12s
01:44amazonaws.comATIMEOUTv4-sec22s
sondas dig +tries=1 +time=2 nos 4 IPs anycast · 8 domínios sentinela · Zabbix 7.0 · Provedor Onda · qua 22/07 10:20
03 / 08
Provedor Onda · DNS & Resolução · FROTA ANYCASTAO VIVO10:20:47qua 22/07
POPS ANUNCIADOS
8/8
24 nós · 4 IPs anycast · BGP ok
QPS AGORA
128,4k
média 24h 95k · 8,2 bi/dia
PICO 24H
185k
às 21:00 · vale 52k às 04:30
CACHE-HIT FROTA
88%
miss 15,4k qps → recursão
LATÊNCIA P95
34ms
média 4,2 ms · p99 88 ms
UPSTREAMS
2/2
8.8.8.8 12,1ms · 1.1.1.1 11,4ms
UPTIME MÉDIO FROTA
312d
1 nó em burn-in · 41d · POP-07
Mapa de POPs · catchment anycast
8 POPs · 24 nós · serviço 203.0.113.53/.54 · 2001:db8:53::1/::2 · raio ∝ QPS picoanycast203.0.113.53.542001:db8:53::1::2v4 62% · v6 38%
SIMULAÇÃO DE FAILOVER · 10:05POP-03 retira anúncio BGP · mesmo IP 203.0.113.5319,4k qps reabsorvidos: +11,8k POP-01 · +7,6k POP-02convergência 6,4s · perda 0,0% · sem troca de IP no CPE
POP · raio ∝ QPS picocatchmentreroute simulado
POPs · carga & saúdeΣ 128,4k qps
POPnósagorapicosharehitcpuup
Sudeste-A329,2k42k22,7%89%44%402d
Sudeste-B321,5k31k16,7%88%38%386d
Rio319,4k28k15,1%87%41%371d
Minas314,6k21k11,4%88%33%348d
Sul-PR312,5k18k9,7%90%29%322d
Sul-RS311,1k16k8,6%87%31%298d
NE-BA310,4k15k8,1%86%35%277d
NE-PE39,7k14k7,6%88%30%92d
Σ frota24128,4k185k100%88%35%312d
Eventos BGP · 24 h6 registros
10:05game-day: withdraw simulado POP-03 · reconv. 6,4s
08:47announce 2001:db8:53::2 estável há 62 min · POP-08
06:32flap trânsito-B POP-06 · 2 rotas · sem impacto
04:31vale 52k qps · cache warm 85% preservado
01:15janela de manutenção nó 07c · burn-in 41d
ter 21:02pico 185k qps absorvido · p95 34ms estável
48/48sessões BGP
4prefixos /32·/128
64512ASN privado
5,8sconv. média
Balanceamento · share de QPS por POP
Σ agora 128,4k qps · ▏= teto de projetoPOP-01Sudeste-A · 3 nós
22,7%29,2k qps · 98,7% do teto
POP-02Sudeste-B · 3 nós
16,7%21,5k qps · 90,3% do teto
POP-03Rio · 3 nós
15,1%19,4k qps · 88,8% do teto
POP-04Minas · 3 nós
11,4%14,6k qps · 87,7% do teto
POP-05Sul-PR · 3 nós
9,7%12,5k qps · 84,3% do teto
POP-06Sul-RS · 3 nós
8,6%11,1k qps · 86,0% do teto
POP-07NE-BA · 3 nós
8,1%10,4k qps · 85,3% do teto
POP-08NE-PE · 3 nós
7,6%9,7k qps · 89,4% do teto
22,7%
maior share · POP-01
98,7%
uso do teto · POP-01
6,4s
reabsorção simulada · 19,4k
11,2%
headroom médio da frota
Upstreams & recursão · QPS agregado 24 h
EDNS 1232 · miss 12% = 15,4k qps sobem à recursão · failover = withdrawal, mesmo IPdestinortt v4rtt v6perdapapel
k.root-servers.net11,212,10,00%ROOT HINT
j.root-servers.net12,813,60,00%ROOT HINT
e.root-servers.net13,914,80,01%ROOT HINT
8.8.8.812,112,90,00%STANDBY
1.1.1.111,412,20,00%STANDBY
QPS agregado · últimas 24 hvale 52k 04:30 · pico 185k 21:00 · agora 128,4k
200k100k0
pico 185k · 21:00
vale 52k · 04:30
agora 128,4k
10h14h18h22h02h06h10:20
cache RAM · por nó
alocado8 GB
cache warm85%
entradas/nó14,2M
evictions0,4%/h
TTL médio em cache142s
Vitais por nó · CPU / MEM / HIT
23 ok · 1 manutenção · 3 nós por POPP01P02P03P04P05P06P07P08
01a46
m 68 · h 89,2
01b44
m 66 · h 89,0
01c42
m 63 · h 88,7
02a39
m 64 · h 88,3
02b38
m 62 · h 87,9
02c37
m 60 · h 87,8
03a43
m 65 · h 87,4
03b41
m 62 · h 87,1
03c39
m 61 · h 86,8
04a34
m 58 · h 88,2
04b33
m 57 · h 87,9
04c32
m 55 · h 87,8
05a30
m 54 · h 90,2
05b29
m 53 · h 89,9
05c28
m 52 · h 89,8
06a32
m 55 · h 87,2
06b31
m 54 · h 86,9
06c30
m 52 · h 86,8
07a37
m 58 · h 86,3
07b34
m 56 · h 85,9
07c12
burn-in 41d · h 64,1
08a31
m 53 · h 88,1
08b30
m 52 · h 88,0
08c29
m 51 · h 87,7
Zabbix 7.0 · BIND 9.18 · Unbound 1.19 · PowerDNS 4.9 · AS 64512 · anycast 203.0.113.53/.54 · 2001:db8:53::1/::2 · Provedor Onda · qua 22/07 10:20
04 / 08
Provedor Onda/DNS & Resolução/Cascata de Resolução · RecursãoAO VIVO10:20 · qua 22/07
Zabbix · BIND 9.18 · Unbound 1.1924 nós · 8 POPs · 128,4k q/satualiza 30s ↻
LAT. RECURSIVA · COLD
47ms
root→TLD→aut · c/ DNSSEC 56 ms · p95 89
CACHE HIT-RATIO
88,0%
113,0k/s da memória · 0,7 ms méd
SALTOS MÉDIOS
3,2
cadeia fria · máx 7 · QNAME min ativo
DNSSEC VALIDADAS
35,2%
AD=1 · falhas 3.180/dia · 0,04%
UPSTREAMS
1/1up
forwarder ctg. ocioso · srtt 12 ms
SERVFAIL NA RECURSÃO
1,7%
2,2k/s · timeout upstream + DNSSEC
Cascata de Resolução · do Root à Resposta
waterfall dnstap · 3 cenários reais 10:10–10:20 · escala por cenáriocachelookuprootTLDautoritativovalidação DNSSECtimeout / falharecursão p50 25 · p75 52 · p95 89 · p99 184 ms
Cenário 1 · Cache Hitapi.exemplo.com.br · A+AAAA88,0% das respostas · 113,0k/s · 10:20:14,182
cache localmemória · RRset quente
0,7 msresposta direta da memória — 88% dos casos · TTL restante 41 s (orig. 300 s)
Σ 0,7Cenário 2 · Recursão completa (cold)loja.exemplo.com.br · A12,0% das consultas · 15,4k/s · 10:20:14,201
cache-misslookup memória
0,4 msnada em cache — abre recursão
Σ 0,4root (.)k.root-servers.net
11 msreferral NS .com.br + glue
Σ 11TLD .com.bra.dns.br
14 msreferral ns1/ns2 + registro DS
Σ 25autoritativons1.exemplo.com.br
resposta A 198.51.100.34 + RRSIG · TTL 3.600 s22 ms
Σ 47validação DNSSECRRSIG + DNSKEY
cadeia . → .com.br → zona · AD=1 ✓9 ms
Σ 560102030405060 ms
resposta ao assinante em 56 ms · RRset entra no cache com o TTL do autoritativo (3.600 s) · o próximo hit responde em 0,7 ms
Cenário 3 · SERVFAIL · upstream quebradopromo.exemplo.net · A1,7% · 2,2k/s · 10:20:11,940
root (.)j.root-servers.net
12 msreferral NS .net — normal
Σ 12TLD .neta.gtld-servers.net
13 msreferral ns/ns2.exemplo.net — normal
Σ 25autoritativons.exemplo.net
TIMEOUT · 2.000 ms · sem resposta (UDP + TCP retry)
Σ 2.025retryns2.exemplo.net
ICMP unreachable em 361 ms · 2/2 NS esgotadosSERVFAIL · 2,4 s
Σ 2,4 s04008001.2001.6002.0002.400 ms
SERVFAIL devolvido ao cliente em 2,4 s · negative cache de 5 s segura a tempestade de retry · 3ª tentativa suprimida
QNAME minimization RFC 7816 ativo em 24/24 nósEDNS buffer 1.232 bytesTTL clamp 5 s – 86.400 sorçamento 2.000 ms × 3 tentativas
etapa · 24hmédp50p95cons/htimeout
root (.)11,8 ms1121118k0,02%
TLD · .br / .com / .net15,2 ms14281,7M0,05%
autoritativos21,6 ms186438,6M0,31%
validação DNSSEC8,7 ms81614,4M0,01%
Cache × Recursão
bimodal · 88/12 · 10:20CACHE HIT · 88,0% · 0,7 ms
12,0%
113,0k/s
da memória · 0,7 ms méd · TTL méd restante 96 s
15,4k/s
recursões · 29,9 ms méd efetiva · cold 47 ms
POPhit-ratio · esc. 84–92%hitqpsmédp95
SPO
88,938,2k3,941
RJO
88,424,6k4,044
BHZ
87,614,8k4,347
CWB
87,912,1k4,246
POA
87,111,3k4,552
REC
86,310,4k4,858
FOR
86,09,2k4,961
BSB
89,77,8k3,638
18%
34%
29%
19%
idade do RR no hit: <10 s · 10–60 s · 1–5 min · >5 min · média ponderada 88,0% · QPS soma 128,4k/s · méd global 4,2 ms
Cadeia de Confiança DNSSEC
AD=1 · 35,2% do tráfegoroot (.)KSK-2024
→
DS.com.br
→
DNSKEYexemplo.com.br
→
RRSIGA / AAAA
→
AD=1 ✓selo validado
zona não assinada — resposta sem AD · 64,8% dos .com.br consultados ainda sem DNSSEC
35,2%
tráfego validável
3.180
falhas/dia · 0,04%
7,9M
cadeias/dia
falhas → SERVFAIL: RRSIG expirado 61% · DS órfão 24% · DNSKEY inválida 15%
algoritmos: ECDSA P-256 71% · RSA-2048 26% · Ed25519 3%
algoritmos: ECDSA P-256 71% · RSA-2048 26% · Ed25519 3%
Upstreams & Latências
srtt · 1,8M cons/h root+TLDservidorzona24hrttperdaq/h
k.root-servers.netROOT11 ms0,00%41k
j.root-servers.netROOT12 ms0,00%38k
e.root-servers.netROOT14 ms0,01%22k
l.root-servers.netROOT13 ms0,00%17k
a.dns.br.BR14 ms0,00%486k
b.dns.br.BR16 ms0,01%342k
d.dns.br.BR15 ms0,00%214k
a.gtld-servers.net.COM24 ms0,03%391k
m.gtld-servers.net.NET26 ms0,04%268k
fwd ctg. 198.51.100.53FWD12 ms0,00%standby
política: timeout 2.000 ms · 3 tentativas · seleção por srtt (BIND) / rtt-band (Unbound) · EDNS 1.232 B · health-check do forwarder a cada 10 s
dnstap + Zabbix · recursão root → TLD → autoritativo · 984M recursões/dia (12% de 8,2 bi) · QNAME min RFC 7816 · EDNS 1.232 B · Provedor Onda · qua 22/07 10:20
05 / 08
Provedor Onda/DNS & Resolução/Qualidade & Erros · RCODEAO VIVO10:20 · qua 22/07
Zabbix · BIND 9.18 · Unbound 1.198,2 bi consultas/dia · 24 nós · 8 POPsatualiza 30s ↻
QPS AGORA
128,4k
pico 24h 185k · média 95k · 8,2 bi/dia
TAXA DE ERRO REAL
2,1%
budget 3,0%: OK · SERVFAIL 1,7 + REFUSED 0,4
NOERROR
89,4%
7,33 bi/dia · resposta válida · cache 88%
NXDOMAIN
8,1%
664 M/dia · informativo · typo/adblock/expirado
SERVFAIL
1,7%
139 M/dia · validação DNSSEC / upstream lento
REFUSED + OUTROS
0,8%
REFUSED 0,4 (33 M) · outros 0,4 (33 M) · ACL/timeout
Anel RCODE · Distribuição de Respostas
8,2 bi consultas/dia · erro real 2,1% · budget 3,0%taxa de erro real2,1%budget 3,0% ✓SERVFAIL 1,7 + REF 0,4
tendência 24h · taxa de erro real %agora 2,1%
4,0%3,02,01,00
06:40 · pior 2,6%
10h ontem16h22h04h10:20
▲ SERVFAIL +0,3 pp em 24h · causa nº 1: erp-metalfort.com.br (ns 1.900 ms)NXDOMAIN estável 8,1% · típico 7–9%
NOERROR89,4%▼0,27,33 biresposta válida · inclui cache-hit 88%
NXDOMAIN8,1%▼0,1664 Mtypo · adblock · expirado — informativo, não é falha
SERVFAIL1,7%▲0,3139 Mvalidação DNSSEC · autoritativo lento / upstream
REFUSED0,4%▬ 0,033 Mfora de política · ACL de rede de origem
outros0,4%▬ 0,033 MFORMERR · NOTIMP · truncado / timeout
TOTAL100,0%8,2 bisaudável (NOERROR+NXDOMAIN) = 97,5% das respostas
Latência de Resposta · Percentis & Distribuição
média 4,2 ms · dnstap · janela 15 min
cauda p99→max: 1.923 ms · 0,9% >100 ms
p50 · 2 ms
p95 · 34 ms
p99 · 88 ms
020406080100120 ms
34,0%
0–12,79 bi
15,8%
1–21,30 bi
23,0%
2–51,89 bi
11,5%
5–10943 M
8,8%
10–25722 M
5,3%
25–50435 M
0,7%
50–10057 M
0,9%
100+ ms74 M
CLASSE DE RESPOSTASHAREP50 MSP95 MSP99 MS
cache-hit L1/L288,0%1,73,99,5
recursão completa (miss)12,0%2156104
criptografado DoH+DoT27,0%4,13995
GERAL · todas as consultas100%2,03488
cauda >100 ms (74 M/dia): recursão fria + validação DNSSEC + ns lentos · timeout cliente 5 s: 0,02%SLO p95 ≤ 50 ms: OK
Taxa de Erro por Domínio · Top 12
janela 15 min · limiar NX 5% / SF 1% · 6 ofensoresDOMÍNIO CONSULTADOQPSNX%SF%COMPOSIÇÃO DO ERROERR%
promo-blackofertas.com.brEXPIRADO2,1k96,20,096,2
cdn-imgs-legado.netEXPIRADO1,4k94,80,094,8
app-painel-antigo.comEXPIRADO89091,30,191,4
wpad.rede-onda.net.brPROBE SO3,4k99,90,099,9
erp-metalfort.com.brNS LENTO 1.900ms6400,44,14,5
mail-relay-hostcorp.netDNSSEC7200,81,92,7
api-track-entregas.com1,9k3,10,63,7
globo.com5,2k0,30,00,3
whatsapp.net8,3k0,20,00,2
netflix.com7,4k0,10,10,2
youtube.com9,8k0,10,00,1
google.com14,2k0,10,00,1
expirados + wpad: NXDOMAIN esperado (negative cache TTL 900 s) · erp-metalfort é o pior SF acima do limiar 1%barra: NX + SF
Slow-Query Log · > 500 ms
12 de 214 na última hora · barra na janela 0–2.000 msTSDOMÍNIOTIPORCODELAT MSRESOLVER·POP0––––2s
10:19:47erp-metalfort.com.brASERVFAIL1.912rsv-gru-03
10:19:12cdn-video-stream.netAAAANOERROR742rsv-poa-01
10:18:55erp-metalfort.com.brASERVFAIL1.887rsv-cwb-02
10:18:31mail-relay-hostcorp.netASERVFAIL1.240rsv-gru-01
10:17:58portal-gov-servicos.brAAAANOERROR918rsv-rec-01
10:17:26erp-metalfort.com.brASERVFAIL1.904rsv-gru-02
10:16:49api-track-entregas.comANOERROR684rsv-ssa-01
10:16:12img-cdn-latam.netAAAANOERROR861rsv-gig-02
10:15:40erp-metalfort.com.brAAAASERVFAIL1.923rsv-gru-03
10:15:03auth-sso-cloudapps.comANOERROR733rsv-bsb-01
10:14:37repo-pkgs-mirror.orgAAAANOERROR1.108rsv-poa-02
10:14:02erp-metalfort.com.brASERVFAIL1.895rsv-cwb-01
erp-metalfort.com.br: 5 das 12 · ns1 autoritativo respondendo em ~1.900 ms → abrir chamado com a hospedagem do clientedemais: recursão fria + DNSSEC
dnstap + logs RCODE · 8,2 bi consultas/dia · NOERROR 89,4% · erro real 2,1% (budget 3,0%) · p50 2 ms · p95 34 ms · p99 88 ms · max 1.923 ms · Provedor Onda · qua 22/07 10:20
06 / 08
Provedor Onda/DNS & Resolução/Segurança & Higiene de DNSAO VIVO10:20 · qua 22/07
Zabbix · BIND 9.18 RPZ · Unbound 1.1924 nós · 8 POPs · 4 feeds RPZatualiza 30s ↻
FILTRADAS 24H
14,7M
0,18% de 8,2 bi · 4 malhas RPZ
MALWARE BLOQ.
8,1M
feed RPZ + MISP · 55,1% dos bloqueios
PHISHING BLOQ.
4,2M
28,6% · feed CERT + anti-phishing
DGA SINKHOLED
1.940dom
+ 3 hosts tunneling TXT em análise
DNSSEC
100%
24/24 nós validando · 35,2% validável
DNS CIFRADO
27%
DoT 19% + DoH 8% · Do53 73%
Peneira de Higiene · RPZ em 4 Malhas
8,2 bi/24h → retém 14,7M · 322,6k domínios distintos · altura ∝ log₁₀ do retidoEntrada bruta · 24h8,2 bi95k qps méd · pico 185k · agora 128,4k
MALHA 1 · RPZ MALWARE / C2feed comercial + MISP · 214,6k domínios em lista · recarga 4×/dia (02h·08h·14h·20h)
8,1Mretidas · 55,1% dos bloqueios94 qps · NXDOMAIN
▼ passam 8,192 bi · 99,90%
MALHA 2 · PHISHING / SCAMfeed CERT-BR + anti-phishing nacional · 96,4k domínios · recarga 4×/dia
4,2Mretidas · 28,6%49 qps · NXDOMAIN
▼ passam 8,188 bi · 99,85%
MALHA 3 · DGA / TUNNELINGclassificador DGA + heurística TXT · 1.940 dom sinkholed · 3 hosts tunneling ativos
1,6Mretidas · 10,9% · C2/botnet19 qps · SINKHOLE
▼ passam 8,186 bi · 99,83%
MALHA 4 · POLÍTICA / CONTEÚDOlista judicial + política interna · 11,2k domínios · ofícios processados em 24h
0,8Mretidas · 5,4%9 qps · NXDOMAIN
Saída limpa8,185 bi99,82% seguem para resolução normal
bloqueio ≈ 0,18% do tráfego · NXDOMAIN sintético TTL 60s · sinkhole 203.0.113.998,1 + 4,2 + 1,6 + 0,8 = 14,7M
Adoção por Transporte · Do53 × DoT × DoH
share de 128,4k qps agora · migração 7d · latência médiaPROTOSHARE DO QPS AGORA%QPSLAT MÉD
Do53UDP/TCP :537393,7k3,7 ms
DoTTLS :8531924,4k5,3 ms
DoHHTTPS :443810,3k6,2 ms
25,0%18,812,56,30
qua 15sex 17dom 19ter 2110:20
DIADoTDoH
qua 1518,26,8
qui 1618,37,0
sex 1718,57,1
sáb 1818,67,3
dom 1918,87,4
seg 2018,97,6
ter 2119,07,8
hoje19,08,0
DoT 19,0%DoH 8,0%DoH +1,2 pp em 7d · projeção 12% em 90d · Android 9+ usa DoT nativo
Cache Poisoning & Integridade
tentativas detectadas/1,5h · 0 sucessos · log BIND + Zabbix214
tentativas 24h · mitigadas
0
sucessos · 100% descartadas
2.140
IPs em rate-limit RRL
50/1,5h403020100
pico 00h–02h · 47 · padrão Kaminsky
10h ontem14h18h22h02h06h10:20
SRC-PORT RANDOM✓faixa 1024–65535 · entropia ok
0X20 ENCODING✓100% das consultas upstream
VALIDAÇÃO DNSSEC✓2,89 bi respostas AD/dia
RRL 50 QPS/IP✓janela 15s · 2.140 IPs limitados
Cobertura DNSSEC do Tráfego
1 célula = 1% ≈ 82M respostas/dia · 35,2% validável35 assinadas · 65 zonas sem DNSSEC
Tráfego validável (bit AD)35,2%
Respostas validadas/dia2,89 bi
Domínios únicos validáveis7,95M
Falhas de validação/dia3.180 dom · 0,04%
Top 3 zonas com falhafalha → SERVFAIL (parte dos 1,7%)
sistemas-agro.net.brRRSIG expirada há 3 dias1.412
clube-litoral.com.brrollover de KSK malfeito986
vale-noticias.net.brDS órfão no registro-pai486
Top Bloqueados · 24h
12 de 322,6k domínios distintos · heat = hits#DOMÍNIOCATEGHITS 24HIPSFEEDAÇÃO
01cdn-update-node[.]xyzMALWARE C2412,8k38,2kRPZ-comNXDOMAIN
02secure-pix-validacao[.]topPHISHING388,4k41,7kCERT-BRNXDOMAIN
03api-telemetry-sync[.]infoMALWARE341,2k29,4kRPZ-comNXDOMAIN
04rastreio-entrega-br[.]netPHISHING296,7k33,1kanti-phishNXDOMAIN
05qhx7w2kf9p[.]infoDGA187,3k2,1kclf-DGASINKHOLE
06promo-atualiza-cadastro[.]comPHISHING164,9k19,8kCERT-BRNXDOMAIN
07win-driver-update[.]siteMALWARE152,6k14,2kRPZ-comNXDOMAIN
08t8m3zq6r1d[.]xyzDGA141,0k1,8kclf-DGASINKHOLE
09ns1.txt-relay[.]orgTUNNEL96,2k3heurísticaSINKHOLE
10apostas-bonus-vip[.]betPOLÍTICA88,7k24,6kjudicialNXDOMAIN
11stream-gratis-hd[.]ccPOLÍTICA71,4k18,9kjudicialNXDOMAIN
12verifica-conta-mail[.]onlinePHISHING63,1k12,4kanti-phishNXDOMAIN
top 12 = 2,40M · 16,4% dos 14,7M bloqueios · cauda longa 322,6k domíniosIPS = clientes únicos · 3 do tunneling em contenção
BIND 9.18 RPZ · Unbound 1.19 · 4 feeds (comercial + MISP + CERT + judicial) · 14,7M bloqueios/24h · 214 tentativas de poisoning mitigadas · DNSSEC 35,2% validável · Provedor Onda · qua 22/07 10:20
07 / 08
Próximo passo
Enxerga sua resolução de DNS?
Agende uma demo do NOC Flowbix e coloque a frota de resolvers anycast, a resolução A×AAAA por domínio, a cascata de recursão, o QPS e cache por POP, o RCODE, os percentis de latência e a cobertura DNSSEC em um painel único.
serviceFLOWBIX
Comercial · Flowbix✓
Conta verificada
Escaneie para iniciar uma conversa
Flowbix·Provedor Onda · DNS & Resolução · 24 resolvers anycast · 8 POPs · 128 mil consultas/s · BIND · Unbound · PowerDNS
08 / 08