Vabanemine PowerDNS Recursor 4.3 ja KnotDNS 2.9.3

On toimunud vahetuste DNS-serveri väljaanne PowerDNS Recursor 4.3, mis vastutab rekursiivsete nimede tõlgete eest. PowerDNS Recursor on ehitatud samale koodibaasile nagu PowerDNS Autoriteetne Server, kuid rekursiivsed ja autoriteetsed DNS-serverid PowerDNS-i raames arenevad erinevate arendustsüklite raames ja neid välja antakse eraldi toodetena. Projekti kood GNU Üldine Avaliku litsentsi alusel. GPLv2 litsentsi all.

Server pakub vahendeid kaugtasu kogumiseks, toetab kohest taaskäivitamist, omab sisseehitatud mootori Lua-keeles töötlejate ühendamiseks, toetab täielikult DNSSEC, DNS64, RPZ (Response Policy Zones) ja võimaldab mustade loendite lisamist. On võimalik salvestada lahendamise tulemusi BIND-i tsoonifailidena. Kõrge jõudluse tagamiseks kasutatakse FreeBSD, Linuxi ja Solaris'i kaasaegseid ühenduste multiplexerimise mehhanisme (kqueue, epoll, /dev/poll) ning kõrge jõudlusega DNS-pakettide parsijat, mis suudab töödelda kümneid tuhandeid paralleelseid päringuid.

Uues versioonis:

• Kuna vältida teabe leket küsitud domeeni kohta ja suurendada privaatsust, on vaikimisi lubatud mehhanism. QNAME minimiseerimine (RFC-7816), töötades "relaxed" režiimis. Mehhanismi põhiolemus seisneb selles, et resolvija ei maini oma päringutes täielikku otsitava hosti nime kõrgema taseme nimiserveritele. Näiteks, kui määratakse aadress hostile foo.bar.baz.com, saadab resolvija autoriteetsele " .com" tsooni serverile päringu "QTYPE=NS,QNAME=baz.com", mainimata "foo.bar". Praegu on rakendatud töö "relaxed" režiimis.
• On rakendatud võimalus logida väljuvaid päringuid autoriteetsesse serverisse ja nende vastuseid dnstap formaadis (kasutamiseks on vajalik kogumine, millel on valik "—enable-dnstap").
• Tagatud on mitme sissetuleva päringu samaaegne töötlemine, mis on edastatud TCP-ühenduse kaudu, andes tulemusi välja vastavalt nende valmimisele, mitte päringute järjekorra järgi. Samaaegsete päringute limiit määratakse seadistusega "max-concurrent-requests-per-tcp-connection«.
• Rakendatud on uute domeenide jälgimise tehnika. NOD (Uus jälgitud domeen), mida saab kasutada kahtlaste domeenide või domeenide tuvastamiseks, mis on seotud pahatahtliku tegevusega, nagu pahavara levitamine, kalastamine ja botnetide haldamine. Meetod põhineb domeenide määratlemisel, millega varem pole ühendust olnud, ja nende uute domeenide analüüsil. Uute domeenide jälgimise asemel kogu kunagi vaadatud domeenide andmebaasi põhjal, mille haldamine nõuab märkimisväärseid ressursse, rakendab NOD tõenäosusstruktuuri. SBF (Stabiilne Bloom Filter), mis võimaldab vähendada mälu ja CPU kasutust. Seadmestiku lubamiseks tuleb seadetes määrata «new-domain-tracking=yes».
• Systemd all käivitatuna töötab PowerDNS Recursor nüüd privileegide puudumisega kasutaja pdns-recursor all, mitte root. Systemid, kus ei ole systemd ega chroot, kasutavad nüüd vaikimisi haldussoketi ja pid-faili salvestamiseks kausta /var/run/pdns-recursor.

Lisaks toetab avaldatud väljalase KnotDNS 2.9.3, kõrge jõudlusega autoriteetse DNS-serveri (rekursiivne on eraldi rakendus), mis toetab kõiki kaasaegseid DNS-i võimalusi. Projekti arendab Tšehhi nimeregister CZ.NIC, kirjutatud C-keeles ja GNU Üldine Avaliku litsentsi alusel. GPLv3 litsentsi alusel.

KnotDNS eristub kõrge päringutöötluse jõudluse poolest, rakendades mitme lõime ja peamiselt mittesulatavat teostust, mis on hästi skaaleeritav SMP-süsteemidel. Pakutakse selliseid võimalusi nagu tsoonide reaalajas lisamine ja eemaldamine, tsoonide edastamine serverite vahel, DDNS (dünaamilised värskendused), NSID (RFC 5001), EDNS0 laiendused ja DNSSEC (sealhulgas NSEC3), vastuste intensiivsuse piiramise võimalused (RRL).

Uues väljaandes:

• Lisatud seade ‘remote.block-notify-after-transfer’ teate saatmise NOTIFY keelamiseks;
• Eksperimentaalne Ed448 algoritmi tugi DNSSE-s on rakendatud (nõuab GnuTLS 3.6.12+ ja veel mitte välja lastud Nettle 3.6+);
• Keymgr-s on lisatud parameeter ‘local-serial’ SOA-numbriga, et saada või seadistada KASP andmebaasi allkirjastatud tsooni jaoks;
• Keymgr-is on lisatud Ed25519 ja Ed448 võtmete impordi tugi DNS-serveri BIND formaadis;
• Seade ‘server.tcp-io-timeout’ vaikimisi väärtus on suurendatud 500 ms-ni ja ‘database.journal-db-max-size’ on 32-bitistes süsteemides vähendatud 512 MiB-ni.

Allikas: opennet.ru