DNS flag day 2020 algatus fragmentatsiooni ja TCP toe probleemide lahendamiseks

Täna korraldab rida suuremaid DNS-teenuseid ja DNS-serverite tootjaid ühise ürituse DNS flag day 2020, mille eesmärk on keskenduda lahendusele probleemide IP-fragmentatsiooniga suurte DNS-sõnumite töötlemisel. See on teine selletaoline üritus, eelmisel aastal oli „DNS flag day” suunatud EDNSi päringute korrektsele töötlemisele.

DNS flag day 2020 algatuse osalised kutsuvad üles kinnitama soovitatavaid EDNS-i puhver-Suurusi kuni 1232 baitini (MTU 1280 miinus 48 baiti peade jaoks) ja samuti viima TCP päringute töötlemise serverites kohustuslikuks. RFC 1035 toetab kohustuslikult ainult UDP päringute töötlemist, samas kui TCP on märgitud soovitatuks, kuid mitte kohustuslikuks. Uued RFC 7766 RFC 5966 ja määratlevad TCP explicitly kohustuslike omadustena, mis on vajalikud DNS-i korralikuks toimimiseks. Algatuse raames pakutakse välja ümberminek UDP päringute saatmiselt TCP kasutamisele juhtudel, kus EDNS-i puhvri määratud suurus ei ole piisav. Pakutud muudatused vabastavad segadusest EDNS-i puhvri suuruse valimisel ja lahendavad probleemid suurte UDP-sõnumite fragmentatsiooniga, mille töötlemine toob sageli kaasa pakettide kadumise ja ajaülesandeid kliendi poolel. Kliendi poolel jääb EDNS-i puhvri suurus püsivaks ning suured vastused saadetakse kliendile kohe TCP kaudu. Suurte sõnumite saatmise välistamine UDP kaudu lahendab ka probleemid suurte pakettide mahajätmisega mõnede tulemüüride peal ning võimaldab blokeerida

DNS-i vahemälu rikkumisi, mis põhinevad fragmentide UDP-pakettide manipulatsioonil (fragmentimise korral ei sisalda teine fragment identifikaatori pead, seega saab seda valehäireks manipuleerida, et kontrollsumma kokku sobiks). rünnakud Alates tänasest hakkavad algatusega liitunud DNS-i edastajad, sealhulgas CloudFlare, Quad 9, Cisco (OpenDNS) ja Google,

aeglaselt muutma aegavasti muutuvad EDNS-i puhver suurus muutub 4096 baitist 1232 baitini nende DNS-serverites (EDNS-i muudatus kestab 4–6 nädalat ja katab aja jooksul järjest rohkem päringuid). UDP-päringute vastused, mis ei mahtunud uude piirangusse, saadetakse TCP kaudu. DNS-serverite tootjad, sealhulgas BIND, Unbound, Knot, NSD ja PowerDNS, välja annavad värskendusi, millega muudetakse vaikimisi EDNS-i puhvri suurust 4096 baitist 1232 baidi suuruseks.

Lõppkokkuvõttes võivad tehtavad muudatused põhjustada probleeme resolviga, kui pöördute DNS-serverite poole, mille UDP kaudu antavad vastused ületavad 1232 baiti ja mis ei saa vastust TCP kaudu edastada. Google'is läbi viidud katse näitas, et EDNS-i puhvri suuruse muutmine ei mõjuta tõrgete taset praktiliselt — 4096-byte puhvri puhul on kärbitud UDP-päringute arv 0.345% ja TCP kaudu kätte saamata jäävate vastuste arv 0.115%. 1232-byte puhvri puhul on need näitajad 0.367% ja 0.116%. TCP toe muutmine DNS-i kohustuslikuks osaks tekitab probleeme umbes 0.1% DNS-serveritega. Märgitakse, et tänapäevastes tingimustes on nende serverite töö TCP-ta nagunii ebastabiilne.

Autoriteetsete DNS-serverite administraatorid peaksid veenduma, et nende server vastab TCP kaudu võrguporti 53 ja et see TCP-port ei ole tulemüüriga blokeeritud. Autoriteetne DNS-server ei tohi samuti saata UDP vastuseid, mille suurus ületab
taotletud EDNS-i puhvri suuruse. Serveris endas peaks EDNS-i puhvri suurus olema seadistatud 1232 baitiks. Resolvritele esitatakse ligikaudu samad nõuded — kohustuslik TCP-vastus, kohustuslik toetus UDP kärbitud vastuse saamisel TCP kaudu põhjalike päringute saatmiseks ning EDNS-i puhvri seadmine 1232 baitiks.

EDNS-i puhvri suuruse seadistamine erinevates DNS-serverites toimub järgmiste parameetrite kaudu: