« GeoDNS plus EDNS Client Subnet séparent souvent la carte DNS du chemin réel des artefacts : voici une matrice, des seuils p95 par PoP et des dig +subnet pour JP, KR, HK, SG et US Ouest. »

Pour les bastions et registres d’artefacts derrière des noms sensibles au lieu, croisez ce guide avec SVCB, ECH et TLS et split horizon GeoDNS. Liens utiles : accueil, aide, console, nœud Mac vpshalo.

1) Un préfixe client mal choisi dans l’ECS pousse l’autorité à répondre pour un PoP éloigné de votre pipeline réel. 2) Des TTL désalignés entre apex et CNAME figent des cibles périmées pendant que les CI publient déjà une autre adresse. 3) Les mesures p95 d’upload d’artefacts divergent alors que les sondes applicatives restent vertes, car elles ne lisent pas la même vérité DNS que les postes de build régionaux.

Les résolveurs anycast peuvent masquer la provenance réelle du client ; en APAC, croisez toujours les journaux d’autorité avec vos captures dig afin d’éviter qu’un préfixe agrégé ne déplace la décision vers un hub américain alors que vos sondes internes affichent encore Singapour ou Tokyo. Cette lecture complète la série Halo sans remplacer votre gouvernance contractuelle des données sensibles transportées dans l’ECS.

Matrice décisionnelle Halo : quand l’ECS aide ou nuit

Utilisez cette grille avant toute bascule d’autorité ou de résolveur public ; archivez-la dans le même dossier que vos fiches de revue réseau et sécurité.

Critère Favoriser ECS Neutraliser ou filtrer ECS Indice de risque
Clients homogènes derrière un même préfixe annoncé Le résolveur reflète fidèlement le site d’exécution Risque faible de faux négatif sur la latence Faible si préfixe stable sur trente jours
CI élastiques avec adresses éphémères Peut coller la décision au nuage le plus proche Préfixes trop larges déplacent la cible Élevé sans corrélation avec tables de routage internes
Split horizon interne et externe Souvent source d’ambiguïté documentaire Préférez des vues explicites et des journaux TTL Élevé si les deux mondes partagent un nom identique

ECS activé ou désactivé : effet sur la dérive de résolution

La dérive mesure l’écart entre la décision d’un résolveur tiers et le chemin IP réel ; rejouez chaque scénario avec et sans ECS.

Signal mesuré ECS présent ECS absent Lecture opérationnelle
Variance inter-résolveurs Peut augmenter si les préfixes annoncés diffèrent Plus stable mais parfois moins représentatif du client Corrélez avec la fenêtre de publication CI
Latence p95 artefacts Baisse lorsque l’alignement PoP est exact Plateau prévisible si le cache colle à un hub unique Comparez cinq exécutions consécutives par région
Incidents « cible fantôme » Survient après élargissement involontaire du préfixe Rareté, mais décalage persistant avec la réalité terrain Documentez chaque changement d’annonce dans le ticket DNS

Grille p95 indicative pour transferts d’artefacts volumineux

Repères pour un artefact d’environ un gigaoctet sur liaison saine ; adaptez à votre profil.

PoP cible p95 cible indicative TTL conseillé pendant bascule Action si dépassement
Japon Moins de douze minutes si hub local Soixante à cent vingt secondes sur CNAME de distribution Vérifier ECS et chemin maritime vers HK
Corée Quinze minutes plafond Quarante-cinq à quatre-vingt-dix secondes Contrôler retransmissions TCP parallèles au DNS
Hong Kong Onze minutes vigilance Trente à soixante secondes Isoler congestion transitoire et vue split
Singapour Dix minutes cible Trente à quatre-vingt-dix secondes Comparer résolveurs anycast et récursifs régionaux
US Ouest Neuf minutes si stockage aligné Soixante à trois cents secondes sur apex stable Revoir annonces anycast et chemins vers APAC

Exemples dig reproductibles avec sous-réseau client

Depuis un bastion régional, avant et après changement d’autorité ; adaptez les noms.

dig +norecurse A cdn.exemple.internal @resolver.lab +subnet=203.0.113.0/24
dig AAAA registry.exemple.internal @8.8.8.8 +subnet=198.51.100.0/24
dig +subnet=192.0.2.0/24 TXT _artifact._tcp.exemple.internal @1.1.1.1

Six étapes pour verrouiller TTL, ECS et p95

  • 1 — Baseline sans ECS sur trois résolveurs publics plus interne, par PoP JP-KR-HK-SG-US Ouest.
  • 2 — Rejeu identique avec +subnet des préfixes CI réels.
  • 3 — TTL : apex stable, CNAME court pendant migration.
  • 4 — Cinq transferts d’artefacts fixes par région, p95 avant changement d’annonce.
  • 5 — Tableau partagé ECS on/off avec sécurité et observabilité.
  • 6 — Alignement TLS et SVCB si plusieurs entrées ; archivez dig et hashes dans le ticket de changement.

Citables : delta p95 inférieur à vingt pour cent entre PoP voisins sur vingt-quatre heures ; TTL distribution trente à cent vingt secondes en bascule ; cinq mesures avant promotion.

Avertissement : chiffres indicatifs, non contractuels. Respectez les politiques de confidentialité liées à l’ECS et vos obligations sectorielles en matière de journalisation.

Mac mini M4 : achat, tarifs, aide, console, accueil.

Conversion alignée sur la précision DNS

Choisissez un nœud vpshalo cohérent avec votre stratégie GeoDNS

Console pour le nœud, aide pour SSH, accueil pour l’offre ; puis achat et tarifs avant d’industrialiser les sondes dig.

Lecture complémentaire : SVCB et TLS · blog technique.

Résumé achat & forfaits Choisir un nœud Centre d’aide & SSH Accueil vpshalo