{"id":99198,"date":"2021-02-19T10:22:43","date_gmt":"2021-02-19T08:22:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https"},"modified":"2021-02-19T10:22:43","modified_gmt":"2021-02-19T08:22:43","slug":"v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https","title":{"rendered":"Der DNS-Server BIND hat experimentelle Unterst\u00fctzung f\u00fcr DNS-over-HTTPS hinzugef\u00fcgt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler des DNS-Servers BIND haben die Unterst\u00fctzung f\u00fcr die Technologien \u201eDNS \u00fcber HTTPS\u201c (DoH, DNS over HTTPS) und \u201eDNS \u00fcber TLS\u201c (DoT, DNS over TLS) sowie den Mechanismus XFR-over-TLS f\u00fcr die sichere \u00dcbertragung von DNS-Zoneninhalten zwischen Servern in den experimentellen Branch 9.17 aufgenommen. DoH ist in der Version 9.17.10 zum Testen verf\u00fcgbar, w\u00e4hrend die Unterst\u00fctzung f\u00fcr DoT ab der Version 9.17.7 vorhanden ist. Nach Stabilisierung wird die Unterst\u00fctzung f\u00fcr DoT und DoH in den stabilen Branch 9.16 zur\u00fcckportiert. <\/p>\n
Die Implementierung des Protokolls HTTP\/2, das in DoH verwendet wird, basiert auf der Verwendung der Bibliothek nghttp2, die zu den Build-Abh\u00e4ngigkeiten geh\u00f6rt (zuk\u00fcnftig soll die Bibliothek in die Gruppe der optionalen Abh\u00e4ngigkeiten verschoben werden). Sowohl verschl\u00fcsselte (TLS) als auch unverschl\u00fcsselte Verbindungen \u00fcber HTTP\/2 werden unterst\u00fctzt. Bei entsprechender Konfiguration kann ein Prozess von named nun nicht nur traditionelle DNS-Anfragen bedienen, sondern auch Anfragen, die \u00fcber DoH (DNS-over-HTTPS) und DoT (DNS-over-TLS) gesendet werden. Die Unterst\u00fctzung von HTTPS auf der Client-Seite (dig) ist derzeit noch nicht implementiert. Die Unterst\u00fctzung von XFR-over-TLS steht sowohl f\u00fcr eingehende als auch f\u00fcr ausgehende Anfragen zur Verf\u00fcgung. <\/p>\n
Die Bearbeitung von Anfragen unter Verwendung von DoH und DoT wird durch das Hinzuf\u00fcgen der Optionen http und tls in der Direktive listen-on aktiviert. F\u00fcr die Unterst\u00fctzung von unverschl\u00fcsseltem DNS-over-HTTP sollten in den Einstellungen \u201etls none\u201c angegeben werden. Die Schl\u00fcssel werden im Abschnitt \u201etls\u201c definiert. Die Standardnetzports 853 f\u00fcr DoT, 443 f\u00fcr DoH und 80 f\u00fcr DNS-over-HTTP k\u00f6nnen \u00fcber die Parameter tls-port, https-port und http-port \u00fcberschrieben werden. Zum Beispiel: tls local-tls { key-file \"\/path\/to\/priv_key.pem\"; cert-file \"\/path\/to\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Bei der Implementierung von DoH in BIND wird die Integration als gemeinsamer Transport hervorgehoben, der nicht nur zur Bearbeitung von Clientanfragen an den Resolver verwendet werden kann, sondern auch beim Austausch von Daten zwischen Servern, beim \u00dcbertragen von Zonen durch den autoritativen DNS-Server und bei der Bearbeitung von Anfragen, die von anderen DNS-Transporten unterst\u00fctzt werden. <\/p>\n
Eine weitere Funktion ist die M\u00f6glichkeit, die Verschl\u00fcsselungsoperationen f\u00fcr TLS auf einen anderen Server auszulagern. Dies kann erforderlich sein, wenn TLS-Zertifikate auf einem anderen System (zum Beispiel in einer Infrastruktur mit Webservern) gespeichert und von anderem Personal verwaltet werden. Die Unterst\u00fctzung f\u00fcr unverschl\u00fcsseltes DNS-over-HTTP wurde implementiert, um das Debugging zu erleichtern und als Grundlage f\u00fcr die Durchleitung im internen Netzwerk, auf dessen Basis die Verschl\u00fcsselung auf einem anderen Server organisiert werden kann. Auf dem Auslagerungsserver kann nginx zur Generierung des TLS-Traffics verwendet werden, \u00e4hnlich wie bei der HTTPS-Bindung f\u00fcr Websites. <\/p>\n