4SO LabServing نباید به Manager وابسته باشد
Query path روی نود DNS و آخرین وضعیت تأییدشده باقی می‌ماند.
AUTHORITATIVE DNS / GLOBAL TRAFFIC
4SO GeoDNSDNS Control Plane with an Independent Serving Path
مدیریت API-first وضعیت مطلوب DNS، Validation، Immutable Revision، Blue/Green Delivery، Health-aware Routing، DNSSEC و چرخه‌ی عمر نود در یک فرایند واحد قرار می‌گیرند؛ در حالی که Query Path از Manager مستقل باقی می‌ماند.
Authoritative DNSGlobal TrafficDNSSECBlue / Green
اجزای 4SO GeoDNS: مسیر Query جدا از مسیر کنترل
- ۱ResolverQuery از Resolver همراه با شبکه‌ی ECS یا Resolver به نود DNS می‌رسد.
- ۲نود DNSdnsdist ← Runtime فعال PowerDNS (Blue/Green) ← وضعیت محلی PostgreSQL؛ بدون Manager زنده در مسیر Query.
- ۳سیاست Geo/ECSاولویت قطعی روی ECS، CIDR، ASN/سازمان و جغرافیا؛ Lua دلخواه کاربر پذیرفته نمی‌شود.
- ۴Endpoint منطقه‌ای سالمپاسخ به Endpoint سالمی اشاره می‌کند که سیاست برای این Query انتخاب کرده است.
- ۵Endpoint ناسالمسلامت خارج از مسیر Query محاسبه می‌شود؛ نود فقط Snapshot نسخه‌دار محلی را می‌خواند.
- ۶ManagerProduct API بر پایه‌ی FastAPI؛ PostgreSQL مرجع وضعیت مطلوب، Audit و Outbox است.
- ۷Revision تغییرناپذیرWorker و Node Agent با mTLS رنگ غیرفعال را Stage، بازخوانی و سپس به‌صورت اتمیک Cutover می‌کنند.
۰۱PROBLEM & OUTCOME
مسئله‌ی محصول
یک تغییر کوچک DNS می‌تواند Blast Radius بزرگی داشته باشد.
Authoritative DNS باید هم سریع و همیشه در دسترس باشد و هم تغییراتش دقیق، قابل Audit و قابل Rollback. GeoDNS مسیر Configuration را از مسیر Serving جدا می‌کند.
تغییر مستقیم در محیط اجرا ممنوع
Record و Policy ابتدا به Revision تبدیل می‌شوند و بعد Stage و Verify می‌شوند.
Traffic Policy نیازمند داده‌ی معتبر است
Endpoint health و eligibility از Observation پذیرفته‌شده می‌آیند، نه وضعیت ساختگی Browser.
DNSSEC خودش چرخه‌ی عمر دارد
Key، Sign، Rollover و بازیابی باید به‌اندازه‌ی مدیریت Zone کنترل‌شده باشند.
۰۲CAPABILITY SNAPSHOT
نمای قابلیت‌ها
Zone، Traffic و Security در یک Control Plane.
GeoDNS علاوه بر Authoritative Records، Delivery، Traffic Management و چرخه‌ی عمر نود را نیز بخشی از همان محصول می‌داند.
Zone و رکوردها Type-safe
Forward/Reverse Zone، مجموعه‌های RRset Typed و Import/Export کنترل‌شده.
Immutable Revisions
Changeset، Snapshot Hash و Revision برای Audit و Rollback.
Blue/Green Delivery
Stage روی Color غیرفعال، بازخوانی وضعیت و سپس Cutover اتمیک.
Global Traffic Management
Endpoint، Pool، Region، Health Perspective و Policy پاسخ.
چرخه‌ی عمر DNSSEC
Signing، شواهد DS، Rollover و Restore/Reconcile.
Secondary / Transfer
TSIG، AXFR/IXFR، Catalog Zone و چرخه‌ی عمر Secondary Provider.
عملیات نود DNS
Onboard، Drain، Replace، Remove و Fleet rollout.
DNS Observability
Health، Metrics، Alert، Incident و Synthetic DNS Probe.
4SO
مسیر معمول Query کوتاه می‌ماند: Resolver → نود DNS → محیط اجرای فعال → وضعیت محلی. هیچ Query عادی برای پاسخ به Manager یا Database بین‌منطقه‌ای وابسته نیست.
۰۳DEPLOYMENT PROFILES
مدل استقرار
از یک Manager و یک نود DNS تا چند Region.
حداقل توپولوژی محصول ساده است و HA یا Multi-region شرط شروع نیست؛ نود و Region به‌صورت افزایشی اضافه می‌شوند.
| پروفایل | Control Plane | Serving Plane | کاربرد |
|---|---|---|---|
| پایه | ۱ Manager | ۱ نود DNS | راه‌اندازی ساده و کامل Authoritative DNS |
| چندنود | Manager مرکزی | چند نود DNS | افزونگی Serving و Rollout کنترل‌شده |
| چند Site | Control Plane واحد | نودها در چند Site | تفکیک دامنه‌ی خرابی و نزدیکی به Resolver |
| Multi-region | مدیریت مرکزی با فرایند منطقه‌ای | Serving مستقل در چند Region | Global Traffic و تاب‌آوری گسترده |
۰۴ARCHITECTURE
معماری
Configuration path بلندتر است؛ Serving path عمداً کوتاه.
تغییر DNS باید از Validation، Revision و Delivery عبور کند. پاسخ DNS اما مستقیماً از محیط اجرای تأییدشده‌ی نود ارائه می‌شود.
CONTROLPanel / Product APIAuthentication، دامنه، RBAC و Typed Validation.
↓
AUTHORITYوضعیت مطلوب / Revision / Jobوضعیت تراکنشی، Revision غیرقابل‌تغییر، Audit و شواهد.
↓
DELIVERYWorker + Node Agent با mTLSStage، بازخوانی وضعیت، Verify و Atomic Cutover.
↓
SERVINGنود Authoritative DNSdnsdist و محیط اجرای فعال PowerDNS با وضعیت محلی تأییدشده.
| لایه | Component | وظیفه | Fail-safe behavior |
|---|---|---|---|
| Product API | FastAPI + scoped RBAC | Zone/RRset، traffic policy، node lifecycle و typed validation | Browser مستقیماً runtime DNS را mutate نمی‌کند |
| Authority | PostgreSQL + transactional outbox | Desired state، audit، job/revision state | Mutation و event publication در یک مرز تراکنشی |
| Delivery | Worker + mTLS Node Agent | Stage inactive color، read-back، verify و atomic cutover | Failed delivery قبل از serving متوقف می‌شود |
| DNS Edge | dnsdist | Stable serving entry و انتخاب active PowerDNS color | Query path به Manager وابسته نیست |
| Authoritative Runtime | PowerDNS blue/green + local PostgreSQL | Serve آخرین revision تأییدشده | Control-plane outage پاسخ DNS را از آخرین state سالم ادامه می‌دهد |
| Security | DNSSEC · TSIG · transfer policy | Signing، rollover و zone-transfer trust | Secret material وارد Panel/Audit/Evidence نمی‌شود |
TECH
Geo-routing & Health Contract. تصمیم DNS از policy کامپایل‌شده و snapshot محلی خوانده می‌شود؛ Query Path هیچ health-check شبکه‌ای را در لحظه‌ی پاسخ اجرا نمی‌کند.
| حوزه | ورودی / Mechanism | قرارداد فنی |
|---|---|---|
| Client locality | ECS یا Recursive Resolver IP | ECS معتبر در صورت مجازبودن استفاده می‌شود؛ در غیر این صورت Resolver IP مبنای انتخاب است. |
| Geo / network match | CIDR، ASN/Organization، Country/Subdivision/Continent/City | Overrideهای دقیق و geography با priority عددی و ترتیب deterministic ارزیابی می‌شوند. |
| Native GeoIP | PowerDNS geoip backend + Country/ASN MMDB | GeoIP کنار gpgsql قرار می‌گیرد؛ Zone data از authority اصلی به YAML/GeoIP backend منتقل نمی‌شود. |
| Health | TCP/UDP/HTTP/HTTPS/TLS/DNS/gRPC/ICMP probes | Health خارج از Query Path محاسبه می‌شود و stateهایی مثل HEALTHY/DEGRADED/SUSPECT/UNHEALTHY در snapshot نسخه‌دار ثبت می‌شوند. |
| Policy compiler | Structured policy → trusted runtime material | Arbitrary Lua پذیرفته نمی‌شود؛ compiler خروجی reproducible و hash متصل به Revision تولید می‌کند. |
| Simulation | Resolver/ECS/time/health/dataset inputs | Rule match، selected pool/endpoint، fallback path، answer و TTL پیش از publish قابل شبیه‌سازی‌اند. |
| ECS cache isolation | Policy-aware cache keying | پاسخ‌های وابسته به client network نباید بین contextهای ECS نامرتبط cache-leak شوند. |
۰۵LIFECYCLE
چرخه‌ی عمر
هر تغییر DNS یک مسیر قابل مشاهده دارد.
Edit تا Publish فقط چند کلیک نیست؛ Validation، Revision، Stage، بازخوانی وضعیت و بازیابی هرکدام وضعیت مشخص دارند.
۰۱ویرایشEdit
۰۲اعتبارسنجیValidate
۰۳ساخت RevisionSeal
۰۴آماده‌سازیStage
۰۵بازخوانی وضعیتVerify
۰۶انتشارCutover
۰۷پایشObserve
۰۸Rollback / بازیابیRecover
۰۶DNS PROFILES
پروفایل قابلیت
Authoritative DNS فقط یک Zone Editor نیست.
هر لایه از Authoritative Data تا Global Traffic و Security یک Profile عملیاتی مستقل دارد.
Authoritative DNSZONES
مدیریت Zone و RRset با Revision.
- Forward / Reverse
- Typed RRsets
- Scheduled / templated changes
Traffic ManagementGTM
پاسخ بر اساس Endpoint و Policy.
- Pools / Endpoints
- Geo / health policy
- Maintenance windows
DNS SecurityDNSSEC / TSIG
Trust و Transfer security درون محصول.
- DNSSEC signing / rollover
- TSIG
- Transfer policy
ناوگان نودهای DNSDNS NODES
چرخه‌ی عمر نودهای Serving.
- Enroll / mTLS
- Drain / Replace
- Fleet rollout
DeliveryBLUE / GREEN
انتشار امن و قابل برگشت.
- Inactive staging
- اعتبارسنجی بازخوانی وضعیت
- Atomic cutover
بازیابیCONTROL PLANE
حفاظت از وضعیت مدیریتی.
- Backup / Restore
- Release rollback
- فرایند بازیابی بحران
۰۷ACTION & WORKFLOW CONTRACT
فلو Job، Cutover و Recovery
Job فقط وقتی replay می‌شود که side-effect boundary آن شناخته شده باشد.
Mutationها idempotent و project-scoped هستند؛ node mutation، fleet rollout و certificate rotation روی یک node همزمان باز نمی‌مانند. Worker ownership با lease و execution epoch fence می‌شود.
۰۱QueueQUEUED
۰۲RetryRETRY
۰۳LeaseRUNNING + EPOCH
۰۴StageVERIFY / CUTOVER
۰۵SuccessSUCCEEDED
۰۶FailureFAILED / CANCELLED
۰۷RollbackROLLED_BACK
BLUE / GREEN CUTOVER
Stage روی Color غیرفعال
DNS read-back قبل از جابه‌جایی Active Color انجام می‌شود.
DNS QUERY ENTRY
↓
ACTIVE
BLUE
BLUE
⇄
STAGED
GREEN
GREEN
↓
DNS
VERIFY
VERIFY
revision → stage inactive → authoritative read-back → atomic cutover
Stage ناموفق Active Serving را تغییر نمی‌دهد.
HEALTH BRANCH
Primary یا Fallback بر اساس Snapshot
Query path هیچ probe شبکه‌ای را همان لحظه اجرا نمی‌کند.
CLIENT CONTEXT
ECS / RESOLVER
ECS / RESOLVER
↓
POLICY + HEALTH SNAPSHOT
↓
PRIMARY
HEALTHY?
HEALTHY?
PRIMARY
↙ ↘
FALLBACK
Health state نسخه‌دار است؛ stale snapshot می‌تواند policy را block کند.
DR LOOP
Readiness → Failover → Failback
DR action به readiness hash و topology freeze متصل است.
PRIMARY
SITE
SITE
→
READINESS
GATE
GATE
↓
FENCE
+ HASH
+ HASH
↑
DR
SITE
SITE
←
FAILBACK
VERIFY
VERIFY
backup ready → approval → failover → serving verify → controlled failback
Stale readiness یا unknown external state به Reconcile می‌رود.
Publish Zone Revision
تغییر ابتدا روی color غیرفعال stage می‌شود.
۰۱Validate۰۲Build Revision۰۳Compile Policy۰۴Stage Inactive۰۵DNS Read-back۰۶Atomic Cutover
Failure / RecoveryStage ناموفق Query Path فعال را عوض نمی‌کند.
Traffic Policy
Geo/Network policy قبل از publish شبیه‌سازی می‌شود.
۰۱Policy Input۰۲Priority Order۰۳ECS / Resolver Context۰۴Simulate۰۵Compile۰۶Publish
Failure / RecoveryArbitrary Lua و priority conflict پیش از serving رد می‌شوند.
Node Onboarding
Node فقط بعد از trust و serving verification عضو fleet می‌شود.
۰۱Identity / mTLS۰۲Preflight۰۳Bootstrap۰۴Register۰۵Health۰۶Rollout Eligible
Failure / RecoveryBootstrap failure به retry کور تبدیل نمی‌شود.
DNSSEC Rotation
Key lifecycle با overlap و serving acknowledgement انجام می‌شود.
۰۱Key Intent۰۲Generate / Import۰۳Stage۰۴Overlap۰۵Observe Signing۰۶Retire Old
Failure / RecoverySecret material وارد Panel/Audit/Evidence عمومی نمی‌شود.
Restore / DR
Restore و site failover به readiness evidence bind هستند.
۰۱Backup Ready۰۲Preflight۰۳Approval۰۴Restore / Failover۰۵Serving Verify۰۶Commit / Failback
Failure / RecoveryUnknown external state → RECONCILE_REQUIRED، نه replay کور.
ADDITIONAL OPERATIONAL FLOWS
فلوهای عملیاتی تکمیلی
Health و Node replacement مستقیماً روی کیفیت Serving اثر دارند و باید Flow مستقل داشته باشند.
Health Snapshot → Routing
Health خارج از Query hot path جمع‌آوری و به snapshot نسخه‌دار تبدیل می‌شود.
۰۱Probe Policy۰۲Schedule۰۳Out-of-band Probe۰۴Publish Snapshot۰۵Compile Traffic Policy۰۶Node Sync۰۷DNS Verify
Failure / RecoveryHealth قدیمی یا Unknown به‌طور خودکار Healthy فرض نمی‌شود و نباید Traffic را بی‌دلیل جابه‌جا کند.
Drain / Replace DNS Node
Node قدیمی فقط پس از آماده‌شدن Replacement و Serving verification خارج می‌شود.
۰۱Fleet Intent۰۲Serving Capacity۰۳Stop Eligibility۰۴Bootstrap Replacement۰۵Stage Active Revision۰۶Serving Read-back۰۷Remove Old Node
Failure / Recoveryتا Replacement پاسخ Authoritative صحیح ندهد، حذف Node قدیمی به مرحله‌ی نهایی نمی‌رسد.
| Action / Flow | Admission / Preconditions | Execution / Lock | Success Criterion | Failure / Recovery |
|---|---|---|---|---|
| Publish Zone / RRset | Typed validation، revision و policy compile قبل از delivery | Stage روی inactive color → node read-back → atomic cutover | Authoritative answer/TTL و active revision از serving path تأیید شود | Failed stage serving را عوض نمی‌کند؛ rollback به color سالم نگه‌داری‌شده |
| Traffic Policy | Structured policy، priority و simulation بدون conflict | Compiler material versioned؛ health snapshot خارج از query path مصرف می‌شود | Matched rule/pool/endpoint و synthetic DNS behavior مطابق revision | Arbitrary Lua رد می‌شود؛ policy conflict قبل از publish fail می‌شود |
| Node Onboarding / Replace | Identity/mTLS، preflight و node mutation availability | Durable job با node lock؛ onboarding/day-2/fleet/cert-rotation overlap رد می‌شود | Node observed healthy و rollout eligibility روشن | Node onboarding failure به generic retry تبدیل نمی‌شود؛ fresh bootstrap ممکن است لازم باشد |
| DNSSEC / Certificate | Key/identity lifecycle و approval در عملیات حساس | Stage/overlap/ack و rotation workflow owner-specific | Signing/serving یا certificate observation با generation مورد انتظار match کند | Stale rotation/fleet mutation همزمان رد؛ secret material از public job projection حذف می‌شود |
| Control-plane Restore | Backup باید READY، repository-verified و دارای snapshot/hash evidence باشد | Preflight → approval → execution → cutover | RESTORED فقط بعد از preflight binding و runtime verification | Worker interruption/unknown external state → RECONCILE_REQUIRED؛ blind retry ممنوع |
| DR Failover / Failback | Readiness job، topology freeze، fencing، rollback و RPO acknowledgement لازم | Action به readiness state/hash و profile revision bind می‌شود | Active site/traffic/database state به phase مورد انتظار برسد | Stale readiness یا topology mismatch رد؛ failback فقط از FAILED_OVER مجاز است |
FLOW
Retry classification اپراتوری صریح است: SAFE_TO_RETRY، RECONCILE_REQUIRED، FRESH_BOOTSTRAP_REQUIRED یا FRESH_HEALTH_REQUEST_REQUIRED. Lease loss در workflowهای disruptive هرگز مجوز replay کور نیست.
۰۸OPERATIONS CATALOG
کاتالوگ عملیات
عملیات DNS با Blast Radius متناسب کنترل می‌شوند.
اپراتور برای تغییر Record، Rollout نود یا DNSSEC از همان فرایند محصول و Audit trail استفاده می‌کند.
DNS را با سرعت Serving و دقت یک سیستم توزیع‌شده اداره کنید.
4SO GeoDNS تغییرات را کنترل می‌کند، بدون اینکه Control Plane را وارد مسیر پاسخ DNS کند.