DNS Dinâmico Corporativo para Ambientes Multi-WAN com Isolamento Estrito de Credenciais
Substitua a distribuição arriscada de tokens mestres da nuvem por agentes leves de borda autenticados por hash SHA-256. Resolução contínua de hostnames dinâmicos sob *.dnsbr.io, com bloqueio ativo de CGNAT (RFC 6598) e amarração rigorosa de interfaces físicas.
Arquitetura de Isolamento de Credenciais
No modelo tradicional de DDNS, cada roteador de borda armazena um token com permissão de escrita direta na zona DNS inteira. Se um roteador de filial for comprometido, toda a zona DNS corporativa fica vulnerável. O DNSBR resolve isso com mediação estrita de segurança.
Hash de Credenciais SHA-256
Tokens emitidos aos dispositivos utilizam prefixo padronizado dsec_... e são persistidos no banco de dados exclusivamente na forma de digest criptográfico SHA-256 em tempo constante.
Idempotência e Backoff
Se o IP público observado não sofreu alteração, o backend responde imediatamente sem emitir chamadas desnecessárias à Cloudflare, respeitando limites globais de requisições.
DNS-Only (Sem Proxy L7)
Registros DNS configurados rigorosamente com proxied: false e TTL de 120 segundos, garantindo tráfego direto de VPNs (WireGuard, IPsec, SSTP), DVR e portas customizadas.
Detecção Rigorosa de CGNAT e Bogons
Publicar o endereço IP público de um concentrador CGNAT no DNS cria a ilusão de conectividade, mas todas as conexões de entrada falham. O DNSBR inspeciona ativamente o IP local da interface WAN informado pelo agente e barra a sincronização com código HTTP 422.
Simulador de Diagnóstico de IP
Digite um IPv4 ou escolha um exemplo ilustrativo para inspecionar as faixas de endereços:
O IP 100.64.1.10 pertence ao bloco compartilhado de operadora 100.64.0.0/10. A existência de um registro DNS não torna a unidade acessível pela Internet. Conexões diretas de entrada falharão até a implementação do túnel reverso da Fase 2.
Agentes Nativos de Borda
Sem dependências pesadas ou interpretadores externos no roteador. O cliente MikroTik opera via script nativo com tabela de roteamento isolada; o cliente Windows opera com amarração direta de interface de rede.
# Setup do Agente DNSBR no MikroTik RouterOS 7
# Amarração estrita na interface WAN física do exemplo
:global DnsbrServer "https://api.dnsbr.io"
:global DnsbrDevToken "dsec_TOKEN_DE_EXEMPLO"
:global DnsbrInterface "ether1-wan"
:local wanIp [/ip address get [find interface=$DnsbrInterface] address]
:local cleanIp [:pick $wanIp 0 [:find $wanIp "/"]]
/tool fetch url=($DnsbrServer . "/api/v1/checkin") \
http-method=post \
http-header-field="Content-Type: application/json" \
http-data="{\"device_token\":\"$DnsbrDevToken\",\"wan_local_ip\":\"$cleanIp\"}" \
routing-table="to_wan" \
output=user{
"server_url": "https://api.dnsbr.io",
"device_token": "dsec_WIN_SERVER_DUC_TOKEN",
"bind_interface_ip": "192.168.15.10",
"checkin_interval_seconds": 300,
"max_retries": 3,
"retry_backoff_seconds": 15
}Comparativo de Recursos de Borda
Entenda como o DNSBR se diferencia estruturalmente de serviços DDNS legados do mercado:
| Critério Técnico | DDNS Convencional | DNSBR (Right Services) |
|---|---|---|
| Armazenamento do Token da Nuvem | ✗ No roteador de borda | ✓ Isolado no backend central |
| Tratamento de CGNAT (RFC 6598) | ✗ Publica IP do concentrador | ✓ Rejeita e alerta (HTTP 422) |
| Suporte Nativo a Multi-WAN | ✗ Apenas gateway padrão | ✓ Socket & Routing Table Binding |
| Modo de Operação DNS | Variável (sujeito a cache alto) | ✓ DNS-only estrito (TTL 120s) |
| Trilha de Auditoria Centralizada | ✗ Ausente ou cobrado | ✓ Histórico completo com IP e timestamp |
| Autenticação Administrativa | Credenciais básicas ou token URL | ✓ Sessão HttpOnly, CSRF e TOTP MFA |
Hardening e Garantias de Segurança
O SaaS DNSBR foi projetado segundo os princípios de fail-closed e defesa em profundidade, assegurando estabilidade para a infraestrutura operacional:
Anti-Spoofing de IP
Cabeçalhos de proxy (CF-Connecting-IP, XFF) só são aceitos quando a conexão TCP originar-se de sockets estritamente autorizados em TRUSTED_PROXIES ou da borda Vercel.
MFA / TOTP e Proteção CSRF
O acesso administrativo exige sessão persistida via Cookie HttpOnly com flag SameSite=Lax, cabeçalho X-CSRF-Token em mutações e autenticação de dois fatores (RFC 6238).
Rate Limiting Concorrente
Limitador compartilhado no banco de dados com isolamento por dispositivo, impedindo inundações e abusos de check-in mesmo através de múltiplas instâncias concorrentes.
Status e Transparência da Zona dnsbr.io
Relatório transparente da infraestrutura de Fase 1 em operação:
dnsbr.io
Zona ativa na Cloudflare sob autoridade da Right Services. Permissão de API restrita com escopo exclusivo à zona.
Hostnames dinâmicos
Gestão centralizada de registros por organização, com acesso restrito ao painel administrativo.
45+ Testes Automatizados
100% de aprovação em lógica de bogons, hashing de senhas, sessões compartilhadas Vercel e anti-spoofing.