Caiway waarschuwt voor mogelijke netwerkonderbreking na uitschakelen DNS-servers

Caiway waarschuwt klanten dat het drie DNS-servers gaat uitfaseren. Dat gebeurt in de komende weken. Klanten die daardoor geen internet hebben, moeten handmatig hun DHCP herconfigureren of een andere DNS-server gebruiken.

Klanten van de provider, waaronder enkele tweakers, hebben een bericht gekregen waarin de provider waarschuwt dat het de komende periode enkele DNS-servers gaan uitfaseren. "Tussen 8 mei en 3 juni zullen we DNS-servers met de IP-adressen 83.128.0.2, 83.128.0.3 en 83.128.0.4 geleidelijk uitschakelen", schrijft Caiway. Het bedrijf heeft ook een ondersteuningspagina online gezet met meer informatie.

Caiway zegt de servers uit te faseren en dat klanten daardoor in sommige gevallen geen internet meer kunnen hebben op bepaalde apparaten. Dat gebeurt als klanten een vast DNS-adres hebben ingesteld via een van de uitgefaseerde adressen. Caiway raadt klanten aan om DHCP in te schakelen om automatisch de juiste DNS-gegevens te configureren.

Volgens Caiway verandert het de DNS-servers 'om de netwerkbeveiliging te versterken en de prestaties te verbeteren'. Ook wil het bedrijf 'toekomstige verstoringen minimaliseren'.

Door Tijs Hofmans

Nieuwscoördinator

10-05-2024 • 09:19

145 Linkedin Whatsapp

Submitter: lt_cmd_data

Reacties (145)

145
143
81
1
0
30
Wijzig sortering
Aangezien de meeste mensen, zeker de niet-techneuten, de DHCP zullen gebruiken zal de impact te verwaarlozen zijn lijkt me. En techneuten hebben dit zelf al ingesteld, dus weten dit ook wel aan te passen.

Is er een reden dat ze die drie IP-adressen niet als secundair adres opnemen op de nieuwe DNS-servers? Dan zou immers geen enkele klant het hoeven aan te passen, omdat ze dan gewoon naar de nieuwe DNS-servers verwijzen.
En de mensen die er wél verstand van hebben zullen waarschijnlijk niet zo snel de DNS van de provider instellen.
Dat is privacy technisch (verplichte dns washing telecom wet) wel een van de beter instellingen. 8.8.8.8 is helemaal een NO GO. Helaas kom ik die bij de mensen die er verstand van (zouden) hebben ;-) veel te vaak tegen.

[Reactie gewijzigd door xbeam op 10 mei 2024 10:03]

1.1.1.1 is nogsteeds mijn go-to
Inderdaad. En 2606:4700:4700::1111 voor IPv6.
Als caiway alle klanten ipv6 zou aanbieden dan was het probleem uit het nieuws een stuk minder relevant.
Kan iemand mij uitleggen waarom na al die jaren sowieso maar een handjevol providers IPv6 aanbieden?
Nederland was 1 van de eerste landen waar het internet doorbrak, Nederlandse ISP hebben relatief veel IPv4 ranges in bezit. Er is voor de bestaande ISP weinig noodzaak om IPv6 naar de consumenten uit te rollen. Het kost geld, iedere wijziging is een potentieel risico en buiten een paar tweakers (die iedere ISP liever kwijt dan rijk is) hebben de klanten er geen interese in. De enige manier waarop dit gaat veranderen is als er een dienst komt die alleen via IPv6 bereikbaar is die een groot deel van de consumenten wil hebben, of er een wettelijke verplichting komt IPv6 te leveren aan cosumenten.
Dat Nederland één van de eerste landen was waar internet doorbrak, geloof ik zeker. Alleen XS4ALL had de vorige eeuw al naast IPv4 ook IPv6. Een groot deel van de ISP's kwamen daarna pas op de markt, dus ook zij konden hierin al mee.
Ik ben ervan overtuigd dat het mede een geldkwestie is, maar nu zien we dat de ISP's naar allerlei noodgrepen uitwijken en dat kost toch ook geld, terwijl er ze toch eens eraan moeten.
Jammer dat we door onze voorsprong nu een geweldige achterstand hebben.
XS4ALL is altijd een ongewone ISP geweest. Wat je nu ziet is de wet van de remmende voorsprong.
In Nederland is de adoptie van IPv6 om te huilen, in het buitenland is men al heel wat verder. https://www.google.com/in...per-country-ipv6-adoption
Niet te geloven, lage middenmoot en we steken heel negatief af t.o.v. de omringende landen. Maar het is mij nog steeds niet duidelijk wat hierachter zit.
Hier tegenwoordig 9.9.9.9, is 1.1.1.1 verder wel privacyvriendelijk gezien het van Cloudflare is?
Raar statement, opzich.

Jij wil een privacy vriendelijke DNS, maar aangezien het halve internet achter Cloudflare zit, bezoek je vervolgens wel websites waarbij Cloudflare het hele request kan uitkleden?
Naja, ik weet dat Cloudflare data aggregeert, dus als ik de keuze heb vermijd ik ze( daarom dus de keuze voor Quad9 ipv. 1.1.1.1). Mijn vraag is heel simpel: Is dat gegrond of is Cloudflare's DNS oplossing verder wel vrij van profiling/gedonder?
Ik denk dat wat grote bedrijven betreft, Cloudflare 1 van de weinige bedrijven is die daadwerkelijk transparant is (of in ieder geval, lijkt). Ze proberen niet alles te verbergen in vage privacy policies en legal mumbo jumbo, maar het staat allemaal duidelijk beschreven op hun pagina's.

En als ze een datalek, server failure, of wat dan ook hebben schrijven ze altijd een in-depth blog die tot in detail gaat over wat er is gebeurd. Kunnen andere bedrijven nog wat van leren.

Behalve dat ik Cloudflare zelf dus voor mijn DNS en websites gebruik ben ik een groot voorstander van hoe zij werken, en heb ik persoonlijk geen reden om te twijfelen aan hoe mijn privacy bij hun geregeld is; sterker nog, ik heb juist het idee dat dit een van de weinige partijen is waarbij het wél goed gergeld is.
Liever 1.1.1.2 / 1.0.0.3 (malware protection) of 1.1.1.3 / 1.0.0.3 voor de kids (Adult Content Blocking)
Ik heb hier 1.1.1.2 en 1.0.0.2. Geen idee waarom ik dat destijds heb gedaan ipv. 1.0.0.3
Omdat Malware Blocking inderdaad ook 1.1.1.2 en 1.0.0.2 is.
Heb ik ook wel eens gedaan alsook 8.8.4.4

Waarom een no go?
Omdat die van google is?
Ja, alles google moet je proberen te vermijden. Net als de internet providers zelf.

Er is dns0 (=uit de EU) , cloudflare, quad9 etc.
Hoezo de internetproviders zelf? Als er iemand kan zien waar je verkeer heen gaat (en vandaan komt) is het wel je internetprovider die het verkeer bij je aflevert. Dan moet je al je verkeer naar een VPN dienst sturen, maar dan heeft die al die informatie...
Dan moeten ze dat eerst mogen opslaan. Gezien dat geen onderdeel is van de telecomwet, mogen ze dat niet. Hier staat wat ze verplicht moeten opslaan: https://wetten.overheid.nl/BWBR0009950/2024-01-01/#Bijlage

Dan heeft Tweakers nog een artikel geschreven over netneutraliteit:
nieuws: ACM: Nederlandse providers houden zich aan netneutraliteitregels
Dit gaat niet specifiek over DNS, maar wél Deep packet Inspection. (dat niet werd ingezet) Het punt is deze "Providers mogen volgens de ACM alleen aan traffic management doen om het verkeer in goede banen te leiden en om aan wettelijke eisen te voldoen".

Ofwel, mijn DNS requests naar quad9 mogen zij niet inzien, tenzij er een tap gelegd wordt.

Ook nog interessant: forumtopic: Het grote privacy-gerichte DNS server topic
Ik zeg toch niet dat het gebeurd? Alleen dat een provider het kan zien als ze dat zouden willen of moeten via een tap als reactie op Triblade_8472 die noemt dat je de DNS van een internet provider niet zou moeten gebruiken.
Lijkt mij juist onlogisch om een extra partij hiervoor te gebruiken, zeker als deze niet nederlands is en onder de wetgeving van een ander land valt.
[...]

Waarom wel Cloudflare? Cloudflare logt gewoon en wat gelogd kan worden.....
Grappig, in je eigen link staat juist dat ze dat niet doen...
Cloudflare will anonymize source IP addresses via IP truncation methods [..]. Cloudflare will delete the truncated IP address within 25 hours.
ik heb liever niet dat google mijn internet request opslaat maar destijds toen google begon met die publieke DNS server was het een welkome verbetering ten opzichte van de standaard DNS servers van vele providers. Je kan vrij weinig op internet zonder fatsoenlijke DNS server. 8.8.8.8 is nogsteeds een goed alternatief anders dan dat je niet weet wat google doet met de informatie.

https://developers.google.com/speed/public-dns/

[Reactie gewijzigd door Zezura op 10 mei 2024 10:53]

Kennis van techniek VS security/privacy zijn wel 2 verschillende afdelingen.

8.8.8.8 werkt altijd…
1.1.1.1 werkt altijd…

Technische kennis vind beide goed. Privacy zal alleen de tweede prima vinden. 1.1.1.2 beter
Quad9 (9.9.9.9) is mijn favo.

Er zijn er nog meer dan de bekende, zoals: https://www.privacyguides.org/en/dns/#recommended-providers
Als je privacy wilt kan je als je publieke dns server wilt het beste die van https://dns.watch gebruiken. Nog beter is zelf dns server draaien zoals unbound die direct de dns-root servers raadpleegt. Heb zelf ubound met pihole op een Raspberry pi draaien.
Vraagt dat veel van je server?
En wat doe je met failover?
Hier een lokale recursor/resolver draaien (Unbound i.c.m. Pi-hole);
Vraagt dat veel van je server?
Nee...
En wat doe je met failover?
Een failover heeft geen zin, als je lokale recursor het niet doet is dat voornamelijk te wijten aan verlies van je internetverbinding en dan heb je niets aan failovers tenzij je een een backup verbinding hebt. Ik ben het in de afgelopen jaren in ieder geval nog nooit tegengekomen dat mijn resolver het niet deed maar het internet wel gewoon up was.

Enige nadeel is dat het resolven iets langer duurt omdat ie zelf alle aanvragen zelf direct moet afhandelen, voordeel is wel dat je (afhankelijk hoe je het geconfigureerd hebt) sneller de wijzigingen geserveerd krijgt wanneer een record is gewijzigd iets wat door DNS providers en ISP's vaak nog wel eens een langere tijd cached tenzij je graag met tooltjes als Cloudflare DNS Purge of Google's DNS Flush aan de gang wilt.
Nee valt mee, mijn pi load is nooit heel hoog.
Als failover zou je een 2e pi kunnen draaien. Er zijn mensen in het pi-hole topic die dit doen.
Zelf doe ik dit niet. Mijn pi is zo stabiel, crashed nooit.
Wil je meer weten kijk dan eens in het pi-hole topic. :)
forumtopic: [Pi-Hole] Ervaringen & discussie
DNS Watch is qua privacy waarschijnlijk de beste openbare keuze maar de prestaties van die servers zijn helaas beneden peil. Soms zijn ze enorm traag of niet bereikbaar. Pihole en unbound is wat mij betreft ook betere oplossing.
Waarom niet?
Ik ben een DNS beheerder, maar thuis gebruik ik default de DNS van de ISP.
Omdat er anti-virussoftware is, die zegt dat je het moet doen, omdat de dns-server niet op hun goed gekeurde DNS-server lijst staat.

Zie bijvoorbeeld: https://blog.nexxwave.be/...igingslaag-op-je-netwerk/ en https://nextdns.io/nl

Of dit een goede ontwikkeling is, laat ik even in het midden, maar er gaat een moment komen dat jij als DNS beheerder, gedwongen gaat worden om zeer actief aan filtering te moeten gaan doen.
Wel grappig dat die link stelt dat er weinig mis is met het DNS protocol zelf. Om te beginnen is DNS gebaseerd op UDP, wat een security hole van de eerste orde is. Om DNS cache poisoning to voorkomen heb je toch DNSSEC nodig.
Maak je geen zorgen iedereen die wel eens heeft gespeeld met een eigen DNS server weet dat je minimaal DNSSEC moet gebruiken.
Om DNS cache poisoning to voorkomen heb je toch DNSSEC nodig.
DNSSEC (en de ernst van DNS cache poisoning) is wel een beetje overrated.

DNSSEC doet niks tegen het omleiden van IP-verkeer. Om daartegen (en tegen andere zaken) te beschermen heb je encryptie en host-authenticatie nodig met certificaten of iets vergelijkbaars. Dit is wat elk modern protocol (bv https, imaps, ssh) doet. En als je dat hebt dan ben je ook beschermd tegen DNS-aanvallen, dus de meerwaarde van DNS-specifieke beschermingen is relatief beperkt.
Maar dat gebruik je dan waarschijnlijk omdat het via DHCP is toegewezen, niet zelf ingesteld?
Ja, dnsmasq maakt default gebruik van DHCP, dnsmasq heeft wel weer andere rules, om de lokale censuur te omzeilen.
Welke censuur? In welk land ben jij DNS beheerder?
TPB, RT en er zullen heus nog wel andere sites zijn die "ongewenst" worden verklaard door providers/overheid. Je hoeft het niet eens te zijn met wat er op een bepaalde site gebeurt maar het volledig blokkeren voor iedereen is de definitie van censuur, simpel zat.
Wanneer iets door een rechtbank als illegaal is bestempeld en daarom geblokkeerd moet worden kan je het moeilijk censuur noemen. Vrijheid van meningsuiting heeft zijn grenzen. Geen enkel recht is absoluut. Verder kan je je ook de vraag stellen of er bij een website waarop geen boodschap staat, wat geen discussieplatform is wel sprake kan zijn van censuur.
Wanneer iets door een rechtbank als illegaal is bestempeld en daarom geblokkeerd moet worden kan je het moeilijk censuur noemen.
Huh? Informatie die geblokkeerd wordt door de overheid is de definitie van censuur:
Internetcensuur is de wettelijke controle of onderdrukking van wat toegankelijk is, gepubliceerd of bekeken kan worden op het internet. [...] Internetcensuur kan worden toegepast door overheden die zo willen voorkomen dat de bevolking toegang krijgt tot bepaalde informatie.
Je kunt erover discussiëren of deze censuur terecht is of niet, maar het is zeker censuur.
Nee hoor, dat heeft niets met de rechtbank te maken. Als vanuit overheidswege informatie geblokkeerd wordt is dat per definitie censuur. Ook als de rechtbank dat verplicht.
Hier in Duitsland en ook Nederland, wordt soms een ISP verplicht om een site via DNS te blokkeren.
Dat vind ik censuur.

Ik ben DNS beheerder binnen Europa.
Ik vermoed dat Wica zou kunnen doelen op de blokkade van TPB.
Dan denk ik dat je ook automatisch (misschien nu al?) de nieuwe dns-servers krijgt.
Om de nederlandse betutteling te ontduiken bijvoorbeeld. Andere reden kunnen zijn; het filteren van malware, fishing websites en advertenties.
Ik snap dit nooit zo goed, ik gebruik al 20 jaar budget providers links en rechts, ben de familie handige IT harry, jarenlang 1ste lijns ervaring en het is nog nooit voorgekomen dat een DNS server van derden sneller was dan die van de provider.

Die van de provider hangt namelijk (praktisch) altijd direct in het netwerk van de provider en veelal heeft men er minimaal 2, veelal 4+. Dus er is op dat vlak eigenlijk nooit overboeking.

Daar komt nog bij, dat die DNS verzoeken niet gelogt worden (loggen kost geld, doet men niet wanneer dit niet nodig is), alleen de IP connecties en die ziet je provider nog steeds. VPN is een optie, mar die verplaatst dit punt alleen.
Caiway heeft vele dns servers die ze automatisch verdelen over hun klanten, je kan ze allemaal handmatig toevoegen. Je kan ze 1 voor 1 testen met (Windows) command prompt:
nslookup tweakers.net 62.45.45.45
62.45.45.45 ns2.kabelfoon.nl
62.45.45.63 ns2.caiway.net
62.45.45.69 ns5.caiway.net
62.45.45.89 ns9.caiway.net
62.45.46.46 ns3.kabelfoon.nl
62.45.46.60 ns3.caiway.net
62.45.46.69 ns6.caiw.net
62.45.70.100 ns11.caiw.net
62.45.70.101 ns12.caiw.net
62.45.70.102 ns13.caiw.net
62.45.70.103 ns14.caiw.net
62.45.70.104 ns15.caiw.net
62.45.70.116 ns16.caiw.net
62.45.70.117 ns17.caiw.net
62.45.70.118 ns18.caiw.net
62.45.70.119 ns19.caiw.net
62.45.71.100 ns20.caiw.net
62.45.71.101 ns21.caiw.net
62.45.71.102 ns22.caiw.net
62.45.71.103 ns23.caiw.net
62.45.71.104 ns24.caiw.net
62.45.71.116 ns25.caiw.net
62.45.71.117 ns26.caiw.net
62.45.71.118 ns27.caiw.net
62.45.71.119 ns28.caiw.net
62.238.255.69 resolver.zeelandnet.nl
83.128.0.2 ns7.caiw.net (gaat weg)
83.128.0.3 ns8.caiw.net (gaat weg)
83.128.0.4 ns10.caiw.net (gaat weg)
212.115.192.100 resolver.zeelandnet.nl / resolver.delta.nl

[Reactie gewijzigd door lt_cmd_data op 10 mei 2024 19:39]

Ik snap dit wel goed, want de beschikbaarheid van de provider DNS servers is minder en de storingen komen vaker voor. De grote partijen hebben hun redundantie veel beter op orde, die hebben niet een paar DNS servers, maar honderden met Anycast DNS. Daarnaast zorgt meer capaciteit en meer DNS servers ook voor minder problemen als de provider DNS servers aangevallen worden met een DDoS.

[Reactie gewijzigd door Zenix op 10 mei 2024 15:00]

DNS verzoeken loggen sommige providers wel, mijn provider bvb kan zelfs advertenties op TV tonen gebaseerd op de bezochte websites (zowel op mobiele data als thuis), natuurlijk heb ik dat uit staan, maargoed is uit echt uit?
Daar komt nog bij, dat die DNS verzoeken niet gelogt worden (loggen kost geld, doet men niet wanneer dit niet nodig is), alleen de IP connecties en die ziet je provider nog steeds.
@datakiller schrijft dat sommige providers wel loggen en zelfs advertenties op de TV tonen. Nu ziek ik het verband tussen die twee niet helemaal, maar bij KPN en Delta zie je dat er Nederlandse advertenties geplaatst worden op zenders zoals BBC First. Men plugt dus blijkbaar Nederlandse advertenties waar de Britse zender zijn reclameblokken heeft. Ook wordt je op KPN, Youtube, Facebook e.d. op alle kanalen doodgegooid met reclameblokken van Delta.
Mijn provider (Telenet):
Zo ver gezocht is het ook niet hoor, ookal staat die setting van personal marketing uit houden ze het vast ook nog bij, kunnen ze vast op "netwerkbeheer" steken.

Wat houden ze bij:
Bijv. tijdstip gesprek,
duurtijd gesprek, URL’s,
bekeken TV programma’s
(kijkgedrag)
Waarom?
- Product en dienstverlening,
facturatie
- Netwerkbeheer
- Verkoop, dienst na verkoop
en klantenondersteuning
- Kwaliteitsverbetering
- Fraudebeheer
- Ondersteuning
overheidsaanvragen en
wettelijke verplichtingen
- Marketing van eigen
producten
- Marketing van producten van
derde partijen
- Geanonimiseerde
rapportering
En hoe lang:
13 maanden
voor verkeers-
gegevens, 36
maanden voor
TVverbruiksdata
Mijn provider (Telenet):
Zo ver gezocht is het ook niet hoor, ookal staat die setting van personal marketing uit houden ze het vast ook nog bij, kunnen ze vast op "netwerkbeheer" steken.
Wat houden ze bij:
De 13 maanden verkeersgegevens is vanuit de wettelijke verplichting.

Die TVverbruiksdata is natuurlijk puur voor marketing, vooral richting zenders en adverteerders. Ik weet niet of het in België ook zo is, maar in Nederland moeten de commerciële zenders (bv. RTL4, RTL5, Net5, SBS6, RTL7, RTL8, SBS9, Discovery, National Geographic, Europsport, ESPN, ...) betalen voor doorgifte. De Vlaamse zenders (bv. VTM en VR4) richten zich niet op Nederlands publiek en betalen niet, worden dus ook niet doorgegeven (voor de publieke en de regionale omroepen is er een wettelijke verplichting en buitenlandse publieke zenders (bv BBC1, BBC 2, BBC World, ARD, ZDF, WDR, VRT1, Canvas, Ketnet, RTBF, TRT, Rai Uno) worden doorgegeven omdat er veel vraag naar is bij abonnees. In het verleden is door sommige providers de doorgifte van o.a. Discovery al eens gestaakt omdat die na een verhoging door de provider het hogere tarief niet wilde betalen. Sportzenders (ESPN, Ziggo Sport, Viaplay,..) worden ingezet om klanten te lokken.
Wettelijk of niet, het komt erop neer dat er wel logs zijn.
Als je echt verstand hebt van dns, routering en isp's zal je zeker wel de dns van je eigen provider gebruiken. Minimaal voor de dns-domeinen van die provider.
En de mensen die er wél verstand van hebben zullen waarschijnlijk niet zo snel de DNS van de provider instellen.
Kun je dat toelichten?

Over welk aspect heb je?
Privacy?
Security?
Prijs?

Welk alternatief stel je voor?
Google?
Quad9?
Zelf hosten?
Een DNS-privacy setup?

Over al die punten is een verhaal te vertellen met voor- en nadelen.

Ik denk dat het voor de meeste Nederlanders juist een hele verstandige keuze is om de DNS-server van hun provider te gebruiken. Zo heb je enige wettelijke bescherming tegen afsluiteren of misbruik van je gegevens. De performance van DNS-servers is tegenwoordig zo goed dat het weinig verschll zou moeten maken, zeker als er nog een cache tussen zit.

Het is wel tijd dat ze weer eens wat features gaan toevoegen zoals encryptie (DoT, DoH) en DNSSEC, dat is allemaal nogal karig.

Of dat essentiele features of leuke extras zijn moet je afwegen tegen de risico's waar je tegen moet beschermen. Voor de meeste Nederlanders lijkt het me eerflijk gezegd nog steeds de beste keuze om de DNS-server van hun provider te gebruiken.

Voor de meeste mensen komt de vraag vooral neer op "Met wie wil ik mijn DNS-lookups delen? a). Mijn Nederlandse provider, b). een Amerikaanse server van Google, c). een (bij het grote publiek) onbekend buitenlands bedrijf."

De beste reden om daar van af te wijken is als je je eigen netwerk niet vertrouwt, bv omdat je bang bent dat je bespioneerd wordt je eigen huisgenoten. Dan zou ik prioriteit geven aan een vesleutelde vorm van DNS zoals DoT of DoH, zelfs als ik daarvoor bij een bedrijf als Google terecht komt dat niet zo netjes met privacy is.

Zelf maak ik inderdaad geen gebruik van de DNS-servers van mijn provider, wat dat betreft heb je gelijk, maar mijn setup is die van een vakidioot, niet geschikt voor algemeen gebruik.

Ik heb wel geleerd om terughoudend te zijn met advies over DNS-servers. Er is geen ideaal antwoord, het is altijd een afweging van risico's en bedreigingen.
Dat zou technisch prima kunnen. Ik verwacht echter dat ze een deel van hun netwerk willen herstructureren en die IP adressen niet meer willen gebruiken voor dat doel.

Door het instellen van die IP's als secudair IP, verhoog je de technical debt en complexiteit.
Aangezien ze zelf alleen aangeven alles op automatisch te zetten lijkt het mij dat ze volledig naar dynamische adressen willen.
De oude servers op de nieuwe als secundair adres instellen heeft ongetwijfeld geen toegevoegde waarde: De 'eigen' gegevens zullen op de nieuwe servers zijn overgezet en wat op de oude als secundair of tertiair ingesteld staat zal op de nieuwe ook zo staan.

Het lijkt mij wel een handige route om zodra de nieuwe beschikbaar zijn, die als eerste dns-server te configureren en de oude als volgende. Dan zullen de meeste systemen eerst de nieuwe proberen en daarna de oude.

Wel jammer dat ze in dit bericht alleen de ip adressen van de oude dns-servers geven. Juist de nieuwe is nieuws. En als er iets speciaals is met die nieuwe, dan is dat ook nieuws.

Over het gebruik van de dns-servers van je provider: Hier in Europa en zeker in NL is het gebruik van die dns-servers niet zo beroerd als dat met name in de USA is. Providers in NL zijn gebonden aan iets andere regels. Daarnaast heb je ze nodig voor het bereiken van de diensten van je provider. Dus als je bewust met dns om gaat, zal je in ieder geval voor de dns-domeinen van je provider diens dns servers gebruiken.
Is er een reden dat ze die drie IP-adressen niet als secundair adres opnemen op de nieuwe DNS-servers? Dan zou immers geen enkele klant het hoeven aan te passen, omdat ze dan gewoon naar de nieuwe DNS-servers verwijzen.
Die adressen verhuizen was ook het eerste dat bij mij op kwam.
In theorie zou dat pijnloos moeten kunnen. Je geeft altijd meerdere DNS-servers op en alle software moet zelf een fallback naar een andere server doen als de eerste niet snel genoeg reageert.

In praktijk zullen deze adressen op een hoop plekken zijn opgenomen in configuratiefiles die al lang weer zijn vergeten, geeft met maar 1 DNS-server op en zijn er DNS-resolvers/clients die niet soepel omgaan met de fallback.

Als je een IP-adres verhuist zal er al snel enige downtime zijn, zeker als je het systeem daar niet voor hebt ontworpen (bv door er een load-balancer/redirector voor te zetten). Gezien het belang van DNS vind ik dat je dit soort veranderingen daarom netjes moet aankondigen.

Dat gezegd hebbende... het lijkt me waarschijnlijker dat ze hun netwerk aan het herorganiseren zijn en ze deze adressen voor iets anders nodig hebben.
Niet helemaal, zolang de leastijd niet verlopen is zal de router geen DHCP verzoek doen en de oude DNS gegevens aanhouden, even router uit en weer aan verhelpt het natuurlijk.

Ook de gewone consument kan hinder hebben in theorie, maar gezien er altijd 2 DNS servers geconfigureerd zijn zal de impact zeer minimaal zijn doordat de 2e DNS het overneemt en soms nog een 3e.

[Reactie gewijzigd door mr_evil08 op 10 mei 2024 13:08]

Het als alias adres opnemen was ook mijn gedachte, het getuigt van kuch*prutswerk*kuch als je dat als ISP niet doet. Been there done that bij overname de ene ISP door de andere.
Waarom niet gewoon die IP-adressen overzetten naar DNS-servers die ze nog wel in beheer hebben?
Omdat ze eerst zorgen dat de nieuwe DNS servers correct functioneren en getest zijn, vervolgens "even ip address" wijzigen kan riskant zijn waardoor de database/zaken in de war raken.

De nieuwe DNS servers zijn al in productie en zeer waarschijnlijk al actief via DHCP.

[Reactie gewijzigd door mr_evil08 op 10 mei 2024 13:11]

Twee IP-adresjes toewijzen aan 1 host kan toch niet zo moeilijk zijn.
Ik snap mensen niet die wegens "privacy" een andere DNS server instellen.
Bijvoorbeeld 8.8.8.8 of 1.1.1.1.
Die van je provider is altijd dichterbij omdat ze praktisch in hetzelfde datacenter staan en resolved dus sneller.
Daarnaast is DNS verkeer nooit encrypted (DNSSEC is enkel validatie), dus ze hoeven enkel te loggen op uitgaand verkeer naar poort 53udp (richting 8.8.8.8 of whatever) en ze zien alsnog wat je staat te resolven.
Enkel VPN, DNS-over-HTTPS, DNSCrypt of iets dergelijks kan het verkeer verborgen houden voor je provider...
De servers van je provider mogen dichterbij staan, toch zijn die van Google of Cloudflare meestal sneller. Het is niet alleen de afstand tot de server die de snelheid bepaalt. Ik kan me een beruchte DNS server van @home nog herinneren. Die presteerde zo slecht dat je beter die van Xs4All kon gebruiken.
Sowieso beter om zoiets als Cloudflare (1.1.1.1) of Quad9 (9.9.9.9) in te stellen voor betere site controle en onafhankelijk te zijn van de provider
Beter zou ik voor het overgrote deel van de consumenten niet stellen. De meeste mensen willen helemaal niet bezig zijn met 'waarom' hun internet niet werkt, maar willen gewoon één aanspreekpunt hebben. Nog even los van het feit dat de meeste mensen helemaal niet weten (en willen weten) hoe je dit instelt.

En wat jij stelt klopt niet helemaal natuurlijk, ja je bent niet meer afhankelijk van je provider maar nu van een ander bedrijf. Onderaan de streep ben je nog steeds afhankelijk, alleen dan van een bedrijf in de VS in plaats van je provider.
En wat jij stelt klopt niet helemaal natuurlijk, ja je bent niet meer afhankelijk van je provider maar nu van een ander bedrijf. Onderaan de streep ben je nog steeds afhankelijk, alleen dan van een bedrijf in de VS in plaats van je provider.
Je bent altijd afhankelijk van 'iets', lucht om te ademen, stroom voor je PC/modem, etc. Echter is de kans groter dat er wat F-ed up raakt bij de DNS van je provider dan van een Cloudflare of Google. Een Google pakken we niet meer, maar een Cloudflare (nog) wel omdat als dat eruit ligt er nog veel meer uit ligt dan alleen jou internet...

En er zijn zat mensen die familie, vriend of buur hebben die wel even een issue fixen en geen idee hebben dat de DNS vast is gezet door die persoon.
Nee tuurlijk, maar ik doelde meer op dat de zin was geschreven alsof je onafhankelijk bent maar juist mijn hele punt was dat je dat nooit bent.
Hetzelfde punt is ook te maken voor een provider. Als die offline gaat kun je alle DNS servers in de wereld instellen, maar ga jij het internet niet op kunnen. Vandaar mijn punt dat het voor de meeste mensen echt niet erg is, omdat die paar komma's SLA geen gigantische impact gaat hebben op de ervaring.

En er zijn vast mensen waarbij dat gebeurt, maar volgens mij is dat nooit de best-practice als je mensen gaat helpen. Ik houd altijd wel aan dat ik alleen dingen doe waarbij ik dan niet de enige ben die weet dat het zo geregeld is, waarbij de default eigenlijk de voorkeur heeft als dat geen giga impact heeft.
'Best practice' is leuk in theorie, maar het gros van het IT personeel in de IT houd zich daar al niet aan, laat staan dat een hobbyist dat doet...
We praten over tweakers, niet over mensen die hun 'internet kastje' aansluiten zoals ie is. Die moeten inderdaad niet rommelen met de instellingen.

En de zin 'onafhankelijk van je provider' betekent precies dat; niet afhankelijk van je provider. Afhankelijk ben je altijd wel ergens van op het internet zoals anderen ook al aangeven in dit topic.

Inderdaad is 'beter' wel een waarde oordeel van mijzelf. Ik vind het beter om een dns-provider te kiezen die uitlegt welke diensten ze bieden en een sterke wereldwijde vertegenwoordiging heeft en daar dan een keuze in te maken. Dat hoeft niet een bedrijf in de VS te zijn. En na die afweging kan je ook nog ervoor kiezen om toch de dns servers van je provider te kiezen.

[Reactie gewijzigd door RMM65 op 10 mei 2024 10:54]

Of je eigen DNS resolver te draaien via Unbound
En waar laat jij je eigen dns-resolver naar kijken? Die is ook afhankelijk van andere dns-servers. Je moet ergens beginnen.

Wat is volgens jou het verschil tussen een dns-resolver en een dns-server? Uiteindelijk leveren ze beide via het dns-protocol de gevraagde informatie uit de dns-databases.
Zeker waar, helemaal waterdicht zal het natuurlijk nooit zijn, dan moet je uberhaupt van het internet af, je moet immers altijd wel ergens aankloppen voor je IP's. Maar omdat je eerst de TLD queried, dan het domein zelf, en dan de eventuele subdomein(en), zal een DNS provider nooit je algehele query afhandelen (en loggen). Vanuit het privacy oogpunt toch weer een mooie stap.

Pi-hole legt het best mooi uit imo: https://docs.pi-hole.net/guides/dns/unbound/
Vanuit het privacy oogpunt toch weer een mooie stap.
In theorie klopt dat, in praktijk is er nogal wat op aan te merken.

De eerste vraag is wat je precies probeert te bereiken. Als je niet wil dat je provider weet wat je doet dan heb je niks bereikt. Al je DNS-verzoeken gaan immers clear-text naar buiten. Je provider kan dat eenvoudig afluisteren en precies reconstrureren wat je doet.

[quote]
Maar omdat je eerst de TLD queried, dan het domein zelf, en dan de eventuele subdomein(en), zal een DNS provider nooit je algehele query afhandelen (en loggen).
[/qujote]
Dat is helaas (nog) niet hoe het in praktijk gaat.
In praktijk krijgt iedere DNS-server de volledige vraag te zien. Als je www.tweakers.net zoekt dan ga je níet eerst op zoek naar .net, de DNS-server bepaald welk stuk van de query er beantwoord kan worden. Dat kan zijn "hier is de DNS-server voor .net, ga daar maar verder vragen" maar het kan ook zijn "hier is het hele antwoord op je vraag".
Er wordt wel aan gewerkt om dat te veranderen en iedere DNS-server alleen het volgende stuk te vragen in plaats van alles. Dat heet QNAME Mimimalisation. Dan werkt het zoals jij omschreef maar dat is volgens mij nog niet echt standaard.

DNS echt privacyvriendelijk maken is best lastig, als je de weg wil vragen zal je moeten onthullen waar je naar toe wil. Er zijn wel pogingen om dat moeilijk traceerbaar te maken, bv met een soort onion-router achtig systeem waarbij DNS-verzoeken een aantal keren worden doorgestuurd en gemend met verzoeken van anderen om traceren lastig te maken. Dat is echter nog ver weg van een brede adoptie.
Als je het via Unbound doet worden de rootservers geraadpleegd. Unbound zet a.h.w. een zoekopdracht uit naar een IP-adres bij een domeinnaam. Er kan dus geen profilering plaatsvinden van welk IP-adres welke websites opvraagt. Zonder unbound werkt je eigen server als een soort doorgeefluik naar dezelfde DNS server.
Ja, of tijd over hebben om leuke dingen te doen :P
Vind Adguard Home opzetten op mijn OPNsense firewall anders wel heel leuk hoor :)

En dan met heel veel tegenzin enkele facebook adressen toch maar terug toestaan omdat het vrouwmens mij de "sleep with one eye open" look geeft omdat haar facebook spelletjes niet meer werken op haar smartphone :(
Klopt, PFSense en OPNSense zijn best leuk om mee te spelen; voor werk, maar als thuis het internet eruit ligt omdat papa aan het spelen is met de firewall wordt het heel snel ongezellig :P
Inderdaad,

Daarom dat het experimenteerwerk hier gedaan wordt door de papa van de nachtploeg :)

En als er echt iets serieus moest fout lopen dan zijn de kabels van het vrouwke haar chromecasts's (ja die zitten bij mij op een netwerkkabel, als het niet mobiel is, dan hangt er een kabel aan :) ) en een extra wifi router voor haar smartphone snel even op de ISP zijn modem geprikt :)
Je kan ook gewoon regels instellen die alleen voor haar van toepassing zijn als het zo'n probleem is.
Weet ik , maar zo een groot probleem is het nu ook niet,
vind het maar zonde dat ik alle "rommel" kan blokkeren, en dat dan het vrouwke die "rommel" echt moet hebben :( :( :(
Voor sommigen sluit het één het ander niet uit.
Zit je nou op tweakers.net of bokt.nl? Kom op zeg.
ja i know, ieder zo z'n vak (ben zelf dev) maar het opzetten van een eigen DNS server voelt voor mij als een vorm van zelfkastijding
Nee, ik noem t een gezonde aversie tegen dingen zelf installeren, maar daarom ben ik dev en jij ops (inschatting) :D

En ja, soms is het nodig (voor werk), maar thuis kies ik steeds vaker voor it-just-works oplossingen vanwege WAF en een enorm strakke SLA op het internet voor de kinderen ;)
Nope, ik maak gewoon geen verschil tussen dev, ops en security, als je een van de drie niet kunt of wilt ga je ergens gewoon karige dingen opleveren.
Dat bedoelde ik niet te zeggen, maar wel wat ik een verschil maak tussen werk en privé :Y)
PiHole met Unbound was anders toch echt vrij eenvoudig op te zetten. Heb zelfs een fallback naar een 2e PiHole met Unbound op een andere Raspberry Pi 😋
Maar dan ben je afhankelijk van die providers ;)
Dan kan je nog beter met bv. Unbound een eigen recursive resolver draaien.

[Reactie gewijzigd door Cheap_Tumble op 10 mei 2024 09:45]

Afhankelijk van derde partijen ben je sowieso bij DNS, of draai jij ook (een kopie van) alle root servers bijvoorbeeld? ;)

[Reactie gewijzigd door CH4OS op 10 mei 2024 09:40]

Afhankelijk van derde partijen ben je sowieso bij DNS, of draai jij ook (een kopie van) alle root servers bijvoorbeeld? ;)
Dat is makkelijker dan je denkt, het is niet meer dan een paar regels in je Bind of Unbound configuratie.

Bedoel je misschien de TLD servers (zoals .com)?
De root servers (alleen de . uit .com) bevatten niet meer dan een lijstje met TLDs en welke DNS-servers er bij horen. Er zijn wel vele duizenden TLDs maar voor DNS is dat peanuts.
Pas als je hele TLDs als .com of .nl wil mirroren wordt het spannend.
Dat is uiteraard waar, maar met een recursive resolver weet je in ieder geval zeker dat je queries naar de authoritative servers gaan (in dat opzicht dus meer controle/minder afhankelijk).

[Reactie gewijzigd door Cheap_Tumble op 10 mei 2024 09:58]

Enige keren dat ik me met DNS bezig houd is als mijn xbox vertraging toont tijdens gamen. en nee , ben geen jong knaapie. En heb geen bericht ontvangen behalve dat ze DVB-T gaan uitschakelen, gelukkig blijft DVB-C nog bestaan
Hoe gaan ze DVB-T uitschakelen? DVB-T is is Digitale TV via de Antenne, of leveren ze DVB-T abonnementen zodat je op bvb de Camping ook TV kon kijken met een DVB-T ontvanger/Antenne.
Al sla je me dood, analoge tv en radio word uitgeschakeld, maar aangezien ik tv via coax kijkt blijft dat blijkbaar wel bestaan
Had het al in een reply bovenin gezet maar wellicht handig om hier te kopieren:

De DNS servers van CloudFlare, 1.1.1.1 / 1.0.0.1 (geen filters), 1.1.1.2 / 1.0.0.3 (malware protection) of 1.1.1.3 / 1.0.0.3 voor de kids (Adult Content Blocking) zijn wellicht slimmer. En zeer snel.

Of NextDNS.io - dat is mijn go-to - maar dat is een ander verhaal.

[Reactie gewijzigd door Neus op 10 mei 2024 10:31]

Ik heb zelf Caiway maar helaas geen bericht gehad over dat DNS server veranderd gaat worden.

De meeste mensen gebruiken DHCP dan is er geen probleem aanwezig en anders moet de modem/router even van de stroom af.
Waarom nog steeds DNS van derden en niet van jezelf.
Een resolver draaien die zelf alles ophaalt en spamhaus en andere blocklists gebruikt lijkt me veel veiliger.
En nee, ik heb het ook niet meer draaien. Teveel werk, nextdns is eenvoudiger :)
...Volgens Caiway verandert het de dns-serrvers 'om de netwerkbeveiliging te versterken en de prestaties te verbeteren'. Ook wil het bedrijf 'toekomstige verstoringen minimaliseren....
Op alle 3 de reden zou je geen bezwaar kunnen hebben. Maar zo, lijkt het mij toch toch echt een PR bericht, waardoor ook de inhoud direct twijfelachtig wordt.

Misschien toch gewoon een ordinaire bezuinigingen?
Je hoeft er niet meteen iets schimmigs of geheimzinnigs achter te zoeken. Bezuinigingen lijkt me sterk, hetzelfde aantal servers komt immers ervoor terug.

De kans is vrij aannemelijk dat de oude servers simpelweg verouderd waren. Hetzij hardware (indien fysiek) die bijvoorbeeld (fiscaal) afgeschreven is, wellicht gaat men ze virtualiseren (kostenbesparing), of wellicht is het OS simpelweg verouderd en nadert het zijn end-of-life, waardoor men nieuwe vervangende servers in wil richten. En zo nog een aantal wat meer realistische mogelijkheden.
Volgens mij kan je ook gewoon de nieuwe server klaarzetten en als je over gaat het oude ik toewijzen aan de nieuwe server? Althans zo doe ik het thuis als ik een apparaat vervang die een functie overneemt.
En het IT landschap bij jou thuis is natuurlijk net zo complex als bij een provider. En jij hebt er ook duizenden (betalende) gebruikers aan hangen die toch een redelijk goede dienstverlening eisen.
Hm... Uitzetten ipv onveranderd doorgaan voor de gebruiker is geen goede dienstverlening? Wat betreft complexiteit heb je uiteraard gelijk, maar een ip adres blijft een ip adres.
Dat kan inderdaad, als secundair adres. Maar het zou kunnen zijn dat deze oude IP's in een IP-range zitten die men niet meer wil gebruiken bijvoorbeeld, omdat ze nu in een ander IP-blok zitten. Of wellicht zijn er andere redenen waarom men dit niet wil doen.
De nieuwe servers zijn vaak al weken in productie, ze wijzijen alleen de DHCP entry en x weken/dagen later wordt de server pas uitgezet.
Deze servers draaien inderdaad als VM
Je kunt natuurlijk prima een nieuwe server inrichten nast de oude en dan het verkeer doorschuiven als je zover bent. Zeker met DNS resolvers is een paar minuutjes geen ontvangst op 1 ip geen direct probleem.
Maar klinkt dit nu niet als "we willen graag meer security en stabiliteit bieden, en daarom halen we functionaliteit weg" ?
Nee. Er wordt immers geen functionaliteit weggehaald. De DNS-functionaliteit blijft gewoon aanwezig (anders wordt Internet ook een beetje lastig te benaderen...), het wordt enkel verhuisd naar nieuwe DNS-servers, waarna de oude servers worden opgeruimd.
Misschien zie ik iets over het hoofd, maar dat zie ik niet in het bericht. Daar staat alleen dat de huidige weg gaan en vervolgens wordt een gratis alternatief gegeven. Er staat niets over nieuwe resolvers die er aan komen. En al zou dat wel zo zijn, dan is dit wel een rare manier om zoiets te doen want je zou ten eerste verwachten dat je gewoon IP adressen overneemt en niemand merkt er wat van. En ook al zouden ze niet IP adressen overnemen, dan zet je ze er gewoon naast, zorg je er voor dat die bekend worden in het netwerk en de modems van je gebruikers, en na verloop van tijd kun je de oude uitzetten en merkt ook niemand daar wat van.
Dan is de DNS-functionaliteit er toch nog gewoon? Dat die dan (eventueel) door een externe DNS-server wordt afgehandeld doet aan de aanwezigheid van de functionaliteit geen afbreuk?

De stelling "daarom halen we functionaliteit weg" klopt dan dus ook niet.
Voel jij je wel goed? Eigen servers weghalen met als motivatie om het beter te maken en stabieler en veiliger. Een RESOLVER nota bene. Dat zou gewoon een van de kern dingen moeten zijn die een ISP zijn klanten verschaft. En dan zeg jij dat die dienst er gewoon nog is als ze hun klanten een gratis alternatief van een heel ander bedrijf geven.
En wat als er gewoon andere bij Caiway / Delta beschikbaar zijn, onnodige infrastructuur onderhouden kost geld en energie.
Waren noemen ze dan gratis alternatieven van andere partijen?
Misschien is dit een resultaat van het feit dat Delta en Caiway samen zijn en dus zaken dubbel hebben?
Waarom worden de resolvers van Delta dan niet als alternatief aangedragen?


Om te kunnen reageren moet je ingelogd zijn

Tweakers maakt gebruik van cookies

Tweakers plaatst functionele en analytische cookies voor het functioneren van de website en het verbeteren van de website-ervaring. Deze cookies zijn noodzakelijk. Om op Tweakers relevantere advertenties te tonen en om ingesloten content van derden te tonen (bijvoorbeeld video's), vragen we je toestemming. Via ingesloten content kunnen derde partijen diensten leveren en verbeteren, bezoekersstatistieken bijhouden, gepersonaliseerde content tonen, gerichte advertenties tonen en gebruikersprofielen opbouwen. Hiervoor worden apparaatgegevens, IP-adres, geolocatie en surfgedrag vastgelegd.

Meer informatie vind je in ons cookiebeleid.

Sluiten

Toestemming beheren

Hieronder kun je per doeleinde of partij toestemming geven of intrekken. Meer informatie vind je in ons cookiebeleid.

Functioneel en analytisch

Deze cookies zijn noodzakelijk voor het functioneren van de website en het verbeteren van de website-ervaring. Klik op het informatie-icoon voor meer informatie. Meer details

janee

    Relevantere advertenties

    Dit beperkt het aantal keer dat dezelfde advertentie getoond wordt (frequency capping) en maakt het mogelijk om binnen Tweakers contextuele advertenties te tonen op basis van pagina's die je hebt bezocht. Meer details

    Tweakers genereert een willekeurige unieke code als identifier. Deze data wordt niet gedeeld met adverteerders of andere derde partijen en je kunt niet buiten Tweakers gevolgd worden. Indien je bent ingelogd, wordt deze identifier gekoppeld aan je account. Indien je niet bent ingelogd, wordt deze identifier gekoppeld aan je sessie die maximaal 4 maanden actief blijft. Je kunt deze toestemming te allen tijde intrekken.

    Ingesloten content van derden

    Deze cookies kunnen door derde partijen geplaatst worden via ingesloten content. Klik op het informatie-icoon voor meer informatie over de verwerkingsdoeleinden. Meer details

    janee