PowerDNS Recursor 4.2 väljaanne ja DNS flag day 2020 algatus

Pärast poolteist aastat arendust esitati vahemälus hoidva DNS-serveri väljaanne PowerDNS Recursor 4.2, mis vastutab nime rekurssi muutmise eest. PowerDNS Recursor põhineb samal koodibaasil kui PowerDNS autoriteetne server, kuid PowerDNS-i rekurssi ja autoriteetsed DNS-serverid arenevad eraldi arendus- ja väljaandmistsüklites ning neid väljastatakse eraldi toodetena. Projekti kood levitatakse on GPLv2 litsentsi all.

Uues versioonis on kõrvaldatud kõik märkused, mis puudutavad DNS-pakettide töötlemist EDNS-i lipukestega. Vanemates PowerDNS Recursori versioonides enne 2016. aastat oli tavaks ignoreerida pakette, kus oli toetamatud EDNS-i lipud, vastust vanas formaadis edastamata, visates EDNS-i lipud kõrvale nagu spetsifikatsioon nõuab. Varem toetati sarnast mittestandartset käitumist BIND-is lahenduspõhiselt, kuid läbiviidud veebruaris algatusega DNS flag day, otsustasid DNS-serverite arendajad loobuda sellest lahendusest.

PowerDNS-is lahendati 2017. aastal põhiprobleemid EDNS-i pakettide töötlemisel versioonis 4.1, ja 2016. aastal välja antud 4.0 haru kõrgläbimiseks tuli esile mõned ühilduvusprobleemid, mis ilmnesid teatud asjaolude tõttu ja ei häirinud tavapärast tööprotsessi. PowerDNS Recursor 4.2, nagu ka BIND 9.14, on eemaldatud ümberminekud, et toetada autoriteetseid servereid, mis vastavad vigadega EDNS-i lipukestega päringutele. Siiani, kui pärast EDNS-i lipukestega päringu saatmist teatud aja jooksul vastust ei saadud, arvas DNS-server, et laiendatud lipud ei ole toetatud ja saatis EDNS-i lipudeta uuesti päringu. Edaspidi on see käitumine keelatud, kuna sellise koodi olemasolu põhjustas viivituste suurenemise korduvate paketisaatmise tõttu, katkestades võrgu koormust ja segadust vastuse puudumise tõttu võrgu riketest, ning takistas EDNS-l põhinevate võimaluste, näiteks DNS Cookies rakendamist DDoS-rünnakute kaitseks.

Järgmise aasta jooksul on plaanis läbi viia sündmus DNS flag day 2020, mille eesmärk on keskenduda lahendusele probleemide IP-fragmentacióniga suurtel DNS-sõnumitel. Algatuse raames planeeritud on soovitatav fikseerida EDNS-i puhvrite soovitatavad suurused kuni 1200 baitini, samuti viima koosolekute töötlemine TCP-s, et muuta see serverites kohustuslikuks. Praegu on UDP päringute töötlemise toetus kohustuslik, samas kui TCP on soovitatav, kuid mitte kohustuslik tööks (standard nõuab TCP keelamise võimaluse olemasolu). E soovitatakse eemaldada standardist TCP keelamise valik ja standardida üleminek UDP päringute saatmiselt TCP kasutamisele, kui EDNS-i puhvrite suurus on ebapiisav.

Tehtud muudatused algatuse raames vabastavad EDNS-i puhvri suuruse valimise segadusest ja lahendavad probleemid suurte UDP-sõnumite fragmentatsiooniga, mille töötlemine viib sageli pakettide kadumiseni ja kliendi poolel ajakulu probleemideni. Kliendi poolel on EDNS-i puhvri suurus konstantne, samas kui suured vastused saadetakse kliendile kohe TCP kaudu. Suurte sõnumite edastamise välistamine UDP kaudu võimaldab samuti blokeerida rünnakud Alates tänasest hakkavad algatusega liitunud DNS-i edastajad, sealhulgas CloudFlare, Quad 9, Cisco (OpenDNS) ja Google,

PowerDNS Recursor 4.2 arvestab suurte UDP-pakettide probleemidega ja on üle läinud EDNS-i puhvri suuruse (edns-outgoing-bufsize) kasutamisele 1232 baidi asemel varasema 1680 baidi piiri asemel, mis peaks oluliselt vähendama UDP-pakettide kadumise tõenäosust. 1232 on valitud, kuna see on maksimum, mille juures DNS-vastuse suurus IPv6 arvestamisel mahub minimaalsetesse MTU väärtustesse (1280). Samuti on 1232 alla vähendatud truncation-threshold parameetri väärtust, mis vastutab vastuste kärpimise eest kliendile.

Teised muudatused PowerDNS Recursor 4.2:

• Lisatud toe mehhanismile XPF (X-Proxied-For), mis on vastav HTTP päise X-Forwarded-For ekvivalent DNS-ile, võimaldades edastada teavet algse päringu algataja IP-aadressi ja pordi numbri kohta, mis on suunatud läbi vahepealsete prokside ja koormuse jaotajate (näiteks dnsdist). XPF aktiveerimiseks on ette nähtud valikud «xpf-allow-from" ja "xpf-rr-code«;
• Parendatud EDNS-i laienduse toetust Client Subnet (ECS), mis võimaldab edastada DNS-päringutes volitatud DNS-serverile teavet alamvõrgu kohta, millisest algne päring on saadetud (klientide algset alamvõrku on vaja sisu edastamise võrkude tõhusaks toimimiseks). Uues väljaandes on lisatud seaded, mis võimaldavad EDNS Client Subneti valikulist kontrollimist: «ecs-add-for» koos võrgu maskeerimise nimekirjaga, mille puhul IP kasutatakse ECS-is väljastatavates päringutes. Aadresside puhul, mis ei vasta määratud maskidele, kasutatakse üldadressi, mille on määranud direktiiv «ecs-scope-zero-address« . Direktiiviga «use-incoming-edns-subnet» on võimalik määrata alamvõrgud, millest saabunud päringud, mille ECS-i väärtused on täidetud, ei asendata;
• Suure hulga päringute töötlemiseks sekundis (üle 100 000) on ette nähtud direktiiv «distributor-threads«, määrates sama, kui palju vooge vastu võetavad päringud ja nende jagamine töötavate voogude vahel (on mõttekas ainult « režiimi kasutamiselpdns-distributes-queries=yes«).
• Lisatud seadistus public-suffix-list-file enda avalike sufiksite faili määramiseks nimekiri, mille kaudu kasutajad saavad registreerida oma alamdomeene, selle asemel et kasutada PowerDNS Recursori sisseehitatud nimekirja. PowerDNS projekt kuulutas välja ka kuue kuu arendustsükli, mille kohaselt oodatakse järgmise olulise PowerDNS Recursor 4.3 versiooni jaanuaris 2020. Oluliste versioonide uuendused toimuvad aasta vältel, millele järgneb kuue kuu jooksul turvaparanduste väljaandmine. Seega jätkub PowerDNS Recursor 4.2 haru tugi jaanuarini 2021. Sarnased muudatused arendustsüklis on kehtestatud ka PowerDNS Authoritative Serveri toote puhul, mille 4.2 versiooni oodatakse peagi.

PowerDNS Recursor põhifunktsioonid:

Kaugest statistika kogumise vahendid;

• Vahetu taaskäivitamine;
• Sisseehitatud mootori tugi Lua-keele töötlejatele;
• Täielik DNSSEC ja
• DNS64 tugi RPZ (Response Policy Zones) tugi ja mustandide määramise võimalus;;
• Pettuste tõrje mehhanismid;
• Võime salvestada resolvatsiooni tulemusi BINDi tsoonifailide kujul.
• Kõrge jõudluse tagamiseks on FreeBSD, Linuxi ja Solaris'e kaasaegsed ühenduste multiplexerimise mehhanismid (kqueue, epoll, /dev/poll) ning kõrge jõudlusega DNS-pakettide parser, mis suudab töödelda kümneid tuhandeid samaaegseid päringuid.
• Mitte ametlik Telegrami klient MobonoGram 2019 osutus troojalaseks tarkvaraks

Allikas: opennet.ru