След 11 месеца разработка консорциум ISC първият стабилен релиз на нова значителна версия на DNS сървъра BIND 9.16. Поддръжката на версия 9.16 ще се осъществява в продължение на три години до второто тримесечие на 2023 година в рамките на разширен цикъл на поддръжка. Актуализации за предишната LTS версия 9.11 ще продължат да се пускат до декември 2021 година. Поддръжката на версия 9.14 ще приключи след три месеца.
Основни :
- Добавен е KASP (Политика за ключове и подписване), опростен начин за управление на ключове и цифрови подписи на DNSSEC, основан на задаване на правила, определени с директивата „dnssec-policy“. Тази директива позволява конфигуриране на генерирането на нови ключове за DNS зони и автоматично прилагане на ключовете ZSK и KSK.
- Съществено преконструирана е мрежовата подсистема, която е преведена на механизъм за асинхронна обработка на запитвания, реализиран на базата на библиотеката .
Преобработката все още не е довела до видими промени, но в бъдещите версии ще даде възможност за реализиране на значителни оптимизации на производителността и добавяне на поддръжка на нови протоколи, като DNS over TLS. - Подобрена е процесът на управление на доверителни привързаности на DNSSEC (Trust anchor, свързан с зоната публичен ключ за проверка на автентичността на тази зона). Вместо настройките trusted-keys и managed-keys, които сега са обявени за остарели, предложена е нова директива trust-anchors, което позволява управление на двата типа ключове.
При използване на trust-anchors с ключовата дума initial-key, поведението на тази директива е идентично на managed-keys, т.е. определя настройката на доверителната привързаност в съответствие с RFC 5011. При използване на trust-anchors с ключовата дума static-key, поведението съответства на директивата trusted-keys, т.е. определя постоянен ключ, който не се обновява автоматично. Освен това в trust-anchors се предлагат още две ключови думи initial-ds и static-ds, които позволяват използването на доверителни привързаности във формата (Delegation Signer) вместо DNSKEY, който дава възможност за настройване на привързаности за още неопубликовани ключове (в бъдеще организацията IANA планира да използва формата DS за ключове на основни зони).
- В утилитите dig, mdig и delv е добавена опция „+yaml“ за изход в YAML формат.
- В утилитата dig е добавена опция „+[no]unexpected“, позволяваща приемането на отговори от хостове, различаващи се от сървъра, на който е изпратено запитването.
- В утилита dig е добавена опция «+[no]expandaaaa», при указване на която IPv6 адресите в записите AAAA се показват в пълно 128-битно представяне, а не в формата на RFC 5952.
- Добавена е възможност за превключване на групи канали за статистика.
- Записите DS и CDS вече се генерират само на база хешове SHA-256 (генерацията на база SHA-1 е прекратена).
- За DNS Cookie (RFC 7873) по подразбиране се използва алгоритъма SipHash 2-4, а поддръжката на HMAC-SHA е прекратена (AES остава).
- Изходът на командите dnssec-signzone и dnssec-verify сега се насочва към стандартния изходен поток (STDOUT), а в STDERR се извеждат само информации за грешки и предупреждения (при указване на опцията «-f» също се извежда подписаната зона). Добавена е опция «-q» за заглушаване на изхода.
- Преработен е кодът за валидиране на DNSSEC, който е освободен от дублиране на код с други подсистеми.
- За извеждане на статистика във формат JSON сега може да се използва само библиотеката JSON-C. Опцията configure «—with-libjson» е преименувана на «—with-json-c».
- В скрипта configure вече не се задава по подразбиране параметърът «—sysconfdir» в /etc, а «—localstatedir» в /var, ако не е указано параметърът «—prefix». По подразбиране сега се използват пътища $prefix/etc и $prefix/var, приложими в Autoconf.
- Изтрит е кодът с реализацията на услугата DLV (Domain Look-aside Verification, опция dnssec-lookaside), която беше обявена за остаряла в BIND 9.12, а свързаният с нея обработчик dlv.isc.org беше изключен през 2017 година. Премахването на DLV позволи да се освободи кодът на BIND от излишни усложнения.
Източник: opennet.ru
