Release von PowerDNS Recursor 4.3 und KnotDNS 2.9.3

Hat stattgefunden Release des zwischenspeichernden DNS-Servers PowerDNS Recursor 4.3, verantwortlich fĂŒr die rekursive Umwandlung von Namen. PowerDNS Recursor basiert auf demselben Code wie der PowerDNS Authoritative Server, jedoch entwickeln sich der rekursive und der autoritative DNS-Server von PowerDNS innerhalb unterschiedlicher Entwicklungszyklen und werden als separate Produkte veröffentlicht. Der Code des Projekts wird verbreitet unter der GPLv2-Lizenz.

Der Server bietet Mittel zur Fernsammlung von Statistiken, unterstĂŒtzt sofortige Neustarts, hat eine integrierte Engine fĂŒr die Anbindung von Handlern in der Sprache Lua, unterstĂŒtzt vollstĂ€ndig DNSSEC, DNS64, RPZ (Response Policy Zones) und ermöglicht die Anbindung von schwarzen Listen. Es besteht die Möglichkeit, die Ergebnisse der Auflösung als BIND-Zonendateien zu speichern. Um hohe Leistung zu gewĂ€hrleisten, werden moderne Mechanismen zur Multiplexierung von Verbindungen unter FreeBSD, Linux und Solaris (kqueue, epoll, /dev/poll) sowie ein leistungsfĂ€higer DNS-Paketparser eingesetzt, der zehntausende paralleler Anfragen verarbeiten kann.

In der neuen Version:

  • Um die Ausleitung von Informationen ĂŒber die angeforderte DomĂ€ne zu verhindern und die PrivatsphĂ€re zu erhöhen, ist standardmĂ€ĂŸig der Mechanismus QNAME Minimization (RFC-7816), der im „relaxed“-Modus arbeitet, aktiviert. Das Prinzip des Mechanismus besteht darin, dass der Resolver den vollstĂ€ndigen Namen des gesuchten Hosts in seinen Anfragen an den ĂŒbergeordneten Nameserver nicht erwĂ€hnt. Zum Beispiel wird der Resolver, wenn er die Adresse fĂŒr den Host foo.bar.baz.com bestimmt, dem an der Zone „.com“ autoritativen Server die Anfrage „QTYPE=NS,QNAME=baz.com“ senden, ohne „foo.bar“ zu erwĂ€hnen. Derzeit funktioniert es im „relaxed“-Modus.
  • Es wurde die Möglichkeit zur Protokollierung von ausgehenden Anfragen an den autoritativen Server und deren Antworten im dnstap-Format implementiert (unter Verwendung ist eine Kompilierung mit der Option „—enable-dnstap“ erforderlich).
  • Es wurde eine gleichzeitige Bearbeitung mehrerer eingehender Anfragen ĂŒber eine TCP-Verbindung implementiert, wobei die Ergebnisse nach VerfĂŒgbarkeit und nicht in der Reihenfolge der Anfragebearbeitung zurĂŒckgegeben werden. Das Limit fĂŒr gleichzeitige Anfragen wird durch die Einstellung „max-concurrent-requests-per-tcp-connection«.
  • Es wurde eine Technik zur Verfolgung neuer DomĂ€nen implementiert NOD (Neu Beobachtete DomĂ€ne), die zur Identifizierung von verdĂ€chtigen DomĂ€nen oder DomĂ€nen, die mit böswilligen AktivitĂ€ten wie der Verbreitung von Malware, Phishing und der Nutzung zur Botnet-Kontrolle in Verbindung stehen, verwendet werden kann. Die Methode basiert auf der Identifizierung von DomĂ€nen, die zuvor nicht besucht wurden, und der Analyse dieser neuen DomĂ€nen. Anstelle der Verfolgung neuer DomĂ€nen in einer vollstĂ€ndigen Datenbank aller jemals besuchten DomĂ€nen, deren Pflege erhebliche Ressourcen erfordert, wird in NOD eine probabilistische Struktur angewendet. SBF (Stabiler Bloom-Filter), der den Speicher- und CPU-Verbrauch minimiert. Um ihn zu aktivieren, sollte in den Einstellungen „new-domain-tracking=yes“ angegeben werden.
  • Beim Starten unter systemd wird der PowerDNS Recursor jetzt unter dem unprivilegierten Benutzer pdns-recursor anstelle von root ausgefĂŒhrt. FĂŒr Systeme ohne systemd und ohne chroot wird standardmĂ€ĂŸig das Verzeichnis /var/run/pdns-recursor zum Speichern des Kontroll-Sockets und der PID-Datei verwendet.

Außerdem, veröffentlicht Release KnotDNS 2.9.3, ein leistungsstarker autoritativer DNS-Server (der Resolver als separates Programm implementiert), der alle modernen DNS-Funktionen unterstĂŒtzt. Das Projekt wird vom tschechischen Namensregister CZ.NIC entwickelt, ist in C geschrieben und wird verbreitet unter Lizenz GPLv3.

KnotDNS zeichnet sich durch einen Fokus auf eine hohe Anfrageverarbeitungsgeschwindigkeit aus, fĂŒr die eine mehrfĂ€dige und grĂ¶ĂŸtenteils nicht blockierende Implementierung verwendet wird, die gut auf SMP-Systemen skalierbar ist. Funktionen wie das HinzufĂŒgen und Löschen von Zonen zur Laufzeit, die Übertragung von Zonen zwischen Servern, DDNS (dynamische Updates), NSID (RFC 5001), EDNS0-Erweiterungen und DNSSEC (einschließlich NSEC3), sowie AntwortintensitĂ€tsbegrenzungen (RRL) werden bereitgestellt.

In der neuen Version:

  • Eine Einstellung ‚remote.block-notify-after-transfer‘ wurde hinzugefĂŒgt, um das Versenden von NOTIFY-Nachrichten zu deaktivieren;
  • Experimentelle UnterstĂŒtzung fĂŒr den Ed448-Algorithmus in DNSSE implementiert (benötigt GnuTLS 3.6.12+ und noch nicht veröffentlichten Nettle 3.6+);
  • Im keymgr wurde der Parameter ‚local-serial‘ hinzugefĂŒgt, um die SOA-Nummer fĂŒr signierte Zonen im KASP-Datenbank abzurufen oder festzulegen;
  • Im keymgr wurde die UnterstĂŒtzung fĂŒr den Import von Ed25519- und Ed448-SchlĂŒsseln im BIND-DNS-Serverformat hinzugefĂŒgt;
  • Der Standardwert der Einstellung ‚server.tcp-io-timeout‘ wurde auf 500 ms erhöht, wĂ€hrend ‚database.journal-db-max-size‘ auf 512 MiB auf 32-Bit-Systemen verringert wurde.

Quelle: opennet.ru

60GB SSD 8Gb DDR4