DNS-serveri BIND arendajad teatasid, et eksperimenteerimise haru 9.17 on lisatud serveritoe rakendused tehnoloogiatele \u00abDNS \u00fcle HTTPS\u00bb (DoH, DNS over HTTPS) ja DNS \u00fcle TLS (DoT, DNS over TLS), samuti XFR-over-TLS mehhanism DNS-tsoonide sisu turvaliseks edastamiseks serverite vahel. DoH on testimiseks saadaval versioonis 9.17.10 ja DoT toetus on olemas alates versioonist 9.17.7. P\u00e4rast stabiliseerimist kantakse DoT ja DoH toetus tagasi stabiilsesse haru 9.16. <\/p>\n
HTTP\/2 protokolli, mida kasutatakse DoH-is, p\u00f5hineb nghttp2 teegi kasutamisel, mis kuulub projektide s\u00f5ltuvuste hulka (tulevikus plaanitakse teegi liigutamist valikuliste s\u00f5ltuvuste hulka). Toetatakse nii kr\u00fcpteeritud (TLS) kui ka kr\u00fcpteerimata \u00fchendusi HTTP\/2 kaudu. Vastava seadistuse korral v\u00f5ib \u00fcks named protsess teenindada mitte ainult traditsioonilisi DNS-p\u00e4ringuid, vaid ka p\u00e4ringuid, mis on saadetud DoH (DNS-over-HTTPS) ja DoT (DNS-over-TLS) abil. HTTPS-i tugi kliendi poolel (dig) pole veel rakendatud. XFR-over-TLS toetus on saadaval nii sissetulevate kui ka v\u00e4ljaminevate p\u00e4ringute jaoks. <\/p>\n
DoH ja DoT toetavate p\u00e4ringute t\u00f6\u00f6tlemine aktiveeritakse, kui lisada http ja tls valikud listen-on direktiivi. Kr\u00fcpteerimata DNS-over-HTTP toetamiseks tuleks seadistustes m\u00e4rkida \u00abtls none\u00bb. V\u00f5tmed m\u00e4\u00e4ratakse \u00abtls\u00bb sektsioonis. Standardseid v\u00f5rgupordid 853 DoT jaoks, 443 DoH jaoks ja 80 DNS-over-HTTP jaoks saab \u00fcle m\u00e4\u00e4rata parameetrite tls-port, https-port ja http-port kaudu. N\u00e4iteks: tls local-tls { key-file \u00ab\/path\/to\/priv_key.pem\u00bb; cert-file \u00ab\/path\/to\/cert_chain.pem\u00bb; }; http local-http-server { endpoints { \u00ab\/dns-query\u00bb; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
DoH rakenduse erip\u00e4ra BIND-is on see, et see integreerib \u00fchisena transporti, mida saab kasutada mitte ainult kliendip\u00e4ringute t\u00f6\u00f6tlemiseks resolverile, vaid ka andmete vahetamiseks serverite vahel, tsoonide edastamiseks autoriteetse DNS-serveriga ja mis tahes p\u00e4ringute t\u00f6\u00f6tlemiseks, mida toetatakse teiste DNS-i transpordiga. <\/p>\n
Teine omadus on TLS-kr\u00fcpteerimise operatsioonide edastamine teisele serverile, mis v\u00f5ib olla vajalik olukordades, kus TLS-sertifikaatide salvestamine toimub teises s\u00fcsteemis (n\u00e4iteks veebiserverite infrastruktuuris) ja seda haldab teine personal. Toetust mittekr\u00fcpteeritud DNS-over-HTTP on rakendatud t\u00f5rkeotsingu lihtsustamiseks ja see toimib tasemena edastamiseks sisemises v\u00f5rgus, mille alusel saab teises serveris korraldada kr\u00fcpteerimist. TLS-liikluse genereerimiseks v\u00f5ib edastusserveris kasutada nginx'i, sarnaselt sellele, kuidas HTTPS-i \u00fcmbritsemine veebisaitide jaoks on organiseeritud. <\/p>\n
Tuletame meelde, et DNS-over-HTTPS v\u00f5ib olla kasulik, et v\u00e4ltida andmete leket p\u00e4ringute nimekirjast DNS-teenuse pakkujate kaudu, v\u00f5idelda MITM-r\u00fcnnakute ja DNS-liikluse asendamisega (n\u00e4iteks avaliku Wi-Fi kaudu \u00fchenduse loomisel), samuti vastu seista DNS-i taseme blokeerimisele (DNS-over-HTTPS ei saa asendada VPN<\/a> DPI-taseme blokeeringute \u00fcletamisel v\u00f5i t\u00f6\u00f6 korraldamisel, kui ei ole v\u00f5imalik otse DNS-serveritega \u00fchendust saada (nt proxy kaudu t\u00f6\u00f6tamisel). Kui tavaliselt DNS-p\u00e4ringud saadetakse otse s\u00fcsteemi konfigureeritud DNS-serveritele, siis DNS-over-HTTPS korral on hosti m\u00e4\u00e4ramine kaasatud HTTPS-i liiklusesse ja saadetud HTTP-serverile, kus resolver k\u00e4itleb p\u00e4ringud Web API kaudu. IP-aadressid<\/a> P\u00e4ring hosti m\u00e4\u00e4ramiseks on saadetud HTTPS-i liikluses ja suunatud HTTP-serverisse, kus resolver t\u00f6\u00f6tleb p\u00e4ringud Web API kaudu. <\/p>\n