Avaldatud DHCP-server Kea 1.6, mille arendamise eest vastutab ISC konsortsium

ISC konsortsium avalikustas DHCP-serveri väljaanne Kea 1.6.0, mis asendab klassikalist ISC DHCP. Projekti allalaetavad lähtekoodid levitatakse on litsentsi all Mozilla Public License (MPL) 2.0, asemel, mida rakendati varasemalt ISC DHCP jaoks, kasutades ISC litsentsi.

DHCP-server Kea põhineb BIND 10 tehnoloogiatel ja ehitatud kasutades modulaarset arhitektuuri, mis jagab funktsionaalsuse erinevatesse töötlusprotsessidesse. Toode sisaldab täielikku serveri teostust, mis toetab DHCPv4 ja DHCPv6 protokolle ning suudab asendada ISC DHCP. Keas on sisseehitatud dünaamilise DNS-i tsoonide uuendamise vahendid, toetatakse serverite avastamise, aadresside määramise, uuendamise ja taaskühendamise, teabe päringute teenindamise, aadresside reserveerimise ja PXE-käivitamise mehhanisme. DHCPv6 teostuses on täiendavalt ettenähtud prefiksite delegeerimise võimalus. Välistesse rakendustesse suhtlemiseks on saadaval spetsiaalne API. Konfiguratsiooni on võimalik uuendada reaalajas ilma serverit taaskäivitamata.

Teave reserveeritud aadresside ja klientide parameetrite kohta võib olla salvestatud erinevatesse andmehoidlatesse - sel hetkel pakutakse bäkendeid salvestamiseks CSV-failides, MySQL andmebaasis, Apache Cassandra's ja PostgreSQL's. Hostide reserveerimise parameetrid võivad olla määratud konfiguratsioonifailis JSON formaadis või tabelina MySQL ja PostgreSQL's. Komplektil on perfdhcp tööriist DHCP-serveri jõudluse mõõtmiseks ja komponentide kokku kogumiseks. Kea näitab head jõudlust, näiteks kasutades MySQL bäkendi, suudab server täita 1000 aadressi määramist sekundis (umbes 4000 paketti sekundis), ja kasutades memfile bäkendi jõudlus ulatub 7500 määramiseni sekundis.

Peamised parandused Kea 1.6:

• Realiseeritud on konfiguratsiooni tagaplaneering (CB, Configuration Backend), mis võimaldab keskselt hallata mitme DHCPv4 ja DHCPv6 serveri seadeid. Tagaplaneeringut saab kasutada enamikku Kea seadeid, sealhulgas globaalsete parameetrite, ühiste võrkude, alamvõrkude, valikute, basseinide ja valikute määratluste salvestamiseks. Kõiki neid seadeid ei salvestata enam kohaliku konfiguratsioonifailina, vaid neid saab nüüd hoida välises andmebaasis. Samuti on võimalik määrata CB kaudu mitte kõiki, vaid ainult osa seadistustest, rakendades välise andmebaasi ja kohalike konfiguratsioonifailide parameetreid (näiteks võivad kohalikes failides jääda alles võrguliideste seaded).

  Konfiguratsiooni salvestamiseks toetatakse praegu ainult MySQL andmebaasi (aadresside omamise (leases) salvestamiseks võivad kasutada MySQL, PostgreSQL ja Cassandra, ning hostide reserveerimiseks MySQL ja PostgreSQL). Andmebaasi konfiguratsioon võib muutuda nii otse andmebaasiga suhtlemisel kui ka spetsiaalselt koostatud vahepealsete teekide kaudu, mis pakuvad tüüpilist käsu komplekti konfiguratsiooni haldamiseks, nagu parameetrite, sidumiste, DHCP valikute ja alamvõrkude lisamine ja eemaldamine;

• Uus „DROP“ töötleja klass on lisatud (kõik DROP klassiga seotud paketid heidetakse kohe tagasi), mida saab kasutada soovimatu liikluse, näiteks teatud tüüpi DHCP sõnumite eemaldamiseks;
• Lisatud on uued parameetrid max-lease-time ja min-lease-time, mis võimaldavad määrata aadressi sidumise kliendile (lease) eluea mitte kindla väärtusena, vaid lubatud vahemikuna;
• Parandatud on ühilduvust seadmetega, mis ei järgi täielikult DHCP standardeid. Probleemide vältimiseks saadab Kea nüüd DHCPv4 sõnumi tüübi teabe optsioonide nimekirja kõige alguses, käsitleb erinevaid hostinimede vorme, tunneb ära tühi hostinimi edastamise ja võimaldab määrata suboptsioone koodidega 0 kuni 255;
• DDNS demoonile on lisatud eraldi juhtimisseade, mille kaudu saab otse edastada käske ja teha muudatusi konfiguratsioonis. Toetatakse järgmisi käske: build-report, config-get, config-reload, config-set, config-test, config-write, list-commands, shutdown ja version-get;
• Käivitatud haavatavuse (CVE-2019-6472, CVE-2019-6473, CVE-2019-6474), mis saab kasutada teenuse keelamiseks (DHCPv4 ja DHCPv6 serveri töötlemise krahhi kutsumiseks) ebaõigete valikute ja väärtustega päringute saatmise kaudu. Probleem on kõige ohtlikum. CVE-2019-6474, mis, kui seda kasutatakse memfile'i sidumiste jaoks, toob kaasa serveri protsessi iseseisva taaskäivitamise võimatuse, seetõttu on töö taastamiseks vajalik administraatori käsitsi sekkumine (sidumisbaasi puhastamine).

Allikas: opennet.ru