PowerDNS Recursor 4.3 ja KnotDNS 2.9.3 väljaanne

Toimus vahemälus hoidva DNS-serveri väljaanne PowerDNS Recursor 4.3, mis vastutab nime rekurssi muutmise eest. PowerDNS Recursor põhineb samal koodibaasil kui PowerDNS autoriteetne server, kuid PowerDNS-i rekurssi ja autoriteetsed DNS-serverid arenevad eraldi arendus- ja väljaandmistsüklites ning neid väljastatakse eraldi toodetena. Projekti kood levitatakse on GPLv2 litsentsi all.

Server pakub kaugstatistika kogumise vahendeid, toetab kohest taaskäivitamist, sisaldab sisseehitatud mootorit Lua keeles töötlejate ühendamiseks, toetab täielikult DNSSEC, DNS64, RPZ (Response Policy Zones) ja lubab mustade nimekirjade ühendamist. On võimalik salvestada lahendamise tulemusi BIND ala failide kujul. Tootlikkuse tagamiseks kasutatakse tänapäevaseid ühenduste mitmekordistamise mehhanisme FreeBSD, Linuxi ja Solaris (kqueue, epoll, /dev/poll), samuti tõhusat DNS-pakettide parsi, mis suudab töödelda kümneid tuhandeid paralleelseid päringuid.

Uues versioonis:

• Teabe lekkimise vältimiseks küsitava domeeni kohta ja privaatsuse suurendamiseks on vaikimisi sisse lülitatud mehhanism QNAME minimiseerimine (RFC-7816), mis töötab „relaxed” režiimis. Mehhanismi olemus on see, et resolver ei maini otsitava hosti täisnime oma päringutes kõrgematele nimede serveritele. Näiteks, kui määratakse aadress hostile foo.bar.baz.com, saadab resolver autoriteetsele „.com” tsooni serverile päringu „QTYPE=NS,QNAME=baz.com”, mainimata „foo.bar”. Praeguses vormis on rakendatud töö „relaxed” režiimis.
• On rakendatud võimalus logida väljaminevaid päringuid autoriteetsesse serverisse ja neile vastuseid dnstap formaadis (kasutamiseks on vajalik ehitus valikuga „—enable-dnstap”).
• Tagatud on mitme sissetuleva päringu samal ajal töötlemine, mis edastatakse TCP-ühenduse kaudu, tagades tulemused nende valmimise järjekorras, mitte päringute järjekordade järgi. Samade päringute limiit määratakse seadistusega „max-concurrent-requests-per-tcp-connection«.
• Rakendatud on uute domeenide jälgimise tehnika NOD (Newly Observed Domain), mida saab kasutada kahtlaste domeenide või domeenide tuvastamiseks, mis on seotud pahatahtliku tegevusega, nagu pahavara levitamine, Phishing ja botnetide juhtimine. Meetod põhineb domeenide määratlemisel, mille poole pole varem pöördutud, ja nende uute domeenide analüüsimisel. Uute domeenide jälgimiseks ei jälgita kõiki kunagi külastatud domeene, mis nõuaks märkimisväärseid ressursse, vaid NOD-s rakendatakse tõenäosusstruktuuri SBF (Stable Bloom Filter), mis võimaldab vähendada mälu ja CPU tarbimist. Sisse lülitamiseks tuleb seadistustes määrata „new-domain-tracking=yes”.
• Systemd haldajaga käivitamisel töötab PowerDNS Recursor nüüd õigusteta kasutajana pdns-recursor, mitte rootina. Systemd ja chroot'i puudumisel kasutatakse vaikimisi haldussocket'i ja pid-faili jaoks kausta /var/run/pdns-recursor.

Lisaks, avaldati vabastus KnotDNS 2.9.3, kõrge jõudlusega autoriteetne DNS-server (rekursor on eraldi rakenduses), mis toetab kõiki kaasaegseid DNS-i võimalusi. Projekti arendab Tšehhi nime registreerija CZ.NIC, kirjutatud C keeles ja levitatakse ja GPLv3 litsentsi alusel.

KnotDNS-i iseloomustab kõrge päringute töötlemise jõudlus, mille saavutamiseks kasutatakse mitme lõime, peamiselt mitteblokeerivat rakendust, mis on hästi skaleeritav SMP-süsteemidel. Pakutakse selliseid võimalusi nagu tsoonide kiire lisamine ja eemaldamine, tsoonide edastamine serverite vahel, DDNS (dünaamilised värskendused), NSID (RFC 5001), EDNS0 laiendused ning DNSSEC (sealhulgas NSEC3), vastuste intensiivsuse piiramise võimalused (RRL).

Uues väljaandes:

• Lisatud seadistus ‘remote.block-notify-after-transfer’, et keelata NOTIFY sõnumite saatmine;
• Eksperimentaalne tugi Ed448 algoritmile DNSSE-s on rakendatud (vajalik GnuTLS 3.6.12+ ja veel mitte välja antud Nettle 3.6+);
• Keymgris on lisatud parameeter ‘local-serial’, et saada või seada KASP andmebaasis allkirjastatud tsooni SOA-numbrite seeriat;
• Keymgris on lisatud toetus Ed25519 ja Ed448 võtmete importimiseks BIND DNS-serveri formaadis;
• Seadistuse ‘server.tcp-io-timeout’ vaikimisi väärtust on suurendatud 500 ms-ni, samas kui ‘database.journal-db-max-size’ on 32-bitistes süsteemides vähenenud 512 MiB-ni.

Allikas: opennet.ru