Netwerkdiensten: DHCP, DNS en meer

DHCP, het Dynamic Host Configuration Protocol, levert een IPv4-adres en instellingen voor een beperkte periode, de lease. De server luistert op UDP 67; de client gebruikt UDP 68. Laptops, printers, telefoons en routerinterfaces kunnen allemaal client zijn. Op Cisco IOS laat ip address dhcp een interface haar instellingen aanvragen.

Vraag de eerste lease aan

Een nieuwe client gebruikt vier berichten, te onthouden als DORA:

1. Discover: zonder bruikbaar adres of bekende server verstuurt de client een broadcast van 0.0.0.0 naar 255.255.255.255.
2. Offer: een server biedt een adres, leasetijd en instellingen aan.
3. Request: de client vraagt om het gekozen aanbod. Dit verzoek wordt normaal gesproken als broadcast verstuurd, zodat andere servers die een aanbod deden, weten dat ze niet zijn gekozen.
4. Acknowledge: de gekozen server bevestigt de lease. De client kan die nu gebruiken.

Een laptop krijgt bijvoorbeeld 192.168.10.57/24, gateway 192.168.10.1, DNS-server 192.168.10.5 en een lease van 8 uur. Veel clients controleren het adres met ARP voordat ze het gebruiken. Als een andere host op dat adres antwoordt, stuurt de client DHCPDECLINE en begint opnieuw.

Instellingen komen binnen als genummerde opties. Optie 1 levert het subnetmasker, 3 de router, 6 de DNS-servers, 15 de domeinnaam en 51 de leasetijd. Opties zoals 43 of 150 helpen telefoons en accesspoints een controller of configuratieserver te vinden. Een correct adres met een onjuiste DNS-server is daarom nog steeds een DHCP-configuratieprobleem.

Vernieuw voordat de lease afloopt

De lease heeft twee standaardtijdstippen voor vernieuwing, gemeten vanaf het begin:

Een bevestiging tijdens de vernieuwing laat de lease opnieuw beginnen, meestal voor hetzelfde adres. Gebruikers blijven tijdens een normale vernieuwing op de achtergrond doorwerken; een korte lease verbreekt hun verbinding niet volgens een vast schema.

In Windows toont ipconfig /all de server en de leasetijden. ipconfig /release geeft het adres terug en ipconfig /renew vraagt een lease aan. Een apparaat dat vertrekt zonder het adres vrij te geven, houdt de lease bezet tot die afloopt. Als DHCP mislukt, kan Windows zichzelf een link-local APIPA-adres toewijzen, zoals 169.254.37.112. Dit maakt communicatie met andere link-local hosts op dat segment mogelijk, maar biedt geen via een router lopende toegang tot internet.

Vergelijk de IPv6-adresconfiguratie

Met SLAAC stelt een host een IPv6-adres samen met een /64-prefix dat door een router wordt aangekondigd. Vlaggen in routeraankondigingen sturen hosts naar DHCPv6: M vraagt om beheerde adresconfiguratie; O vraagt om andere instellingen zoals DNS. Toestandsvolle DHCPv6 levert een adres; toestandsloze DHCPv6 levert extra instellingen terwijl SLAAC het adres levert. DHCPv6 gebruikt UDP 546 voor clients en 547 voor servers. De standaardgateway komt uit routeraankondigingen of handmatige configuratie, niet uit DHCPv6.

Een DHCP-bereik, op Cisco-apparaten een pool genoemd, combineert de adressen van een subnet die kunnen worden geleased met de instellingen die clients daar nodig hebben. Plan de adressen voordat je opdrachten invoert, zodat de DHCP-server en handmatig geconfigureerde apparaten nooit hetzelfde adres claimen.

Kies het beschikbare bereik

Begin met het netwerk, het prefix en het bruikbare hostadresbereik. Maak een lijst van de gateway, servers en andere apparaten met een vast adres en sluit hun adressen uit. Voor 192.168.10.0/24 loopt het bruikbare bereik van .1 tot en met .254. Als je .1 tot en met .20 uitsluit, blijven .21 tot en met .254 over:

Die pool biedt ruimte aan 234 leases. Een verwacht aantal van 260 clients past niet; gebruik een groter subnet zoals een /23 met 510 bruikbare adressen, of een ander subnet. Houd bij het plannen van groei rekening met uitgesloten en gereserveerde ruimte én met actieve gebruikers.

Een uitsluiting geeft de server opdracht een adres nooit te leasen. Een reservering koppelt een adres aan een bepaald MAC-adres of een bepaalde clientidentificatie, terwijl het apparaat DHCP blijft gebruiken. Een printer met een reservering krijgt bij vernieuwing bijgewerkte DNS-instellingen. Een printer met een handmatig ingevoerde statische configuratie moet op het apparaat zelf worden bijgewerkt.

Configureer een pool op Cisco IOS

Voer de uitsluiting in de globale configuratie in. De overige instellingen horen binnen de pool:

ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp pool OFFICE
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.10.5
 domain-name example.com
 lease 0 8

lease 0 8 betekent 0 dagen en 8 uur. Zonder leaseopdracht is de standaardwaarde van IOS 1 dag. De gateway moet bij dit subnet passen; als je default-router van een andere pool kopieert, kunnen clients mogelijk wel lokale hosts bereiken maar hun netwerk niet verlaten.

Controleer het resultaat met show ip dhcp pool voor de poolcapaciteit, show ip dhcp binding voor clients en eindtijden van leases, en show ip dhcp conflict voor adressen die na een conflict zijn verwijderd. Windows Server gebruikt dezelfde begrippen bereik, uitsluiting, reservering en optie; bereikopties kunnen voorrang hebben op opties voor de hele server.

Stem leasetijd en redundantie af op de vraag

Wifi voor gasten heeft baat bij leases van ongeveer 1–4 uur, omdat vertrokken apparaten hun ruimte door het aflopen van de lease eerder vrijmaken. Stabiele desktopcomputers kunnen leases van enkele dagen gebruiken; de standaardwaarde van Windows Server is 8 dagen. Een pool van 200 adressen met elke dag 60 nieuwe gastapparaten kan in ongeveer 3,3 dagen vol raken als die leases bezet blijven. Het verkorten van de ingestelde duur helpt zodra nieuwe leases en vernieuwingen ingaan; bestaande leases worden er niet direct door gewist.

Twee servers kunnen het bereik zonder overlap verdelen, bijvoorbeeld in een verhouding van 80/20, of een ondersteunde failoverfunctie gebruiken die de leasestatus deelt. Twee onafhankelijke servers mogen niet vrij dezelfde adressen toewijzen: anders kunnen ze elk hetzelfde adres aan een andere client geven.

Een client verstuurt zijn Discover als broadcast op zijn lokale segment. Een gewone router stuurt die broadcast niet door, dus een DHCP-server in een ander subnet heeft een relayagent nodig om die te ontvangen. De relay draait meestal op de interface van de router of laag 3-switch die als gateway van het clientsubnet dient.

Stuur het verzoek door en bepaal het subnet

De relay ontvangt de broadcast en stuurt een unicastverzoek naar de server. Hij plaatst het adres van zijn interface aan de kant van de clients in giaddr, het veld voor het gateway-IP-adres. De server gebruikt dit adres om het bereik van de client te kiezen en stuurt zijn antwoord via de relay terug.

Stel dat voor VLAN 20 de gateway 192.168.20.1 op GigabitEthernet0/1 is en de server 10.0.0.10. Configureer:

interface GigabitEthernet0/1
 ip helper-address 10.0.0.10

De opdracht hoort op de interface aan de kant van de clients. Een helper op de interface aan de kant van de server ontvangt de broadcast van de client niet. De server heeft ook een bereik voor 192.168.20.0/24 en een retourroute naar 192.168.20.1 nodig. Een tweede helperregel kan een reserveserver aanwijzen. Op IOS sturen helperadressen standaard verschillende UDP-broadcastdiensten door, waaronder DNS en TFTP. Houd bij het ontwerpen van het netwerk rekening met dat gedrag.

Werk vanaf de client naar buiten toe

Gebruik het symptoom om de volgende controle te kiezen:

Onderzoek daarna het pad. Controleer het VLAN van de switchpoort, het serveradres van de helper, routering in beide richtingen en ACL- of firewallregels voor DHCP. Clients gebruiken UDP 68 en servers UDP 67; verkeer van de relay naar de server gebruikt de serverpoort. Een werkende DNS-dienst laat niet zien dat DHCP-verkeer is toegestaan.

VLAN 10 werkt bijvoorbeeld, maar een nieuw VLAN 30 krijgt alleen APIPA-adressen. Als de server op afstand staat en VLAN 30 geen helper heeft, bereikt de Discover de server nooit. Voeg de relay toe op de gateway van dat VLAN en controleer of de server een passend bereik heeft voordat je de vernieuwing opnieuw test.

Verhelp de oorzaak voordat je registraties wist

Een uitgeputte pool heeft geen vrije adressen om aan te bieden. Vergelijk in show ip dhcp pool het aantal geleasede adressen met het totaal min de uitgesloten adressen en controleer vervolgens de conflictlijst op meer niet-beschikbare ruimte. Herhaalde verzoeken met ipconfig /renew kunnen geen capaciteit creëren. Controleer verouderde uitsluitingen en reserveringen, pas de leasetijd aan de wisseling van apparaten aan of vergroot de adresruimte.

Een statisch geconfigureerd apparaat binnen de dynamische pool kan waarschuwingen voor dubbele adressen veroorzaken. Zoek en verhelp die overlap en wis daarna zo nodig opgeloste conflictvermeldingen met clear ip dhcp conflict *. Als je de lijst wist terwijl het dubbele adres nog bestaat, kan dezelfde storing opnieuw optreden.

Een onbevoegde DHCP-server, vaak een aangesloten thuisrouter, kan de verkeerde gateway uitdelen. Identificeer de server via de clientconfiguratie en verwijder die. DHCP-snooping voorkomt dat onvertrouwde switchpoorten serverantwoorden versturen en beschermt zo latere clients tegen dezelfde fout.

IP-adresbeheer (IPAM) verbindt planning met registratie en detectie. Het beantwoordt praktische vragen: welk subnet hoort bij dit VLAN? Wie is de eigenaar van dit adres? Is het statisch, gereserveerd of geleased? In welk bereik is nog ruimte? Een spreadsheet kan een klein plan bevatten; een speciaal hulpmiddel kan dat plan ook vergelijken met actieve apparaten. Producten die DNS, DHCP en IPAM combineren, heten DDI.

Leg genoeg vast om de volgende wijziging veilig uit te voeren

Leg voor elk subnet het netwerk en prefix, de VLAN-ID, gateway, het doel, de locatie, het DHCP-bereik en de uitsluitingen vast. Leg voor elke statische toewijzing de hostnaam, het MAC-adres, het apparaattype, de eigenaar en de toewijzingsdatum vast. Met deze velden kun je een adres dat alleen maar stil is onderscheiden van een adres dat beschikbaar is voor hergebruik.

Een locatie die 10.20.0.0/16 gebruikt, kan het volgende toewijzen:

Binnen elk subnet kan .1 de gateway zijn, .2–.20 het vaste bereik en .21–.254 het DHCP-bereik. Door dit patroon te documenteren kan een beheerder de rol van een apparaat herkennen en wordt voorkomen dat twee teams overlappende ruimte toewijzen. Het plan heeft nog steeds een afzonderlijke registratie nodig wanneer een vast adres wordt toegewezen.

Meet de beschikbare ruimte

De adresbezetting vergelijkt gebruikte adressen met bruikbare adressen:

Een /22 heeft 1.022 bruikbare IPv4-adressen. Als er 870 in gebruik zijn, is de adresbezetting ongeveer 85,1%. Bij een alarmdrempel van 80% zou de planning voor meer ruimte al zijn gestart. Houd deze subnetmaat gescheiden van de beschikbaarheid van de DHCP-pool: door uitsluitingen en reserveringen kan een dynamische pool vol zijn terwijl het subnet nog niet-toegewezen adressen heeft.

Vergelijk het plan met de waarnemingen

IPAM-adresdetectie kan DHCP-leases, DNS-records en ARP-tabellen van routers lezen en subnetten scannen. Vergelijk deze gegevens: een gevonden adres zonder eigenaar kan een niet-gedocumenteerd apparaat zijn; een geregistreerde server waarvan momenteel geen spoor is, kan buiten gebruik zijn gesteld. Onderzoek het verschil voordat je de toewijzing wijzigt.

Controleer voordat je een statisch adres toewijst de IPAM-registratie, DHCP-leases en DNS. Een mislukte ping is onvoldoende bewijs: de huidige eigenaar kan uitstaan of ping blokkeren. Registreer na de toewijzing het apparaat en bescherm de toewijzing tegen DHCP. Als je het apparaat buiten gebruik stelt, maak je het adres weer beschikbaar en verwijder je verouderde DNS-records, zodat een toekomstige gebruiker de oude naam niet overneemt.

DHCP kan DNS dynamisch bijwerken, zodat de A- en PTR-records van een client overeenkomen met zijn lease. IPAM brengt deze records in één overzicht samen, maar automatische detectie heeft nog steeds een nauwkeurig plan en eigenaarsgegevens nodig om te verklaren wat een apparaat hoort te doen.

IPv6 neemt de noodzaak weg om elk mogelijk hostadres in een /64 te tellen. Het neemt de noodzaak om te plannen niet weg. Leg vast welk /64-prefix bij elke locatie en elk VLAN hoort, samen met gateways en belangrijke vaste toewijzingen. Houd de structuur en het eigenaarschap van de adresruimte bij, ook als afzonderlijke hostadressen vaak veranderen.

DNS, het Domain Name System, slaat informatie op onder namen die in een boomstructuur zijn gerangschikt. Lees www.example.com. van rechts naar links: de root is de laatste punt, com is het topleveldomein en example en www duiden lagere niveaus aan. Een volledig gekwalificeerde domeinnaam (FQDN) geeft het volledige pad naar de root.

Bepaal wie het antwoord beheert

Een zone is een beheerd deel van die boom, opgeslagen op autoritatieve naamservers. De primaire server heeft de bewerkbare kopie; secundaire servers hebben alleen-lezenkopieën die ze via zoneoverdracht over TCP 53 verkrijgen. Aan het SOA-serienummer kunnen secundaire servers een nieuwere versie herkennen. Meerdere autoritatieve servers houden antwoorden beschikbaar als één server uitvalt.

Lees het recordtype vóór de waarde

Zo koppelt "www.example.com. 3600 IN A 203.0.113.10" een naam aan een IPv4-adres. "www.example.com. 3600 IN AAAA 2001:db8::10" levert IPv6. In deze records is 3600 de geldigheidsduur in de cache in seconden en IN de internetklasse.

Een alias zoals "shop.example.com. 3600 IN CNAME www.example.com." verwijst naar de naam, niet rechtstreeks naar het adres. Een opzoeking volgt die bestemming om een A- of AAAA-antwoord te krijgen. Een CNAME kan zijn naam niet delen met gewone gegevens zoals A-, MX-, SOA- of NS-records. DNSSEC-metadata vormen een bijzondere uitzondering. De zonetop heeft SOA- en NS-records nodig, dus daar kan geen standaard-CNAME worden geplaatst; alias- en afvlakkingsfuncties van providers verwerken records op een andere manier.

MX-voorkeursnummers werken omgekeerd aan een score waarbij “hoger beter is”. Bij voorkeur 10 voor mail1.example.com. en 20 voor mail2.example.com. proberen verzenders eerst mail1. MX-waarden moeten hostnamen zijn met rechtstreekse A- of AAAA-records. MX- en NS-bestemmingen mogen geen CNAME-aliassen zijn.

Keer het adres om en beheer caching

Voorwaartse opzoekingen beginnen met een naam; omgekeerde opzoekingen beginnen met een adres. Voor IPv4-adres 203.0.113.25 is de PTR-recordnaam 25.113.0.203.in-addr.arpa.. Een omgekeerde IPv6-opzoeking gebruikt omgekeerde hexadecimale cijfers onder ip6.arpa. Een A-record toevoegen maakt geen PTR-record aan, tenzij een bijwerkfunctie dat doet.

De geldigheidsduur (TTL) is de maximale normale geldigheidsduur in de cache in seconden: 300 is 5 minuten, 3600 een uur en 86400 een dag. Verlaag vóór een adreswijziging de TTL van 86400 naar 300 en wacht ten minste de oude TTL van een dag af. Wijzig daarna het adres, zodat gewone caches binnen 5 minuten kunnen vernieuwen, en verhoog de TTL na de verhuizing weer.

In een zonebestand is een naam zonder afsluitende punt relatief aan de huidige zone. Als je mail.example.com in de zone example.com schrijft, levert dat mail.example.com.example.com op. Gebruik mail.example.com. voor de volledige naam, of de relatieve naam mail.

Een computer neemt normaal gesproken niet zelf contact op met elke DNS-server. Zijn stubresolver vraagt een recursieve resolver om het antwoord op te halen. De resolver heeft een bruikbaar antwoord in de cache of neemt contact op met de servers die autoritatief zijn voor delen van de naam.

Begin op de client

Lokale bronnen zijn onder meer het hosts-bestand en de DNS-cache van de client. Een vermelding in het hosts-bestand kan op die computer voorrang hebben op DNS. Het Windows-pad is C:\Windows\System32\drivers\etc\hosts; Linux en macOS gebruiken /etc/hosts. Een vergeten testvermelding kan verklaren waarom één computer een oude server bereikt terwijl alle andere computers goed werken.

De client krijgt het adres van zijn resolver via DHCP-optie 6 of handmatige configuratie. Zijn verzoek is recursief: hij vraagt die resolver om het definitieve antwoord. De client besteedt de zoekactie uit en vraagt niet om een verwijzing naar de volgende DNS-server.

Werk vanaf de root naar de naam toe

Voor een opzoeking van www.example.com met lege caches:

1. De client vraagt het aan zijn recursieve resolver.
2. De resolver vraagt het aan een rootserver, die hem naar de com-servers verwijst.
3. Een com-server verwijst hem naar de autoritatieve servers voor example.com.
4. Een domeinserver geeft "A 203.0.113.10" terug, met TTL 3600.
5. De resolver slaat dat antwoord op in de cache en geeft het terug aan de client.

De verzoeken van de resolver door de hiërarchie zijn iteratief: elke server geeft zijn beste antwoord of verwijzing. De root bevat niet het adres van elke site. Er zijn 13 rootserveridentiteiten, met de namen a tot en met m, die elk worden bediend door veel fysieke systemen met anycastadressen.

De volgende client kan het antwoord uit de cache ontvangen zonder deze zoekactie te herhalen. Een hulpmiddel kan het aanduiden als "Non-authoritative answer"; dat geeft de bron van het antwoord aan, geen fout. Ook verwijzingen en negatieve antwoorden worden in de cache opgeslagen. Een NXDOMAIN-resultaat kan daardoor zichtbaar blijven nadat een ontbrekende naam is toegevoegd, totdat de negatieve geldigheidsduur in de cache afloopt.

Gebruik doorsturen als een andere resolver moet zoeken

Een resolver kan onbeantwoorde verzoeken naar een bovenliggende doorstuurserver sturen, die de zoekactie uitvoert. Een voorwaardelijke doorstuurserver stuurt verzoeken voor een bepaald domein naar aangewezen servers. Zo kan een bedrijf het interne domein van een partner naar de resolver van die partner sturen en gewone publieke namen elders naartoe sturen.

Onderscheid privacy van authenticiteit

Gewone DNS gebruikt UDP- of TCP-poort 53. De meeste kleine query's gebruiken UDP; zoneoverdrachten en veel grote antwoorden gebruiken TCP. DNS via TLS (DoT) versleutelt de verbinding tussen client en resolver op TCP 853. DNS via HTTPS (DoH) vervoert query's via HTTPS op poort 443 en kan filtering omzeilen die alleen gewoon DNS-verkeer bekijkt.

DNSSEC laat een validerende resolver daarentegen handtekeningen controleren en gewijzigde of vervalste DNS-gegevens herkennen. Het versleutelt query's of antwoorden niet. Versleuteling beschermt het transportpad; ondertekende gegevens ondersteunen de authenticiteit.

Na een adreswijziging publiceren autoritatieve servers de nieuwe gegevens, maar ze plaatsen die niet actief in elke resolvercache. Gebruikers kunnen tijdelijk verschillende antwoorden krijgen omdat hun kopieën in de cache verschillende resterende TTL's hebben. Die geldigheidsduur verklaart de gebruikelijke vertraging die “DNS-propagatie” wordt genoemd.

Begin met de exacte fout. “Host niet gevonden” betekent dat een naamopzoeking is mislukt. “Verbinding geweigerd” na een geslaagde opzoeking wijst op een andere oorzaak. Door eerst een bekend adres en daarna de bijbehorende naam te testen, kun je naamresolutie onderscheiden van toegang tot de bestemming.

Als ping 203.0.113.10 werkt maar ping www.example.com meldt dat de host niet kan worden gevonden, onderzoek dan de naamresolutie. Als beide mislukken, controleer dan de adressering en routering, maar houd er rekening mee dat ook ping kan worden gefilterd. Een mislukte ping alleen bewijst niet dat DNS defect is of dat de dienst onbereikbaar is.

Bevraag rechtstreeks de juiste server

Zoek de geconfigureerde DNS-servers met ipconfig /all, resolvectl status of waar van toepassing /etc/resolv.conf. Vergelijk daarna query's:

nslookup www.example.com
nslookup www.example.com 192.0.2.53
nslookup -type=MX example.com
dig @192.0.2.53 example.com MX
dig -x 203.0.113.25
dig +trace www.example.com
Resolve-DnsName www.example.com -Type AAAA

De eerste opzoeking test de door de client gekozen resolver; een expliciet serveradres test een gekozen resolver of autoritatieve server. dig +trace volgt verwijzingen. Een geslaagde rechtstreekse query maar een mislukte opzoeking door een applicatie wijst op lokale instellingen, de cache of het hosts-bestand.

Interpreteer het antwoord

SERVFAIL kan volgen op een onbereikbare autoritatieve server of een mislukte DNSSEC-validatie. REFUSED is anders: een bereikbare server kan recursie alleen voor interne clients toestaan. In dig duidt de vlag aa een autoritatief antwoord aan.

Vergelijk oude en nieuwe gegevens

Stel dat een server van 203.0.113.10 naar 203.0.113.80 is verhuisd. De autoritatieve server geeft .80 terug, terwijl de resolver op kantoor .10 teruggeeft met resterende tijd op een oude TTL van 86400 seconden. De wijziging is gepubliceerd; de cache op kantoor is verouderd. Wacht tot die verloopt of wis de betrokken caches van de resolver en clients. ipconfig /flushdns wist de cache van de Windows-client, niet elke bovenliggende cache. Door de TTL vooraf te verlagen voorkom je lang wachten tijdens een geplande verhuizing.

Als slechts één computer afwijkt, onderzoek dan het hosts-bestand en de lokale cache. Als autoritatieve servers verschillende antwoorden geven, vergelijk dan de SOA-serienummers: een gewijzigde primaire zone met een ongewijzigd serienummer wordt mogelijk niet naar secundaire servers overgedragen.

Koppel de falende dienst aan zijn records

Een verkeerd A-record raakt IPv4. Een onjuist of onbruikbaar AAAA-record kan vertragingen bij IPv6-verbindingen veroorzaken, ook als IPv4 werkt; een server met alleen IPv4 heeft geen AAAA-record nodig. Controleer voor mail de MX-namen en hun rechtstreekse A- of AAAA-records. Zonder MX kunnen verzenders de eigen adresrecords van het domein proberen. Een ontbrekend PTR-record kan de acceptatie van mail beïnvloeden en maakt logs moeilijker leesbaar.

Sta ten slotte zowel UDP als TCP 53 toe waar gewone DNS die nodig heeft. Een firewall die alleen UDP toestaat, kan kleine antwoorden doorlaten maar grote antwoorden en zoneoverdrachten verstoren.

Een gedeelde tijd maakt gebeurtenissen vergelijkbaar. Als een switch een poortstoring registreert en een router een weggevallen buur, helpen nauwkeurige tijdstempels om de volgorde vast te stellen. Tijd beïnvloedt ook de geldigheid van certificaten en authenticatie: Kerberos van Active Directory staat standaard slechts 5 minuten klokverschil toe.

Begrijp de klokhiërarchie

NTP, het Network Time Protocol, wisselt pakketten met tijdstempels uit via UDP 123. Met vier tijdstempels kan de client zijn klokafwijking en de netwerkvertraging schatten. Hij bevraagt de server herhaaldelijk, meestal met tussenpozen van 64–1.024 seconden. Kleine correcties worden meestal geleidelijk uitgevoerd, een proces dat geleidelijke klokcorrectie heet, zodat de klok niet plotseling terugspringt.

Een stratum beschrijft de afstand tot een referentieklok:

Bruikbare netwerkstrata lopen van 1 tot en met 15. Stratum is geen nauwkeurigheidsscore: een nabije stratum 2-server kan betere resultaten opleveren dan een verre stratum 1-bron die via een pad met wisselende vertraging wordt bereikt.

Gebruik voor de interne tijdservers meerdere bovenliggende bronnen, bij voorkeur ten minste vier. Zo kan NTP bronnen vergelijken en een onjuiste bron afwijzen. Andere netwerkapparaten kunnen met die interne servers synchroniseren, waardoor extern verkeer wordt beperkt en de lokale tijdlijn consistent blijft.

Configureer en controleer een client

Op Cisco IOS selecteert ntp server 192.0.2.123 een bovenliggende server; met prefer geef je een voorkeursbron aan. Een gesynchroniseerd apparaat kan vervolgens tijdverzoeken van andere apparaten beantwoorden. ntp master 4 adverteert daarentegen de eigen klok van de router als een stratum 4-bron. Als je het nummer weglaat, is de standaardwaarde stratum 8. Gebruik zo'n lokale referentie alleen als er geen betere bron bestaat, bijvoorbeeld in een geïsoleerd lab.

Controleer met show ntp status de synchronisatie en het lokale stratum. Als de bovenliggende server stratum 2 heeft, krijgt de gesynchroniseerde client stratum 3. In show ntp associations markeert een sterretje de geselecteerde bron. Geef een nieuwe associatie enkele minuten om stabiel te worden voordat je de aanvankelijke niet-gesynchroniseerde status als een blijvende storing beschouwt.

NTP verspreidt UTC. De instellingen voor tijdzone en zomertijd van het apparaat bepalen de weergegeven lokale tijd. Zo stelt clock timezone CET 1 op IOS een standaardafwijking van één uur in. Een fout van precies een geheel aantal uren wijst op de weergave-instellingen. Veel organisaties loggen in UTC om bij een incident omzettingen tussen locaties te vermijden.

Bescherm de tijd en kies de benodigde precisie

Authenticatie met een symmetrische sleutel beperkt de geaccepteerde tijdbronnen tot bronnen die de ingestelde sleutel delen. Network Time Security (NTS) gebruikt een sleuteluitwisseling op basis van TLS via TCP 4460 en authenticeert daarna de NTP-pakketten die nog steeds via UDP 123 gaan. Beperk ook welke hosts tijdsdiensten mogen bevragen of beheren.

Precision Time Protocol (PTP, IEEE 1588) volgt een hoofdreferentieklok en gebruikt hardwaretijdstempels in netwerkkaarten en switches om op geschikte lokale netwerken een nauwkeurigheid van minder dan een microseconde te bereiken. Het voorziet in behoeften zoals mobiele netwerken en industriële besturing, waar de timing van gewone NTP op millisecondeniveau onvoldoende is. PTP kan via Ethernet of IP werken; transport via IP gebruikt UDP 319 voor gebeurtenisberichten en UDP 320 voor algemene berichten. SNTP is een eenvoudigere NTP-implementatie voor clients met minder hoge eisen aan de tijd.

SNMP, het Simple Network Management Protocol, laat een manager voor bewaking gegevens lezen van een agent op een apparaat. De gegevens worden beschreven door een management information base (MIB). Elk object heeft een objectidentificatie (OID), een pad met punten in een boomstructuur. Zo identificeert 1.3.6.1.2.1.1.5.0 het object sysName; 1.3.6.1.2.1.1.3.0 identificeert sysUpTime. Objecten van leveranciers staan onder de enterprises-tak, 1.3.6.1.4.1.

Combineer periodieke bevraging met meldingen

De agent luistert op UDP 161 naar verzoeken. De manager ontvangt traps en informs op UDP 162.

Een manager kan elke 5 minuten verkeer, CPU en geheugen bevragen om grafieken te maken. Een trap kan een uitgevallen verbinding direct melden. Gebruik beide: traps kunnen via UDP verloren gaan en een uitgevallen apparaat kan mogelijk helemaal geen melding versturen. Informs worden opnieuw verstuurd volgens de instellingen voor wachttijd en herhalingen, maar kunnen alsnog mislukken als de herhalingen zijn opgebruikt.

Kies een veilige versie

SNMPv1 en v2c versturen een communitystring als onversleutelde tekst. Alleen-lezentoegang (RO) staat lezen toe; lees-schrijftoegang (RW) staat ook ondersteunde wijzigingen toe. Versie 2c voegt GetBulk, informs en tellers met hoge capaciteit toe. SNMPv3 gebruikt accounts met de beveiligingsniveaus noAuthNoPriv, authNoPriv en authPriv. Geef waar ondersteund de voorkeur aan authPriv, dat berichten authenticeert en versleutelt.

Een IOS-configuratie voor v2c kan snmp-server community N3tM0n-RO RO 10 gebruiken om leestoegang met ACL 10 te beperken. snmp-server host 192.0.2.50 version 2c N3tM0n-RO selecteert de ontvanger van meldingen en snmp-server enable traps schakelt traps in. Een voorbeeld voor v3 is:

snmp-server group NMS v3 priv
snmp-server user monitor NMS v3 auth sha <auth-password> priv aes 128 <priv-password>

Vermijd standaardcommunities zoals "public" en "private", beperk de toegang tot beheerhosts en geef alleen schrijftoegang wanneer dat nodig is. SNMP stelt MIB-objecten beschikbaar; het is geen externe opdrachtshell.

Zet een tellerverandering om in bezettingsgraad

Tellers meten opgetelde bytes, ook octetten genoemd. Stel dat ifHCInOctets in 300 seconden stijgt van 18.250.000.000 naar 19.750.000.000:

1. Trek de meetwaarden van elkaar af: er is 1.500.000.000 bytes binnengekomen.
2. Vermenigvuldig met 8: er is 12.000.000.000 bits binnengekomen.
3. Deel door 300 seconden: 40.000.000 bit/s, oftewel 40 Mbit/s.
4. Deel door de verbindingssnelheid van 100 Mbit/s: de inkomende bezettingsgraad was gemiddeld 40%.

Dit is een gemiddelde over een interval, dus korte pieken kunnen hoger zijn. Als je de factor voor omzetting van bytes naar bits vergeet, krijg je een snelheid die acht keer te klein is.

Een 32-bitsteller bereikt 4.294.967.295 en begint opnieuw bij nul. Bij 1 Gbit/s gebeurt dat in ongeveer 34 seconden, zodat een meetinterval van 5 minuten meerdere rondgangen kan missen. Gebruik voor snelle verbindingen de 64-bitstellers ifHCInOctets en ifHCOutOctets, die door v2c en v3 worden ondersteund. Controleer of de teller ononderbroken heeft doorgelopen voordat je een negatief verschil als negatief verkeer interpreteert.

Syslog stuurt gebeurtenisberichten naar een centrale verzamelserver. Centrale verzameling bewaart bewijsmateriaal bij herstarts van apparaten en laat een beheerder gegevens van meerdere apparaten samen doorzoeken. Een systeem voor beveiligingsinformatie- en gebeurtenisbeheer (SIEM) kan die registraties gebruiken om gebeurtenissen met elkaar in verband te brengen.

Traditionele syslog gebruikt UDP 514. TCP-transport biedt ontvangstbevestigingen op de transportlaag; TLS op TCP 6514 beschermt ook de verbinding. Zelfs bij betrouwbaar transport moeten verzameling en opslag werken, dus controleer of berichten daadwerkelijk aankomen.

Lees de ernstniveaudrempel correct

Syslogniveaus lopen van 0 tot en met 7, waarbij een lager nummer een grotere ernst betekent:

Een ingestelde drempel omvat dat niveau en alle ernstigere niveaus. logging trap warnings stuurt niveaus 0–4, niet alleen niveau 4. De standaardwaarde van IOS voor externe logging is informational, niveaus 0–6. Als je debugging inschakelt, worden alle niveaus verstuurd en kan veel verkeer en verwerkingswerk ontstaan.

Onderscheid broncategorie van ernstniveau

De syslog-broncategorie duidt een type bron aan. Voorbeelden zijn kern (0), user (1), mail (2) en auth (4). Local0 tot en met local7, codes 16–23, zijn beschikbaar voor lokaal gebruik; Cisco-apparaten gebruiken standaard local7. Een verzamelserver kan berichten van netwerkapparaten met die code sorteren.

De prioriteit van een bericht combineert beide velden:

Local7 met ernstniveau 3 levert 187 op, geschreven als "<187>". Het getal codeert een paar waarden en is geen afzonderlijke ernstschaal.

Het zichtbare berichtpatroon van Cisco is "%FACILITY-SEVERITY-MNEMONIC: description". In "%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down" noemt LINEPROTO de IOS-functie, betekent 5 Notice en duidt UPDOWN de gebeurtenis aan. Deze functienaam verschilt van de broncategorie local7 voor het transport. "%SYS-5-CONFIG_I: Configured from console by admin on vty0" registreert een configuratiewijziging.

Kies bestemmingen en stem tijdstempels op elkaar af

Bestemmingen hebben afzonderlijke instellingen. logging buffered 16384 informational houdt een geheugenbuffer bij, die je met show logging uitleest. logging host 192.0.2.50 selecteert een verzamelserver. logging trap warnings stelt de drempel daarvan in. In een externe terminalsessie toont terminal monitor bewaakte berichten. Foutopsporingsuitvoer naar de console kan de CPU van een druk apparaat overbelasten.

Gebruik service timestamps log datetime msec om datum en tijdstempels tot op de milliseconde toe te voegen, en NTP om klokken te synchroniseren. Een poort die om 10:42:13,208 uitvalt, een router die om 10:42:13,350 een buur verliest en de poort die om 10:42:17,511 terugkeert, vormen een bruikbare volgorde. Ze wijzen op een mogelijk samenhangend verbindingsprobleem dat onderzoek verdient; op zichzelf tonen ze geen defecte kabel aan. Zonder gedeelde tijd kan de schijnbare volgorde eenvoudigweg een klokfout weerspiegelen.

Een spraakgesprek en een bestandsoverdracht reageren verschillend op congestie. Een bestand kan wachten terwijl TCP ontbrekende gegevens opnieuw verstuurt. Een gesprek heeft er last van als pakketten laat aankomen, met wisselende tussenpozen aankomen of verdwijnen. Met quality of service (QoS) kan het netwerk verschillend verkeer verschillend behandelen.

Bepaal wat de dienst nodig heeft

Vier eigenschappen zijn van belang: bandbreedte, de hoeveelheid die per seconde wordt verstuurd; vertraging, de reistijd van begin tot eind; jitter, variatie in die vertraging; en verlies, het aandeel pakketten dat wordt verworpen. Veelgebruikte ontwerpdoelen voor spraak zijn hoogstens 150 ms vertraging in één richting, 30 ms jitter en 1% verlies. Dit zijn planningsdoelen voor bruikbare interactieve spraak, geen extra capaciteit die door beleid wordt gecreëerd.

QoS is gedrag per hop (PHB). Elke router of switch past zijn eigen beleid toe. Een pakket dat voor prioriteit is gemarkeerd, heeft nog steeds elke overbelaste hop nodig om die klasse te herkennen en te bedienen. Wachtrijprioriteiten veranderen de bedieningsvolgorde als verkeer concurreert; classificatie, markering en snelheidslimieten kunnen ook op een niet-overbelaste verbinding werken.

Classificeer eerst en markeer daarna

Classificatie herkent verkeer aan de hand van adressen en poorten, een inkomende interface, een bestaande markering of applicatieherkenning zoals Cisco NBAR. Markering schrijft een waarde in een frame of pakket, zodat volgende apparaten de klasse met weinig inspanning kunnen herkennen.

DSCP neemt zes bits in van de ToS-byte van IPv4 of de Traffic Class van IPv6. De overige twee bits zijn ECN, expliciete congestiemelding. CoS kan niet voorkomen in een frame dat zonder VLAN-tag wordt verstuurd.

Ontcijfer veelvoorkomende DSCP-waarden

Verkeer zonder bijzondere voorrang heeft waarde 0. Versnelde doorsturing (EF) is 46, binair 101110, en wordt vaak gebruikt voor spraakmedia. Gewaarborgde doorsturing (AFxy) duidt klasse x aan, van 1–4, en verwerpingsprioriteit y, van 1–3:

Daarom zijn AF11, AF21, AF31 en AF41 respectievelijk 10, 18, 26 en 34. Voor AF32 bereken je 8 maal 3 plus 2 maal 2 en krijg je 28. Binnen klasse 4 heeft AF43 (38) een hogere verwerpingsprioriteit dan AF42 (36), die hoger is dan AF41 (34). Een hogere verwerpingsprioriteit betekent een grotere kans op verwerping bij congestie, geen betere bescherming. Het ingestelde beleid bepaalt de middelen voor de verschillende AF-klassen.

Klasseselectoren gebruiken 8 maal hun nummer: CS3 is 24, vaak gebruikt voor gesprekssignalering; CS6 is 48, vaak gebruikt voor routeringsverkeer.

Bepaal welke markeringen je vertrouwt

Bij een vertrouwensgrens bepaalt het netwerk welke binnenkomende markeringen het respecteert. Een toegangsswitch kan een IP-telefoon vertrouwen en tegelijkertijd het verkeer van de aangesloten pc opnieuw markeren als verkeer zonder bijzondere voorrang. Anders zou een gebruiker een grote download als EF kunnen markeren en laten concurreren met gesprekken. Gewone diensten van internetproviders behouden de QoS-behandeling van een klant doorgaans niet van begin tot eind.

Neem headers mee als je de capaciteit voor spraak bepaalt. Een G.711-gesprek dat 50 pakketten per seconde verstuurt, elk met 160 bytes spraak plus 40 bytes aan headers, gebruikt 200 bytes per pakket. Vermenigvuldigen met 8 en daarna met 50 geeft 80.000 bit/s, oftewel 80 kbit/s per richting. Twintig gesprekken gebruiken 1,6 Mbit/s in elke richting op de IP-laag, vóór de overhead van laag 2.

Congestie begint als pakketten sneller aankomen dan een interface ze kan versturen. Een LAN van 1 Gbit/s dat verkeer naar een WAN van 100 Mbit/s stuurt, kan dit capaciteitsknelpunt veroorzaken, zelfs als het LAN zelf licht belast is. Wachtende pakketten komen in een uitgaande wachtrij; de tijd daarin voegt vertraging toe.

Kies het volgende pakket om te versturen

FIFO, wat als eerste binnenkomt vertrekt als eerste, verstuurt pakketten in volgorde van aankomst. Gewogen eerlijke wachtrijverdeling per klasse (CBWFQ) geeft verkeersklassen bij congestie minimale bandbreedteaandelen. Wachtrijbeheer met lage vertraging (LLQ) voegt een strikte prioriteitswachtrij toe voor vertragingsgevoelig verkeer, met een ingestelde limiet om andere klassen te beschermen.

Op een WAN van 100 Mbit/s kan een beleid bijvoorbeeld een prioriteitsklasse van 10 Mbit/s aan spraak toewijzen, 30% aan bedrijfsapplicaties garanderen en de rest aan standaardverkeer overlaten. Een bandbreedtegarantie is een minimaal aandeel bij concurrentie, niet noodzakelijk een maximum als andere klassen niets doen. De prioriteitslimiet voorkomt dat verkeer in de spraakklasse de hele overbelaste verbinding gebruikt.

Verwerp voordat alle wachtrijen tegelijk vol raken

Verwerping aan het einde van de wachtrij verwerpt nieuw aankomende pakketten als een wachtrij vol is. Als veel TCP-stromen dat verlies tegelijk ervaren, kunnen ze allemaal vertragen en later weer samen versnellen. Deze globale synchronisatie verspilt capaciteit.

Gewogen willekeurige vroegtijdige detectie (WRED) begint geselecteerde pakketten te verwerpen voordat de wachtrij vol raakt. Stromen schakelen dan op verschillende momenten terug. Een DSCP-bewust beleid kan AF13 eerder verwerpen dan AF11, omdat beide in klasse 1 zitten maar AF13 een hogere verwerpingsprioriteit heeft. UDP-spraak verlaagt de verzendsnelheid niet als reactie op dergelijk verlies, dus WRED is niet de gebruikelijke behandeling voor de prioriteitswachtrij voor spraak.

Onderscheid verkeersbegrenzing van verkeersafvlakking

Een provider kan verkeer begrenzen op de contractueel afgesproken snelheid (CIR). Pieken boven het contract kunnen worden verworpen, ook als de fysieke poort sneller is. TCP kan een zaagtandpatroon vertonen doordat het herstelt en opnieuw wordt afgeremd.

Een verkeersafvlakker buffert pieken lokaal en geeft verkeer vrij met de ingestelde snelheid. De toegestane piekhoeveelheid voor een interval is:

Zet voor 200 Mbit/s en een interval van 10 ms eerst 10 ms om naar 0,010 s. Vermenigvuldiging geeft 2.000.000 bits per interval; delen door 8 geeft 250.000 bytes.

Stel dat de locatie een provideraansluiting van 1 Gbit/s heeft, maar de provider op 200 Mbit/s begrenst. Vlak het uitgaande verkeer van de locatie af naar 200 Mbit/s en pas de spraakwachtrij binnen die verkeersafvlakking toe. Het wachten gebeurt dan waar de locatie de prioriteit beheert, voordat de provider overtollige pakketten verwerpt.

Pas het beleid toe en controleer het

Op IOS herkent een class-map verkeer, definieert een policy-map acties en koppelt service-policy het beleid aan een interface en richting. Een wachtrijbeleid verandert de concurrentie alleen tijdens congestie. Verkeersbegrenzing en verkeersafvlakking handhaven hun ingestelde snelheid ook op een verder rustige verbinding. Te grote wachtrijen kunnen de spraakvertraging verergeren doordat de wachttijd toeneemt.

Een proxy ontvangt een verzoek en doet een afzonderlijk verzoek aan de bestemming. De client maakt verbinding met de proxy en de proxy maakt verderop verbinding. Dankzij deze rol op applicatieniveau kan de proxy verzoeken filteren, in de cache opslaan of routeren. NAT herschrijft daarentegen adressen in pakketten zonder op te treden als de server die verzoeken van de applicatie afhandelt.

Vraag namens wie de proxy handelt

Een forwardproxy kan één gecontroleerde internetuitgang bieden voor de gebruikers van een organisatie. Een reverseproxy kan www.example.com publiceren op 203.0.113.10 en verzoeken doorsturen naar interne servers zoals 10.1.1.21 en 10.1.1.22. Namens wie de proxy handelt, is het bepalende verschil.

Configureer of onderschep clientverkeer

Een expliciete proxy is bekend bij de client. Het adres en de poort, zoals 10.0.0.8 op 3128 of 8080, kunnen handmatig worden ingevoerd, door beheersoftware worden verspreid of via een PAC-bestand voor automatische proxyconfiguratie worden geselecteerd. WPAD helpt proxyconfiguratie automatisch te vinden. Deze poortnummers zijn gebruikelijke keuzes, geen universele vereisten voor alle proxy's.

Een transparante proxy ontvangt verkeer dat door het netwerk wordt omgeleid zonder proxyinstellingen op de client. Het kan nog steeds een forwardproxy zijn omdat de proxy namens clients handelt. Of de client de proxy kent en namens wie de proxy handelt, zijn twee verschillende vergelijkingen.

Begrijp wat er met HTTPS gebeurt

Met een expliciete proxy kan een client een CONNECT-verzoek sturen. De proxy zet een tunnel op en versleuteld verkeer gaat erdoorheen. De proxy kan de gevraagde bestemming zien, maar tunneling alleen onthult de beveiligde HTTP-inhoud niet.

Om die inhoud te inspecteren moet de proxy TLS-onderschepping uitvoeren. Hij maakt afzonderlijke beveiligde verbindingen en presenteert certificaten die zijn ondertekend door de certificeringsinstantie van de organisatie. Clients moeten die instantie vertrouwen. Applicaties met vastgepinde certificaten kunnen dit vervangende certificaat weigeren, waardoor sommige bestemmingen van inspectie moeten worden uitgezonderd. Onderschepping verandert ook wie het verkeer kan lezen, waardoor privacy deel uitmaakt van de ontwerpkeuze.

Een cachingproxy kan antwoorden alleen hergebruiken als HTTP-cacheregels dat toestaan. Herhaalde softwaredownloads of statische bronnen kunnen WAN-bandbreedte besparen. Persoonlijke of vaak veranderende gegevens kunnen vaak niet vanuit een cache worden gedeeld. Gewone versleutelde tunnels geven een proxy geen toegang tot de inhoud die nodig is voor zulke inspectie en caching.

Stel de oorzaak van een proxyspecifieke storing vast

Als browsen mislukt terwijl andere applicaties werken, onderzoek dan het proxyadres, de poort en de bereikbaarheid. Als automatische configuratie mislukt, test dan de toegang tot het PAC-bestand. Als interne sites alleen via de proxy niet werken, controleer dan de uitzonderingsregels: een patroon zoals *.corp.example.com kan die verzoeken op het interne pad houden.

Voor inkomende webdiensten kan een reverseproxy /api naar een applicatieserver en /images naar een server voor statische inhoud sturen. Als hij geschikte verzoeken over meerdere achterliggende systemen verdeelt, voert hij ook lastverdeling uit. Centrale TLS-beëindiging vereenvoudigt certificaatbeheer, terwijl de interne verbindingen waar nodig opnieuw kunnen worden versleuteld.

Een loadbalancer biedt clients een virtueel IP-adres (VIP) aan en stuurt verkeer naar een pool van achterliggende servers. De client gebruikt één dienstnaam terwijl de pool capaciteit levert en het uitvallen van afzonderlijke servers opvangt. Voor onderhoud laat je de verbindingen op één server uitlopen: nieuwe verbindingen stoppen en bestaand werk kan worden afgerond voordat de server wordt verwijderd.

Test de dienst voordat je er werk naartoe stuurt

Een beschikbaarheidscontrole moet passen bij de dienst die clients nodig hebben. Ping test of een host antwoordt, een TCP-controle test of een poort verbindingen accepteert en een HTTP-controle kan een pagina zoals /health op status 200 testen. Een host kan op ping antwoorden, ook nadat het webproces is vastgelopen.

Stel dat voor shop.example.com de VIP 203.0.113.20 op poort 443 is en de pool bestaat uit 10.1.2.11–10.1.2.13 op poort 8080. Controles worden elke 5 seconden uitgevoerd en markeren een server na drie opeenvolgende fouten als niet beschikbaar. Detectie duurt ongeveer drie controle-intervallen, ongeveer 15 seconden, waarbij de werkelijke tijd wordt beïnvloed door de planning en time-outs van controles. Zodra .13 niet beschikbaar is, gaan nieuwe verbindingen naar .11 en .12. Die overgebleven servers hebben genoeg reservecapaciteit nodig voor de extra belasting.

Kies hoe je werk verdeelt

Gewichten 3:2:1 verdelen 600 nieuwe verbindingen in 300, 200 en 100. Bij actieve aantallen van 12, 7 en 9 kiest toewijzing op basis van de minste verbindingen de tweede server. Deze algoritmen kiezen uit beschikbare servers die in aanmerking komen, niet uit servers die al door beschikbaarheidscontroles zijn verwijderd.

Houd sessiestatus beschikbaar

Sessiepersistentie stuurt een gebruiker terug naar dezelfde server als die server de sessie opslaat, zoals een winkelwagen. Een cookie of bronadres kan de gebruiker identificeren. Persistentie kan de belasting minder gelijkmatig maken; als die server uitvalt, kan de lokale sessie verloren gaan. Met een gedeelde database of cache kunnen andere servers de sessie herstellen en neemt de afhankelijkheid van één achterliggend systeem af.

Een laag 4-loadbalancer gebruikt adressen en poorten om TCP- of UDP-verkeer te verdelen zonder applicatie-inhoud te lezen. Een laag 7-loadbalancer leest informatie zoals HTTP-hostnamen, paden en cookies. Om HTTPS-inhoud te inspecteren beëindigt hij TLS, TLS-ontlasting genoemd, en kan hij een nieuwe versleutelde verbinding naar het achterliggende systeem opzetten.

Bescherm ook het toegangspunt

Een enkele loadbalancer kan zelf uitvallen. Een actief-passief paar heeft een reserve klaarstaan om de VIP over te nemen; bij een actief-actief ontwerp verwerken beide verkeer.

Gewone beurtelingse DNS-toewijzing publiceert meerdere A-records voor een naam en wisselt hun volgorde af. Dit biedt eenvoudige verdeling, maar heeft geen ingebouwde controles van de beschikbaarheid van diensten en verwijdert adressen in caches niet onmiddellijk. Clients kunnen een uitgevallen adres blijven gebruiken totdat records zijn gewijzigd en caches zijn verlopen. Wereldwijde serverlastverdeling voegt beslissingen over beschikbaarheid en locatie toe aan DNS-antwoorden, maar de geldigheidsduur in caches blijft van belang.