DNS flag day 2020 algatus probleemide lahendamiseks fraktsioonimise ja TCP toe osas.

Tänapäeval korraldavad mitmed suured DNS-teenuste pakkujad ja DNS-serverite tootjad ühisürituse DNS lipupäev 2020, mille eesmärk on keskenduda lahendusele probleemide IP-fragmentatsiooni kohta suure mahuga DNS-sõnumite töötlemisel. See on teine ​​sarnane üritus, eelmisel aastal toimus "DNS flag day" oli keskendunud EDNS-i päringute korrektsele töötlemisele.

DNS flag day 2020 algatuse osalised kutsuvad üles fikseerima EDNS-i soovitatavad puufferi suurused kuni 1232 baitini (MTU suurus 1280 miinus 48 baiti päiste jaoks), samuti tõlkida TCP-päringute töötlemine peab olema serverites kohustuslikult toetatud. RFC 1035 tähistab kohustuslikult vaid UDP-päringute töötlemise toetust, samas kui TCP on märgitud soovitatavaks, kuid mitte kohustuslikuks. Uued märgitud on ainult UDP päringute töötlemise toetus, samas kui TCP on märgitud kui soovitav, kuid mitte kohustuslik tööks. Uued RFC 7766 ja RFC 5966 seavad TCP selgelt kohustuslike võimaluste hulka, mis on DNS-i korrektseks toimimiseks hädavajalikud. Käimasoleva algatuse raames pakutakse välja, et tulla üle UDP-päringute saatmiselt TCP kasutamisele olukordades, kus EDNS-i puufferi seadistatud suurus ei ole piisav.

Ettepanekud kõrvaldab segaduse EDNS-i puhvri suuruse valikul ja lahendavad probleemid suurte UDP-sõnumite fragmenteerimisega, mille töötlemine toob sageli kaasa pakettide kadumise ja klientide poolseid taimerite ületamisi. Klientide poolel on EDNS-i puhvri suurus konstantne ning suured vastused saadetakse kohe kliendile TCP kaudu. Suurte sõnumite saatmise välistamine UDP-u kaudu lahendab ka probleemid suurte pakettide kõrvaldamisega mõnedes tulemüürides ja võimaldab blokeerida rünnaku DNS vahemälu rikke korral võivad tekkida probleemid, mis on tingitud fragmentide UDP-pakettide manipuleerimisest (fragmentimisel ei hõlma teine fragment identifikaatori pead, seetõttu saab selle manipuleerida, et ainult kontrollsumma vastaks).

Alates tänasest osalevad DNS-i teenusepakkujad, sealhulgas CloudFlare, Quad 9, Cisco (OpenDNS) ja Google, hakkavad järk-järgult muutma EDNS-i puhvri suurust 4096 baitilt 1232 baitini oma DNS-serverites (EDNS-i muudatus kestab 4–6 nädalat ja aja jooksul hõlmab see üha rohkem küsimusi). UDP-päringutele, mis ei mahu uude piirangusse, saadetakse vastused TCP kaudu. DNS-serverite tootjad, sealhulgas BIND, Unbound, Knot, NSD ja PowerDNS, avaldavad värskendused, mis muudavad vaikimisi EDNS-i puhvri suuruse 4096 baitilt 1232 baitini.

Lõppkokkuvõttes võivad sisseviidud muudatused põhjustada probleeme nimede lahendamisel, kui pöörduda DNS-serverite poole, mille UDP vastused ületavad 1232 baiti ja mis ei saa vastust TCP kaudu saata. Google'is läbi viidud eksperimendi põhjal muutus EDNS-i puhvri suuruse muutmine praktiliselt ebaefektiivseks, kuna 4096-baitise puhvri kasutamisel oli kärbitud UDP päringute osakaal 0,345% ja TCP kaudu kättesaamatute korduvate vastuste osakaal 0,115%. 1232-baitise puhvri korral olid need näitajad vastavalt 0,367% ja 0,116%. TCP toe muutmine DNS-i kohustuslikuks funktsiooniks põhjustab probleeme umbes 0,1% DNS-serveritega. Toodud asjaolusid arvestades on tänapäeva tingimustes nende serverite töö TCP-ita ikkagi ebastabiilne.

Autoriteetsete DNS-serverite administraatorid peaksid veenduma, et nende server vastab TCP-le võrgupordil 53 ja et antud TCP-port ei ole tulemüüriga blokeeritud. Autoriteetne DNS-server ei tohi samuti saata UDP vastuseid, mille suurus ületab
taotletud EDNS-i puhvri suurus. Serveris peab EDNS-i puhvri suurus olema seatud 1232 baitiks. Resolutoreid kehtivad sarnased nõuded — kohustuslik TCP-vastuse võimalus, kohustuslik TCP korduspalvete saatmise tugi vähendatud UDP vastuse saamisel, ja EDNS-i puhvri seadmine 1232 baitiks.

EDNS-i puhvri suuruse seadistamine erinevates DNS-serverites sõltub järgmistest parameetritest: