Uudised, sündmused ja blogi

CENTR Tech55: kes kontrollib meie taristut?

Pilvest välja, aga kuhu?

Belgia register (.be) valmistab ette AWSist lahkumist. Uuelt lahenduselt oodatakse endiselt pilve mugavusi: Terraformiga automatiseeritavat haldust, virtuaalmasinaid ja Kubernetesega töötamise võimalust. Hange tõi 15 pakkumist. Valikut seega on, kuigi kohtumise ajaks ei olnud leping veel allkirjastatud.

Rootslased (.se) on keskendunud tarnijalukustuse vähendamisele. AWSi enda konteinerihalduse asemel kasutavad nad nüüd Kubernetesel põhinevat teenust. AWSist ega pilvest nad veel ei lahku, kuid standardsem lahendus võiks selle vajaduse korral tulevikus lihtsamaks teha. Hollandi registri (.nl) uuele registriplatvormile (Hello Registry) kolimine nihkus novembrisse. Ühe olulise osana tuleb tagada, et DNSSECi allkirjastamine toimuks Hollandis majutatud keskkonnas.

Huvitav vastukaal tuli Iisraelist, kus katsetatakse just AWSi võimalusi hajutatud DNSi ehitamiseks. Kubernetes ja Global Accelerator võimaldavad kasutada eri piirkondades asuvaid servereid ühe IP-aadressi kaudu, ilma et peaks ise kogu anycast-võrku ehitama. Seni katsetatakse lahendust oma organisatsiooni domeeniga. Austria kolleegide kogemuse järgi muutus selline lahendus tippdomeeni päringumahtude juures liiga kalliks (RCode Zero). Iisrael alles mõõdab. Pilv võib tehniliselt sobida küll, aga lõpliku vastuse annab arve.

VMware'i järel tuleb Proxmox

VMware'ist lahkumisest on saanud päris korduv teema. Sloveenia ja Luksemburg on Proxmoxile juba üle läinud, Prantsuse Afnic plaanib migratsiooni alustada 2027. aasta alguses. Luksemburgis piisab uue virtuaalmasina kirjeldamisest NetBoxis ning ülejäänu teeb automaatika.

Lätlased rääkisid oma mitmest probleemist Proxmoxiga. Need taandusid küll valdavalt võrgu- või muudele probleemidele, mis ei olnud otseselt virtualiseerimistarkvaraga seotud. Meie jaoks on oluline juurde uurida, mida täpselt tehti, kuidas vead avaldusid ja milliste kontrollidega oleks saanud need varem avastada. Ootab ju meidki ees VMware'ist loobumine eeldatavasti Dockeri ja Proxmoxi kasuks.

Mattermostis kui vabavaras ei saa kindel olla

Mattermosti litsentsi- ja paketimuudatused on pannud mitu organisatsiooni valiku ette: kas maksta, kohandada tarkvara ise või kolida mujale. ISC on läinud üle Zulipile ja oli senise kogemusega rahul. Austria ja Tšehhi registrid otsustasid esialgu Mattermostiga jätkata, kuid panna kokku oma versiooni.

Austria register kasutab selleks Nixi paketihaldust ja seal olemasolevaid parandusi. See säästab oma ehitusprotsessi loomise vaeva, kuid tekitab sõltuvuse paketi ja paranduste hooldajatest. Tšehhid kasutasid Claude'i koodi ja dokumentatsiooni analüüsimiseks ning leidsid, et neile vajalik GitLabi kaudu ühekordse sisselogimise võimalus oli koodis alles. Mõne muudatusega said nad selle uuesti lubada ja kasutajate piirarvu tõsta. Muudatusi oli vähe, testimist nende sõnul märksa rohkem. Ja muidugi tuli tööle saada ka GIFide jagamine – kasutajakogemusel on omad prioriteedid.

Tšehhide hinnangul võideti nii eelkõige aega. Toetatud versioonile sai üle minna, kuid alternatiivide, sealhulgas Matrixi uurimine jätkub. Ka muudetud tarkvara kaubamärgikasutuse küsimus jäi arutelus lahtiseks. Mõne koodirea muutmine võib olla lihtne, kuid kindlus, et sama lähenemine töötab ka järgmise aasta versioonidega, on hoopis teine asi.

AI leiab vigu kiiremini, kui neid parandada jõuab

ISC ja NLnet Labs kirjeldasid tehisaru abil leitud turvavigade teadete tulva. See mõjutab juba arendusplaane: paranduste kõrval jääb uute funktsioonide jaoks vähem aega ning ISC on järgmise stabiilse BINDi versiooni lükanud 2027. aasta algusesse. ISC kasutab nüüd ka ise pidevat keelemudelitel põhinevat koodianalüüsi, et probleemid võimaluse korral enne väliseid raporteerijaid üles leida.

Registrite jaoks tähendab see omakorda rohkem uuendusi. Taani kolleegid arutasid, kas senine tootmissüsteemide paikamise korraldus peab sellise tempoga sammu. Turvavea leidmine on hea uudis, aga keegi peab paranduse valmis tegema, testima ja töötavasse teenusesse viima. Seda viimast osa kipub AI edulugudes vähem kuulma.

Tšehhid katsetavad samal ajal oma taristus töötavaid keelemudeleid. Selleks on soetatud kuus NVIDIA masinat, millel proovitakse muu hulgas Qweni ja MiniMaxi mudeleid. Põhjus on praktiline: lepinguid, arveid ja muid sisemisi dokumente ei taheta tingimata välisele teenusepakkujale anda. Avalikke AI-teenuseid kasutatakse samuti, näiteks avatud lähtekoodiga arenduses. Valik sõltub sellest, milliseid andmeid parasjagu töödeldakse.

DNS peab töötama!

Hollandi SIDN tutvustas Tapdance'i, mis kogub autoritatiivsete nimeserverite statistikat dnstap-liidese kaudu ning kuvab seda InfluxDB ja Grafana abil. Senise DSC lahenduse juures häirisid neid muu hulgas vahefailide haldus ja umbes veerandtunnine viivitus. Tapdance'iga jõuavad näitajad nende töölauale minutilise intervalliga.

Huvitavam lisandus on võrgulatentsuse mõõtmine. Süsteem saadab aktiivsetele klientidele ping-päringuid, et hinnata, kui kaugel nad nimeserverist võrgu mõttes asuvad. See aitab otsustada, kuhu anycast-võrku laiendada ja kas muudatused ka päriselt teenust parandavad. Tegemist on siiski latentsuse hinnanguga, mitte iga DNS-päringu vastamisaja mõõtmisega.

Austria register lisas pärast NSD tarkvaraveaga kokkupuutumist kõigisse oma anycast-asukohtadesse klientide tsoonide DNSSECi põhjaliku kontrolli. Lisaks tavapärastele vastustele testitakse olematuid nimesid ja varasemate vigadega seotud päringuid. Hea meeldetuletus, et töötav protsess ja roheline serverimonitor ei tähenda veel korrektset DNS-teenust.

DNSSEC: allkirjastamine ja testimine. Kuidas edasi?

OpenDNSSECi tugi lõpeb 2027. aasta oktoobris ning NLnet Labs arendab selle järglaseks Cascade'i. Luksemburg plaanib uut lahendust senise kõrval käitada, et võrrelda tulemusi ja jõudlust enne tootmises ümberlülitamist. Afnic vahetab esmalt välja eluea lõppu jõudvad HSMid ehk krüptovõtmete hoidmiseks kasutatava riistvara ning tegeleb seejärel allkirjastamistarkvaraga. Kõike korraga ümber ehitada ei taheta.

Uus-Meremaa register (.nz) ehitab allkirjastamisahelat, kus eraldi konteinerid võtavad vastu allkirjastamata tsooni, kontrollivad seda, allkirjastavad HSMi abil, kontrollivad tulemust ja annavad tsooni avaldamiseks edasi. Enne allkirjastamist tahetakse võrrelda tsooni ka registri andmebaasiga. Nii ei piisa sellest, et fail on tehniliselt korrektne: selle sisu peab vastama ka sellele, mida register tegelikult avaldada soovib.

Sama tähelepanelikult vaadatakse tarkvara päritolu. Allkirjastatud koodimuudatusi kontrollitakse enne nende allkirjastamiskeskkonda lubamist ning vajalikud komponendid tuuakse kohalikku taristusse. Eesmärk on suuta lahendus uuesti üles ehitada ka välise internetiühenduseta. Kui automaatne ehitus- ja juurutuskeskkond alt veab, peaks saama samu toiminguid käivitada käsitsi sama Makefile'i kaudu. Kohtumise ajaks oli lahendus veel testimises – ees seisid paralleelne käitamine ja üleminek. Hea mõttekoht: varuplaan võiks olla sama protsessi teine käivitamisviis, mitte eraldi juhend, mida keegi viimati aastaid tagasi proovis.

Zonemasteri ettekanne keskendus seekord kasutajaliidese kohandamisele. Uuem lahendus võimaldab oma kujunduse järgmisse versiooni kaasa võtta, kui kohandused on tehtud toetatud viisil. Pealtnäha väike asi, aga oma logo ja värvide säilitamine ei peaks olema põhjus, miks turva- ja funktsionaalsusuuendused paigaldamata jäävad.

Kõige argisema töökindluse õppetunni tõi siiski Läti suvine torm. Kodune generaator ja kolme mobiilioperaatori ühendused ei suutnud pika elektrikatkestuse ajal kõigiga ühendust tagada. Et töökaaslastele oma kättesaamatusest teada anda, tuli sõita levi otsima. Kolm ühendust võivad lõpuks sõltuda samast elektrist. Seda tasub meeles pidada ka siis, kui oma taristu skeemil tundub kõik kenasti dubleeritud.

Ettevõtete andmete kontroll vajab koostööd

Andsin ülevaate ka CENTRi ettevõtete andmete kontrollimise töörühmast. Oleme kaardistanud võimalusi 32 riigis: kust saada ettevõtete andmeid, kuidas kontrollida nende esindajaid ning millised tasuta või tasulised teenused selleks olemas on. Kuidas aga hoida kogutud infot ajakohasena? Selleks oleks vaja igas riigis inimest, kes tunneb kohalikke võimalusi ja hoiab muudatustel silma peal.

Meie pikemaajaline plaan on alustada .ee jaoks olulisemate turgude liidestamisest ning võimaluse korral pakkuda tulemust teenusena ka registripidajatele ja teistele registritele. Arendus juba käib ja esimene prooviversioon on katsetamisel.

Praktilisema uudisena saime jagada, et Eesti äriregistri liidestus on käivitunud: ettevõtte asutamise käigus saab endale reserveerida ka .ee domeeni. Esimesed kasutajad leidsid võimaluse üles juba enne eraldi teavitust. Vahel piisabki sellest, et vajalik teenus on õigel ajal õiges kohas.

Selleks korraks kõik!