Контроль DNS, TLS и внешнего периметра всех доменов и адресов организации в одном месте

Делегирование и split-horizon

SOA и сверка NS-записей с родительской зоной — с периодичностью, зависящей от TTL зоны домена. Отдельное сравнение внутреннего и внешнего DNS-вида домена: совпадают, различаются NS-ответы, различаются данные или есть оба типа расхождений.

AXFR и история в git

Записи считываются зональным трансфером. Каждое состояние сравнивается с предыдущим, а каждая версия зоны сохраняется в собственном git-репозитории.

Источник записей без AXFR

Для зон на NGENIX, не отдающих зональный трансфер, записи считываются через API провайдера и честно помечаются как "authored", а не "zone_diff".

HTTPS и TLS-проверка

Каждые 5 минут для каждой A/CNAME-записи выполняется TLS-рукопожатие на порту 443. Для доступных адресов проверяются Common Name, доверие к CA, включая собственный корневой сертификат, и срок действия сертификата.

Сертификат "на неделю"

Сертификат, истекающий менее чем через 7 дней, отмечается как критичная проблема на дашборде и в триггере Zabbix.

Роли и сессии

Роли system_admin, org_admin и member. Сессии хранятся в PostgreSQL, а деактивация пользователя немедленно завершает его активные сессии. Вход ограничен 10 запросами в минуту с одного адреса.

Подтверждение изменений

Изменение DNS-записей открывает проблему, которую необходимо подтвердить явно. Подтверждение фиксирует новое состояние в git. Проблемы доступности и сертификатов закрываются автоматически при следующей успешной проверке.

Нативная интеграция с Zabbix

Один эндпоинт на организацию. Токен выпускается и отзывается через API, показывается один раз и защищён SHA-256. Готовый шаблон Zabbix 7.4 с автообнаружением доменов и триггерами доступен для скачивания в интерфейсе.

Внешний периметр по IP

Каждый адрес объявленной сети проверяется ICMP, TCP SYN и UDP-пробами. Открытый порт становится записью с историей: когда впервые увиден и когда подтверждён в последний раз. Новый порт на известном адресе открывает проблему.

Что именно слушает порт

Для известных портов выполняется проба протокола — SSH, SMTP, HTTP, DNS, OpenVPN. Ответ сверяется с тем, что на этом порту ожидается, и расхождение отмечается отдельно: порт 443, отвечающий не TLS, виден сразу.

Имена в DNS рядом с портом

Рядом с каждым адресом показано, какими именами он известен в вашем же DNS. Для служб, которые принципиально не отвечают на пробу — например OpenVPN с tls-auth — порт можно объявить вручную, и он будет отслеживаться наравне с найденными.

Ответственные и произвольные атрибуты

Владелец и эксперт назначаются на сеть, адрес, порт, домен или запись и наследуются вниз; порт без ответственного открывает проблему. Организация задаёт собственные атрибуты — произвольный текст или список значений — и использует их как фильтры и колонки в списках.