Udviklerne af DNS-serveren BIND har meddelt, at de i den eksperimentelle version 9.17 har implementeret serverunderst\u00f8ttelse af teknologierne \u00abDNS over HTTPS\u00bb (DoH, DNS over HTTPS) og DNS over TLS (DoT, DNS over TLS), samt mekanismen XFR-over-TLS til sikker overf\u00f8rsel af indhold fra DNS-zoner mellem servere. DoH er tilg\u00e6ngelig til test i udgivelsen 9.17.10, mens underst\u00f8ttelse af DoT findes fra udgivelsen 9.17.7. Efter stabilisering vil underst\u00f8ttelsen af DoT og DoH blive backportet til den stabile version 9.16. <\/p>\n
Implementeringen af HTTP\/2-protokollen, der anvendes i DoH, er baseret p\u00e5 brugsbiblioteket nghttp2, som er inkluderet i byggeafh\u00e6ngighederne (biblioteket planl\u00e6gges senere at blive flyttet til optionale afh\u00e6ngigheder). B\u00e5de krypterede (TLS) og ukrypterede forbindelser over HTTP\/2 underst\u00f8ttes. Med de rette indstillinger kan \u00e9n named-proces nu h\u00e5ndtere ikke blot traditionelle DNS-foresp\u00f8rgsler, men ogs\u00e5 foresp\u00f8rgsler sendt med DoH (DNS-over-HTTPS) og DoT (DNS-over-TLS). Klient-side underst\u00f8ttelse af HTTPS (dig) er endnu ikke implementeret. Underst\u00f8ttelse af XFR-over-TLS er tilg\u00e6ngelig for b\u00e5de indg\u00e5ende og udg\u00e5ende foresp\u00f8rgsler. <\/p>\n
Behandling af anmodninger ved hj\u00e6lp af DoH og DoT aktiveres ved at tilf\u00f8je mulighederne http og tls i direktivet listen-on. For at underst\u00f8tte ukrypteret DNS-over-HTTP skal indstillingerne angive \u00abtls none\u00bb. N\u00f8glerne defineres i sektionen \u00abtls\u00bb. Standard netv\u00e6rksporte 853 for DoT, 443 for DoH og 80 for DNS-over-HTTP kan overskrives via parametrene tls-port, https-port og http-port. Eksempel: tls local-tls { key-file \u00ab\/path\/to\/priv_key.pem\u00bb; cert-file \u00ab\/path\/to\/cert_chain.pem\u00bb; }; http local-http-server { endpoints { \u00ab\/dns-query\u00bb; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
En af de dragende tr\u00e6k ved implementeringen af DoH i BIND er integrationen som en generel transport, som kan anvendes ikke blot til at h\u00e5ndtere foresp\u00f8rgsler fra klienter til resolveren, men ogs\u00e5 ved dataudveksling mellem servere, ved overf\u00f8rsel af zoner fra den autoritative DNS-server og ved h\u00e5ndtering af enhver foresp\u00f8rgsel, der underst\u00f8ttes af andre DNS-transporter. <\/p>\n
En anden funktion er muligheden for at flytte krypteringsoperationer til TLS til en anden server, hvilket kan v\u00e6re n\u00f8dvendigt, n\u00e5r TLS-certifikater opbevares p\u00e5 et andet system (for eksempel i en infrastruktur med webservere) og h\u00e5ndteres af andet personale. Underst\u00f8ttelse af ukrypteret DNS-over-HTTP er implementeret for at forenkle fejlfinding og som et niveau til at videresende i det interne netv\u00e6rk, hvorp\u00e5 kryptering kan organiseres p\u00e5 en anden server. Nginx kan anvendes p\u00e5 den eksterne server til generering af TLS-trafik, ligesom det g\u00f8res med HTTPS-indpakning for websteder. <\/p>\n
It\u2019s worth noting that DNS-over-HTTPS can be useful for preventing the leakage of requested hostnames through provider DNS servers, combating MITM attacks and DNS traffic spoofing (for example, when connecting to public Wi-Fi), and overcoming DNS-level blocks (DNS-over-HTTPS cannot replace the circumvention of blocks implemented at the DPI level) or for enabling functionality when direct access to DNS servers is not possible (for example, when working through a proxy). In normal situations, DNS queries are directly sent to specific DNS servers configured in the system, but in the case of DNS-over-HTTPS, the request for hostname resolution is encapsulated in HTTPS traffic and sent to the HTTP server, where the resolver processes requests via Web API. VPN<\/a> i forbindelse med omg\u00e5else af blokeringer implementeret p\u00e5 DPI-niveau) eller til at organisere drift i tilf\u00e6lde af, at direkte adgang til DNS-servere ikke er muligt (for eksempel ved brug af en proxy). Hvis DNS-foresp\u00f8rgsler normalt sendes direkte til de i systemkonfigurationen angivne DNS-servere, s\u00e5 indkapsles DNS-over-HTTPS-foresp\u00f8rgslen til bestemmelse af IP-adresser<\/a> v\u00e6rten i HTTPS-trafik og sendes til en HTTP-server, hvor resolveren behandler foresp\u00f8rgsler via Web API. <\/p>\n