DNS-serveri BIND 9.16.0 väljaanne

Pärast 11 kuu arendust ISC konsortsium esitles välja andnud esimese stabiilse versiooni uue märkimisväärse haru DNS-serverist BIND 9.16. Haru 9.16 toetust jätkatakse kolme aasta jooksul kuni 2023. aasta teise kvartalini laiendatud toetuse tsükli raames. Uuendusi varasema LTS-haru 9.11 jaoks jätkatakse kuni 2021. aasta detsembrini. Haru 9.14 tugi lõppeb kolme kuu pärast.

Peamised uuendused:

• Lisatud on KASP (Key and Signing Policy), lihtsustatud viis DNSSECi võtmete ja digitaalsete allkirjade haldamiseks, mis põhineb reeglite määramisel, mille on määranud direktiiv "dnssec-policy". See direktiiv võimaldab seadistada DNS-tsoonide jaoks vajalike uute võtmete koostamist ja võtmete ZSK ja KSK automaatset rakendamist.
• Oluliselt on ümber töötatud võrgu alamsüsteem, mis on viidud üle asünkroonsete päringute töötlemise mehhanismile, mis on rakendatud raamatukogu põhjal. libuv.
  Ümberkujundamine ei ole veel toonud nähtavaid muudatusi, kuid tulevastes väljaannetes annab see võimaluse teostada mõningaid olulisi jõudlusoptimeerimisi ja lisada toimetamine uute protokollide, nagu DNS über TLS, jaoks.
• Parendatud on DNSSECi usaldusväärsete sidemete haldusprotsessi (Trust anchor, sidemega tsoonis avatud võti selle tsooni autentimise jaoks). Seniste trusted-keys ja managed-keys seadete asemel, mis on nüüd deaktiveeritud, pakutakse uut direktiivi trust-anchors, mis võimaldab hallata mõlemat tüüpi võtmeid.

  Trust-anchorsi kasutamisel võtmesõnaga initial-key käitub see direktiiv nagu managed-keys, st määrab usaldusväärse sideme seadistamise vastavalt RFC 5011-le. Trust-anchorsi kasutamisel võtmesõnaga static-key vastab käitumine direktiivile trusted-keys, st määrab püsiva võtme, mida ei uuendata automaatselt. Samuti pakuvad trust-anchors veel kahte võtmesõna initial-ds ja static-ds, mis võimaldavad kasutada usaldusväärseid sidemeid formaadis DS (Delegation Signer) selle asemel DNSKEY, mis võimaldab seadistada sidemeid veel mitte avaldatud võtmete jaoks (tulevikus kavatseb IANA kasutada DS formaati juurkede võtmete jaoks).

• Käskude dig, mdig ja delv on lisatud valik "+yaml", et väljundit genereerida YAML formaadis.
• Käsku dig on lisatud valik "+[no]unexpected", mis lubab vastuste vastuvõtmist hostidelt, kes erinevad serverist, kuhu päring saadeti.
• Dig utiliitti on lisatud valik "+[no]expandaaaa", mille määramisel kuvatakse IPv6-aadresse AAAA kirjetes täies 128-bitises vormingus, mitte RFC 5952 formaadis.
• Statistika kanaligruppide vahetamise võimalus on lisatud.
• DS ja CDS kirjed genereeritakse nüüd ainult SHA-256 räsi alusel (SHA-1 alusel genereerimine on lõpetatud).
• DNS küpsiste (RFC 7873) puhul kasutatakse vaikimisi SipHash 2-4 algoritmi ning HMAC-SHA tugi on lõpetatud (AES on säilinud).
• Dnssec-signzone ja dnssec-verify käskude väljund suunatakse nüüd standardsele väljundikanalile (STDOUT), stderr-sse kuvatakse ainult veateated ja hoiatusteated (kui on määratud valik "-f", kuvatakse ka allkirjastatud tsoon). Väljundi vaigistamiseks on lisatud valik "-q".
• DNSSEC valideerimiskood on ümber töötatud, eemaldades koodi dubleerimise teiste alamsüsteemidega.
• Statistika edasiviimiseks JSON formaadis võib nüüd kasutada ainult JSON-C teeki. Configure valik "—with-libjson" on ümber nimetatud "—with-json-c".
• Configure skriptis ei seatud enam vaikimisi parameetrit "—sysconfdir" /etc-le ja "—localstatedir" /var-le, kui "—prefix" parameetrit ei määrata. Vaikimisi kasutatakse nüüd teid $prefix/etc ja $prefix/var, mis on rakendatud Autoconf'is.
• DLV (Domain Look-aside Verification, dnssec-lookaside valik) teenuse rakenduskood on eemaldatud, see kuulutati ebaoluliseks BIND 9.12-s ja seotud dlv.isc.org töötleja keelati 2017. aastal. DLV eemaldamine on võimaldanud BINDi koodi vabaneda liigsetest keerukustest.

Allikas: opennet.ru