Solucionar problemas de conteúdo e domínios fornecidos pela Akamai após a mudança para o Umbrella

Introdução

Este documento descreve como solucionar problemas de conteúdo e domínios fornecidos pela Akamai após a comutação para o Cisco Umbrella.

O que é Akamai e como é utilizado?

A Akamai é uma Rede de Fornecimento de Conteúdo (CDN - Content Delivery Network) que armazena e fornece conteúdo para muitos provedores de conteúdo na Web. Isso inclui streaming de vídeo, imagens, conteúdo do site, scripts, publicidade e muito mais. A Akamai é uma das muitas CDNs, como a Amazon CloudFront ou a Limelight Networks, que fornecem a espinha dorsal de muitos sites populares.

Um CDN é usado por um site porque tem tráfego muito alto, incluindo grandes picos de tráfego (como quando há uma notícia de última hora). Em vez de pagar por sua própria infraestrutura de hospedagem para hospedar seu site (que precisa ser potente o suficiente para atender a horários de pico, deixando-o parcialmente ocioso por uma grande parte do tempo), os administradores da Web usam CDNs para que eles paguem apenas pelos recursos que realmente usam. Em horários lentos, o conteúdo flui usando menos recursos e, em horários de pico, a CDN amplia seus recursos para atender a todos sem perder o ritmo. O resultado final é um site que tem um tempo de atividade muito melhor e economiza dinheiro para o administrador da Web. A Akamai é uma das maiores desse tipo de CDN.

Para confirmar se um site está usando ou não o Akamai, procure www.sitename.com apontando para subdomínios como CNAME, como edgesuite.net, akamai.net, edgekey.net, amakaiedge.net (geralmente todos .net). Certifique-se de procurar www.domain.com em vez de domain.com para verificar se há um Akamai CNAME.

Note: Alguns sites usam apenas Akamai para imagens ou conteúdo de vídeo dentro do site e apenas imagens fazem referência a um domínio atendido por Akamai via CNAME.

O uso do Cisco Umbrella afeta o conteúdo da Akamai? Por que estou recebendo um IP diferente do Umbrella comparado ao meu ISP?

O uso do Cisco Umbrella não afeta o conteúdo da Akamai por conta própria, a menos que qualquer domínio da Akamai seja bloqueado por uma de suas listas de domínios. Lembre-se, qualquer domínio adicionado é um curinga automaticamente para todos os subdomínios (por exemplo: *.domain) então inserir "akamai.net" em sua lista de bloqueio quebra muitos sites através da web.

Também pode haver diferenças entre a forma como os servidores DNS do seu ISP e o Cisco Umbrella tratam o tráfego da Akamai especificamente. Pode até ser que o DNS do ISP resulte em conteúdo diferente sendo carregado. É bastante comum que o endereço IP retornado pelo servidor DNS de um ISP seja diferente daquele recebido ao consultar a Cisco, mas isso não significa que os resultados da Cisco estejam incorretos. O oposto é verdadeiro. Embora os resultados sejam diferentes, isso ocorre porque a Cisco/OpenDNS e a Akamai participam do Global Internet Speedup Project usando EDNS Client Subnet (ECS). Continue lendo este artigo para saber como isso afeta o IP retornado da solicitação DNS.

Isso só afeta Akamai?

Não. Isso pode afetar qualquer provedor de CDN que utilize o ECS. Akamai é a ocorrência mais comum.

O que é o ECS e como ele faz a diferença?

ECS significa EDNS Client Subnet e faz parte do Global Internet Speed Project projetado para melhorar a funcionalidade e a velocidade de sites distribuídos (notavelmente CDNs) em todo o mundo.

Sem ECS: O DNS é solicitado do servidor DNS atual, que consulta o servidor DNS autoritativo do domínio e retorna um endereço IP do servidor ao qual se conectar. Este servidor está próximo ao servidor DNS consultado e pode estar muito longe de sua localização atual. O servidor DNS consultado determina qual servidor de conteúdo da região é usado para fornecer uma resposta. O usuário final pode estar muito longe do servidor que fornece conteúdo, resultando em velocidades baixas. Por exemplo: O Usuário A no Brasil consulta o conjunto de servidores DNS local que por acaso é um servidor DNS em Miami. O servidor DNS em Miami retorna um endereço IP de resposta próximo a Miami para o domínio. O usuário A está frustrado porque o download está tão lento e vem dos EUA.

Com ECS: O DNS para um servidor DNS recursivo tem a sub-rede de origem (geralmente um /24) anexada à sua solicitação DNS para os servidores DNS autoritativos. O servidor autoritativo do domínio responde com uma resposta personalizada ao que ele acredita ser o melhor e mais próximo servidor para atender à solicitação do usuário final. O usuário pode consultar um servidor DNS em qualquer lugar e ainda obter um servidor local para servir o conteúdo. Por exemplo: O Usuário A no Brasil consulta o conjunto de servidores DNS local que por acaso é um servidor DNS em Miami. O servidor DNS tem o ECS habilitado em Miami e passa para o servidor DNS autoritativo para o domínio do qual o usuário está vindo de uma sub-rede no Brasil. Em seguida, ele retorna um endereço IP de resposta para um data center em São Paulo, Brasil para o domínio. O Usuário A está feliz que o servidor DNS em Miami ofereça suporte ao ECS e tenha um download rápido do provedor de conteúdo.

Que problemas isso pode causar ao usar o Cisco Umbrella?

A rede DNS global do Cisco Umbrella e a Akamai estão habilitadas para ECS e, portanto, respondem com o melhor IP de servidor para a sub-rede de saída atual do DNS. Isso pode se tornar um problema quando o balanceamento de carga com determinados ISPs ou quando os ISPs têm problemas de roteamento em suas extremidades. Por exemplo, um ISP pode ter um servidor Akamai interno e direciona qualquer pessoa que use seus servidores DNS ISP para esse servidor local. Em seguida, bloqueiam os IPs de outros servidores Akamai para forçar todos a usar o servidor Akamai local para economizar nos custos de trânsito.

Ao mudar para a Cisco, perguntamos diretamente à Akamai qual o melhor servidor a ser usado para a sub-rede do usuário final, e a Akamai responde diretamente. Especialmente em conexões com balanceamento de carga, a Akamai pode retornar um IP válido para o qual o ISP não roteia corretamente.

É nesse cenário que, após mudar para o Cisco Umbrella, o conteúdo fornecido pela Akamai não é carregado de forma intermitente. A manifestação mais comum é com páginas de notícias, como carregar como um wireframe de HTML sem o conteúdo rico. Os problemas mais comumente vistos são com o ISP Time Warner Cable (RoadRunner).

É importante observar que o IP retornado pelo Cisco Umbrella para conteúdo Akamai é válido nesses casos e o ISP está expirando, pois não está fazendo a conexão. Para confirmar que é realmente esse tipo de problema, teste exatamente o mesmo IP em um dispositivo em um tipo diferente de conexão de rede, como um telefone celular em dados móveis.

Se você não estiver obtendo um endereço IP em resposta a uma solicitação DNS ao Cisco Umbrella, esse é um problema diferente. Entre em contato com support@umbrella.com para obter ajuda. Este caso se aplica somente quando as páginas não estão sendo carregadas quando o Cisco Umbrella está respondendo com um endereço IP válido da Akamai.

Quem pode ajudar se isso estiver acontecendo?

O ISP é a única parte capaz de ajudar a resolver esse problema. Isso ocorre porque a solicitação DNS retorna um endereço IP para o qual o ISP atinge o tempo limite, enquanto o resto do mundo pode se conectar a esse mesmo IP. O Cisco Umbrella completou sua parte na devolução de um endereço IP válido em resposta à solicitação DNS. O ISP não concluiu sua parte no roteamento de dados para esse endereço IP. Sua assinatura do ISP é permitir acesso a recursos da Internet e isso é uma falha em fazê-lo do lado deles.

O ISP é o único capaz de solucionar problemas de roteamento entre sua rede e seus pares; O Cisco Umbrella não tem visibilidade e não pode corrigir esse problema de roteamento. Só podemos mostrar que estamos retornando um IP válido e ele não pode ser roteado para.

Exemplo: Domain.com é um CNAME para a1234.a.akamaiedge.net que aponta para o IP 1.2.3.4. As conexões para 1.2.3.4 atingem o tempo limite. Ao executar um traceroute, obtemos 8 etapas de entrada, além do ISP, mas deixamos de obter retornos.

Exemplo de problema e solução: Depois de falar com o ISP, o problema era que o intervalo IP do ISP não tem uma rota de retorno da Akamai de volta ao IP do usuário dentro do espaço do ISP. O ISP apresentou duas opções: 1) Aguarde até que a Akamai adicione uma rota de volta a esse IP ou 2) Altere os IPs dentro dos intervalos do ISP para um IP que tenha uma rota de retorno da Akamai que funcione.

Precisa de ajuda para trabalhar com seu ISP? Podemos ajudar a explicar e fornecer evidências com a confirmação de que o IP retornado do registro A da Akamai é válido da Akamai através de nossos resolvedores.

Dicas para Troubleshooting

Você acredita que esse problema o afeta, mas não tem certeza? Aqui estão algumas dicas úteis para a solução de problemas. Essas etapas seriam necessárias para que nossa equipe de suporte pudesse ajudá-lo. Depois que essas informações forem coletadas, entre em contato com support@umbrella.com para obter ajuda.

1. Tente usar nslookup queries para o(s) domínio(s) que está(ão) sendo problemático(s). Este exemplo usa www.foxnews.com, que é um site da Akamai no momento da escrita.
   • nslookup www.foxnews.com
   • nslookup www.foxnews.com 8 8 8 8 8
   • nslookup www.foxnews.com 208.67.222.222
   • nslookup www.foxnews.com 208.67.220.220
2. Uso:traceroutes Dependente do SO, pode ser tracert (Windows) ou traceroute (OS X). Nesse caso, você está tentando rastrear o FQDN, bem como os endereços IP que obteve na etapa 1.
   • tracert www.foxnews.com
   • tracert <IP resultante de nslookupwww.foxnews.com>
   • tracert <IP resultante de nslookupwww.foxnews.com 8.8.8.8>
   • tracert <IP resultante de nslookupwww.foxnews.com 208.67.222.222>
3. Reúna uma lista dos domínios e IPs que você não pode alcançar, eles podem compartilhar a infraestrutura comum de host Akamai sendo bloqueada pelo seu ISP.