CZ.NIC se chystá vypnout původní otevřené rekurzivní DNS servery

A nějaké oficiální odůvodnění?

Je podrobně popsáno v odkazovaném dubnovém článku o novém ODVR. Nové servery běží na anycastu, podporují DNS over TLS, budou se lépe spravovat a do budoucna se u nich počítá s dalším intenzivním rozvojem, protože místo původního Unboundu používají Knot Resolver.

proc ty ip nemuzou zustat zachovany a jen by na nich bezela nova varianta... to abych presel na google/cloudflare, kdyz s tim CZ.NIC bez znovuzprovozneni na stejny ip zasibuje a kdo vi, kdy to udela znovu s novejma; u google/cloudflare neocekavam, ze svoje hezky cisla zrusej, ale zas to ma nevyhody jiny.... docela dost mne to stve....

Závislost na jakékoliv třetí straně je riziková. Internetové zařízení je vždy závislé na svém ISP - ten většinou své místní DNS servery nemění a když už, tak to bývá doprovázeno masivnějším přečíslováním. Podle mě dává smysl používat DNS svého ISP, případně si provozovat vlastní rekurentní DNS. Užívat DNS CZ.NICU nebo Googlu mi přijde jako z nouze ctnost, ne jako dobrá praktika.

No když vám místní ISP začne nasazovat kvalitky typu whalebone, je na čase se poohlédnout po jiném řešení :)

Jaky konkretni problem mate s Whalebone?

Třeba to, že ISP předává data o DNS provozu nějakému startupu? Nebo že to občas neresolvuje? Nebo false positives? Dalo by se pokračovat a ne, nemá to smysl.

To byste se divil. Nedavno prestal fungovat peering mezi CentralNic a Google v Asii (Singapursky NIX) a z Internetu zmizelo asi 30 gTLD domen. Resp. asijsky Google je prestal resolvovat.
Jak se ukazalo tak 8.8.8.8 je hrozne popularni, a spousta ISP ani vlastni rekurzory neprovozuje a rovnou dodava zakaznikum modemy s predkonfigurovanym Google public DNS.

https://issuetracker.google.com/issues/140388487

A vazne v Cechach je naky bezne dostupny ISP ktery je schopny provozovat DNS servery na urovni Googlu nebo Cloudflare, co se tyce dostupnosti?

Ne na úrovni, ale ISP za to ručí, má svoji podporu, svoji komunikaci se zákazníkem. Je v zájmu zákazníka, aby to vyžadoval po svém ISP.

Bohuzel zakaznik vetsinou nema co se tyce ISP moc na vyber, takze podpora od ISP je spis takova symbolicka...

Na Twitteru to vysvětlovali takto:

Jde o to, že pro původní ODVR je použita IP adresa z rozsahu pro DNS anycast .CZ domény. V rámci systematického zvyšování bezpečnosti provozu .CZ domény jsme se rozhodli ODVR zcela oddělit. Věřím, že to lze pochopit.

https://twitter.com/_TomVasek/status/1176803032262238209

Nemohou vzít existující IP a začít je routovat anycastově do internetu. Nejmenší rozsah co Vám nesežerou filtry na routerech je /24 a lze předpokládat že v původním rozsahu ty DNS servery nebyly samy, navíc je otázkou zda aby ten /24 šlo vyjmout ze nějakého většího rozsahu. Změna IP z důvodu přechodu na anycast je prostě opodstatněná a validní. Souběh nové a staré služby byl zajištěn poměrně dlouhou dobu. A pak bych si dovolil připomenout, že ta služba je bezplatná ... je určitě hrozně motivující pro další práci něco udělat líp, nedostat za to ( od klientů ) peníze a ještě slyšet jak je to špatně. Takže kluci z CZ.NICu .... díky že děláte internetový svět lepším.

No pokud ta změna IP je tak zásadní vlastnost...

Pokud půjdete ke Cloudflare, dával bych si ve Vašem případě pozor, protože rozsah 1.1.1.1 si pouze vypůjčili od APNIC, prozatím na "pouhých" pět let, tedy je dobře možné že už za méně než čtyři roky v této podobě skončí. Stávající ODVR adresy byly jistě v provozu značně déle než je v tuto chvíli 1.1.1.1. (Můj odhad stáří ODVR se zhruba blíží 8.8.8.8.)

Tohle je čistě můj osobní názor. Jsem teď s ODVR značně spjatý, takže z principu nemůžu být 100% objektivní.

Přimlouvám se za to, aby původní IP ještě nějakou dobu běželiy (byť třeba jen jako sekundární IP k novým IP), než zákazníci vymění svoje routery, řekněme tak ideálně 10, minimálně 5 let. Ještě minulý rok jsem dávali jako sekundární právě NIC:CZ DNS ke svým.

Asi před půl rokem jsem již nové DNS servery 193.17.47.1, 185.43.135.1 začal používat a musím říct, že spolehlivost, dostupnost nebyla vůbec dobrá. Několikrát do týdne výpadky obou DNS serverů.
Někdy například jeden DNS server nepřekládal DNS dotazy, a na druhý nešel ani ping. Dal jsem zpátky staré servery 217.31.204.130, 193.29.206.206 a DNS jede absolutně bez výpadků.

Když jsme nové ODVR spouštěli, skutečně tam k několika výpadkům došlo. Zejména kvůli experimentálnímu provozu DoH, který měl vliv na celý systém. Tento problém jsme ale vyřešili a také proto nyní znovu vyzýváme k přechodu na nové řešení.