Sortie du serveur DNS BIND 9.20.0, porté sur libuv et nouveau backend pour la base de données

Après deux ans et demi de développement, le consortium ISC a présenté le premier release stable de la nouvelle version majeure du serveur DNS BIND 9.20, qui intègre des changements développés dans la branche expérimentale BIND 9.19. Le support de la version 9.20 sera assuré dans le cadre d'un cycle de maintenance prolongé jusqu'au premier trimestre 2028. Le support de la version 9.18 cessera au deuxième trimestre 2025. Pour le développement des fonctionnalités de la prochaine version stable de BIND, une branche expérimentale BIND 9.21.0 sera créée. Le code du projet est écrit en langage C et distribué sous licence MPL 2.0.

Principales modifications :

• Le noyau de l'application, reliant tous les composants, a été converti pour utiliser une boucle de traitement d'événements en mode non-bloquant, réalisée sur la base de la bibliothèque libuv, utilisée dans des projets tels que Node.js, Knot DNS, H2O, Luvit et MoarVM. Dans la version 9.16, le gestionnaire de connexions réseau a été converti sur libuv dans BIND, et maintenant les parties utilisées pour interagir avec les composants internes de l'infrastructure, ainsi que les gestionnaires auxiliaires longs exécutés dans des threads séparés (threadpool), utilisés pour la vérification DNSSEC, le transfert de zones, le maintien du répertoire de zones et le traitement de RPZ (Response Policy Zone), ont également été incluses. Pour construire BIND, une version minimale de libuv 1.34.0 est requise.
• Un nouveau backend pour le travail avec la base de données a été proposé - «QP trie», qui remplace RBTDB (Red-Black Tree Database) et est utilisé par défaut pour stocker le cache et la base de données des zones DNS. Pour le travail multi-thread, la bibliothèque liburcu a été intégrée dans QP trie avec une mise en œuvre d'infrastructures sans verrou dans l'espace utilisateur, grâce à l'utilisation du mécanisme de synchronisation RCU (read-copy-update) et de la méthode de libération de mémoire sécurisée QSBR (Quiescent-State-Based Reclamation).
• Un mécanisme de compression mis à jour a été mis en œuvre complets, utilisant une méthode de codage des noms plus compacte avec un plus grand nombre d'étiquettes.
• Les fonctionnalités de DNSSEC ont été étendues : «dnssec-policy» est désormais autorisé pour la gestion des zones signées (l'option auto-dnssec a été supprimée) ; lors de l'utilisation de «inline-signing», le support de la RFC 8901 (modèle multi-signataire DNSSEC 2) a été ajouté ; le support PKCS#11 basé sur OpenSSL 3.0.0 Engine API a été rétabli ; et la prise en charge HSM (Hardware Security Module) a été ajoutée à «dnssec-policy».
• Ajout du support de la deuxième version du catalogue de zones (Catalog Zone, RFC 9432), simplifiant le maintien des serveurs DNS secondaires en organisant la transmission du catalogue des zones secondaires entre le serveur principal et le serveur secondaire au lieu de définir des enregistrements distincts sur le serveur secondaire pour chaque zone secondaire. Après la configuration de la transmission du catalogue, similaire à celle des zones individuelles, les zones créées sur le serveur principal, marquées comme annexées au catalogue, sont automatiquement créées sur le serveur secondaire sans avoir besoin de modifier les fichiers de configuration.
• Ajout du support du mécanisme d'erreurs étendues (Extended DNS Errors, RFC 8914), permettant de retourner des informations supplémentaires sur la cause de l'erreur survenue lors de l'exécution de la requête DNS.
• La mise en œuvre des technologies « DNS sur HTTPS » (DoH, DNS over HTTPS) et DNS sur TLS (DoT, DNS over TLS), utilisées pour chiffrer les requêtes des clients vers le résolveur et l'échange sécurisé de données entre serveurs, a été convertie pour utiliser un transport unifié.
• Ajout de la possibilité d'utiliser le protocole PROXYv2 avec tous les transports pris en charge dans BIND. Le protocole PROXY permet de transmettre des informations de connexion pour conserver les détails sur l'adresse IP source et le numéro de port lors du passage des requêtes DNS à travers d'autres backends, load balancers et proxies.serveurs.
• Ajout du support du mode USDT (User Statically Defined Tracing), permettant d'effectuer le traçage d'application à l'aide de la commande perf, sans créer de frais généraux supplémentaires lorsque le traçage est désactivé.
• Les statistiques collectées reflètent désormais les informations sur les opérations de transfert de zones entrantes inachevées.
• Des efforts ont été déployés pour réduire les délais, diminuer la consommation de mémoire et alléger la charge CPU lors de la résolution, du fonctionnement de DNS-over-TLS et de la formation des réponses par UDP et TCP.

Source : opennet.ru