{"id":95716,"date":"2020-10-02T01:42:50","date_gmt":"2020-10-01T23:42:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp"},"modified":"2020-10-02T01:42:50","modified_gmt":"2020-10-01T23:42:50","slug":"inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","title":{"rendered":"Initiative DNS-Flag-Day 2020 zur L\u00f6sung von Fragmentierungsproblemen und Unterst\u00fctzung von TCP","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Heute werden mehrere gro\u00dfe DNS-Dienste und Hersteller von DNS-Servern eine gemeinsame Veranstaltung durchf\u00fchren DNS-Flag-Day 2020<\/a><\/noindex>, die darauf abzielt, auf die L\u00f6sung<\/a><\/noindex> der Probleme<\/a><\/noindex> mit IP-Fragmentierung bei der Verarbeitung von gro\u00dfen DNS-Nachrichten. Dies ist eine zweite \u00e4hnliche Ma\u00dfnahme, nach dem letzten Jahr «DNS-Flaggtag» fokussierte sich<\/a><\/noindex> auf die korrekte Verarbeitung von EDNS-Anfragen. <\/p>\n

Die Teilnehmer der Initiative DNS-Flag-Day 2020 fordern, die empfohlenen Gr\u00f6\u00dfen der EDNS-Puffer auf Werte von 1232 Bytes (MTU-Gr\u00f6\u00dfe 1280 minus 48 Bytes f\u00fcr Header) festzulegen, sowie die<\/a><\/noindex> Verarbeitung von Anfragen \u00fcber TCP zur obligatorischen Unterst\u00fctzung auf Servern zu machen. In RFC 1035<\/a><\/noindex> wird nur die Unterst\u00fctzung f\u00fcr die Verarbeitung von Anfragen \u00fcber UDP als verpflichtend ausgewiesen, w\u00e4hrend TCP als w\u00fcnschenswert, aber nicht zwingend f\u00fcr die Funktionalit\u00e4t betrachtet wird. Neue RFC 7766<\/a><\/noindex> und RFC 5966<\/a><\/noindex> weisen TCP eindeutig als eine der zwingend erforderlichen Funktionen aus, die f\u00fcr eine korrekte DNS-Funktion erforderlich sind. Im Rahmen der laufenden Initiative wird vorgeschlagen, den \u00dcbergang von der \u00dcbertragung von Anfragen \u00fcber UDP zur Anwendung von TCP zu forcieren, wenn die festgelegte EDNS-Puffergr\u00f6\u00dfe nicht ausreicht.<\/p>\n

Die vorgeschlagenen \u00c4nderungen werden Verwirrung bei der Wahl der EDNS-Puffergr\u00f6\u00dfe beseitigen und das Problem der Fragmentierung gro\u00dfer UDP-Nachrichten l\u00f6sen, deren Verarbeitung h\u00e4ufig zu Paketverlusten und Zeit\u00fcberschreitungen auf der Client-Seite f\u00fchrt. Auf der Client-Seite wird die EDNS-Puffergr\u00f6\u00dfe konstant sein, und gro\u00dfe Antworten werden sofort an den Client \u00fcber TCP gesendet. Der Ausschluss der \u00dcbertragung gro\u00dfer Nachrichten \u00fcber UDP wird ebenfalls Probleme mit der Ablehnung gro\u00dfer Pakete an einigen Firewalls l\u00f6sen und erm\u00f6glicht es, Angriffe<\/a><\/noindex> auf DNS-Caching-Vergiftungen, die auf der Manipulation fragmentierter UDP-Pakete basieren (bei der Fragmentierung enth\u00e4lt das zweite Fragment keinen Header mit einer ID, sodass es gef\u00e4lscht werden kann, solange die Pr\u00fcfziffer \u00fcbereinstimmt), zu blockieren.<\/p>\n

Ab heute werden die an der Initiative beteiligten DNS-Anbieter, einschlie\u00dflich CloudFlare, Quad 9, Cisco (OpenDNS) und Google, allm\u00e4hlich umstellen<\/a><\/noindex> Die Gr\u00f6\u00dfe des EDNS-Puffers wurde von 4096 auf 1232 Bytes auf ihren DNS-Servern reduziert (die \u00c4nderung von EDNS wird sich \u00fcber einen Zeitraum von 4-6 Wochen erstrecken und allm\u00e4hlich immer mehr Anfragen betreffen). Antworten auf UDP-Anfragen, die das neue Limit \u00fcberschreiten, werden per TCP gesendet. Hersteller von DNS-Servern, darunter BIND, Unbound, Knot, NSD und PowerDNS, werden Updates herausbringen, um die EDNS-Puffergr\u00f6\u00dfe von 4096 auf 1232 Bytes zu \u00e4ndern. <\/p>\n

Letztendlich k\u00f6nnen die eingef\u00fchrten \u00c4nderungen zu Problemen bei der Aufl\u00f6sung f\u00fchren, wenn auf DNS-Server zugegriffen wird, deren DNS-Antworten \u00fcber UDP 1232 Byte \u00fcberschreiten und die keine Antworten \u00fcber TCP senden k\u00f6nnen. Ein Experiment bei Google zeigte, dass die \u00c4nderung der EDNS-Puffergr\u00f6\u00dfe praktisch keinen Einfluss auf die Ausfallraten hat \u2014 bei einem Puffer von 4096 Byte betr\u00e4gt die Anzahl der gek\u00fcrzten UDP-Anfragen 0.345 %, und die Anzahl der unerreichbaren TCP-Wiederholantworten betr\u00e4gt 0.115 %. Bei einem Puffer von 1232 Byte betragen diese Werte 0.367 % bzw. 0.116 %. Die Umstellung von TCP auf zwingende Anforderungen im DNS wird zu Problemen bei der Interaktion mit etwa 0,1 % der DNS-Server f\u00fchren. Es wird festgestellt, dass in den heutigen Bedingungen ohne TCP der Betrieb dieser Server ohnehin instabil ist.<\/p>\n

Administrator von autoritativen DNS-Servern sollte sicherstellen, dass ihr Server auf TCP am Netzwerkport 53 antwortet und dass dieser TCP-Port nicht durch eine Firewall blockiert wird. Ein autoritativer DNS-Server sollte auch keine UDP-Antworten senden, deren Gr\u00f6\u00dfe \u00fcberschreitet
\ndie angeforderte EDNS-Puffergr\u00f6\u00dfe. Auf dem Server sollte die EDNS-Puffergr\u00f6\u00dfe auf 1232 Byte eingestellt sein. Den Resolvern werden \u00e4hnliche Anforderungen gestellt \u2014 die zwingende M\u00f6glichkeit, \u00fcber TCP zu antworten, die zwingende Unterst\u00fctzung f\u00fcr das Senden von Wiederholungsanfragen \u00fcber TCP beim Erhalt einer gek\u00fcrzten UDP-Antwort und die Festlegung des EDNS-Puffers auf 1232 Byte.<\/p>\n

Die Einstellungen zur Anpassung der EDNS-Puffergr\u00f6\u00dfe in verschiedenen DNS-Servern sind wie folgt:<\/p>\n

  • BIND\n

    options {
    \n edns-udp-size 1232;
    \n max-udp-size 1232;
    \n };<\/p>\n

  • Knot DNS\n

    max-udp-payload: 1232<\/p>\n

  • Knot Resolver\n

    net.bufsize(1232)<\/p>\n

  • PowerDNS Authoritative\n

    udp-truncation-threshold=1232<\/p>\n

  • PowerDNS Recursor\n

    edns-outgoing-bufsize=1232
    \n udp-truncation-threshold=1232<\/p>\n

  • Unbound\n

    edns-buffer-size: 1232<\/p>\n

  • NSD\n

    ipv4-edns-size: 1232
    \n ipv6-edns-size: 1232<\/p>\n

    <\/a><\/noindex><\/p>\n

    Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

    \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u044f\u0434 \u043a\u0440\u0443\u043f\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0435\u0434\u0443\u0442 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435 DNS flag day 2020, \u043f\u0440\u0438\u0437\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u0444\u043e\u043a\u0443\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 IP-\u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0435\u0439 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 DNS-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u0440\u0430\u0437\u043c\u0435\u0440\u0430. \u042d\u0442\u043e \u0432\u0442\u043e\u0440\u043e\u0435 \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435, \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 «DNS flag day» \u0431\u044b\u043b \u0441\u043e\u0441\u0440\u0435\u0434\u043e\u0442\u043e\u0447\u0435\u043d \u043d\u0430 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 EDNS. \u0423\u0447\u0430\u0441\u0442\u043d\u0438\u043a\u0438 \u0438\u043d\u0438\u0446\u0438\u0430\u0442\u0438\u0432\u044b DNS flag day 2020 \u043f\u0440\u0438\u0437\u044b\u0432\u0430\u044e\u0442 \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0440\u0430\u0437\u043c\u0435\u0440\u044b \u0431\u0443\u0444\u0435\u0440\u043e\u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-95716","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Die DNS-Flaggentag-Initiative 2020 zur Behebung von Fragmentierungs- und TCP-Unterst\u00fctzungsproblemen | ProHoster","description":"Heute werden mehrere gro\u00dfe DNS-Dienste und Hersteller von DNS-Servern eine gemeinsame Veranstaltung, den DNS-Flaggentauscher 2020, durchf\u00fchren, die darauf abzielt, Aufmerksamkeit zu erregen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u043d\u0438\u0446\u0438\u0430\u0442\u0438\u0432\u0430 DNS flag day 2020 \u0434\u043b\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0435\u0439 \u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u043e\u0439 TCP | ProHoster","og:description":"\u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u044f\u0434 \u043a\u0440\u0443\u043f\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0435\u0434\u0443\u0442 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435 DNS flag day 2020, \u043f\u0440\u0438\u0437\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u0444\u043e\u043a\u0443\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-01T23:42:50+00:00","article:modified_time":"2020-10-01T23:42:50+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"95716","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:59:41","updated":"2022-10-02 16:18:32","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/95716","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=95716"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/95716\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=95716"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=95716"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=95716"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}