PowerDNS e blacklist DNSBL: riconciliare 177.000 IP senza perdere eccezioni

Guida operativa basata su un caso verificato. Riconciliazione completata e verificata tra database reputazionale e zone PowerDNS, senza rimuovere gli indirizzi protetti.

Il problema

Un servizio DNSBL possedeva un database centrale di reputazione IP e record corrispondenti in PowerDNS. Il rischio principale era che una procedura di riallineamento eliminasse record protetti o lasciasse incongruenze fra database e DNS.

Metodo sicuro

Prima di scrivere, estrarre gli insiemi degli indirizzi attesi e pubblicati. Calcolare le differenze per aggiunte, rimozioni e protezioni, poi applicare operazioni idempotenti. Il criterio importante non è la velocità, ma la possibilità di ripetere lo stesso aggiornamento senza modificare il risultato.

Controlli SQL

-- Schemi e nomi tabella variano per implementazione
SELECT COUNT(*) FROM reputation;
SELECT COUNT(*) FROM dns_records;
-- Confrontare gli insiemi chiave tramite JOIN/EXCEPT
-- e proteggere le righe con attributo protected.

Non copiare queste query senza adattarle allo schema reale. Nell’implementazione dell’incidente è stato utilizzato un riconciliatore dedicato.

Esecuzione verificata

Una riconciliazione rapida su circa 177 mila IP è terminata in meno di undici secondi, con missing=0, protected_removed=0 e dns_created=0. Il controllo finale ha riportato CONSISTENCY: OK. Il timer di esecuzione è stato riattivato soltanto dopo questo risultato.

Come controllare

systemctl list-timers --all | grep -Ei 'rbl|dns|reconcil'
journalctl -u NOME_SERVIZIO --since '1 hour ago' --no-pager
dig @IP_DNSBL NOME_RECORD_DNSBL A +short

Il nome del timer e la struttura del record dipendono dall’applicazione. Registrare numero di elementi attesi, elementi mancanti e record protetti rimossi.

Lezione

In un servizio DNSBL non è sufficiente controllare che il demone DNS risponda. Occorre anche verificare la coerenza dei dati e l'assenza di cancellazioni non autorizzate.

Approfondimenti correlati

Comandi e percorsi riportano segnaposto generici; verificare versioni e backup prima di applicarli in produzione.