DNS-ઓવર-HTTPS માટે પ્રાયોગિક આધાર BIND DNS સર્વરમાં ઉમેરવામાં આવ્યો છે

BIND DNS સર્વરના વિકાસકર્તાઓએ DNS પર HTTPS (DoH, DNS over HTTPS) અને DNS ઓવર TLS (DoT, DNS ઓવર TLS) ટેક્નોલોજીઓ માટે સર્વર સપોર્ટ ઉમેરવાની જાહેરાત કરી છે, તેમજ સુરક્ષિત માટે XFR-ઓવર-TLS મિકેનિઝમ સર્વર વચ્ચે DNS ઝોનની સામગ્રીઓનું સ્થાનાંતરણ. DoH રીલીઝ 9.17 માં પરીક્ષણ માટે ઉપલબ્ધ છે, અને DoT સપોર્ટ રીલીઝ 9.17.10 થી હાજર છે. સ્થિરીકરણ પછી, DoT અને DoH સપોર્ટને સ્થિર 9.17.7 શાખામાં બેકપોર્ટ કરવામાં આવશે.

DoH માં ઉપયોગમાં લેવાતા HTTP/2 પ્રોટોકોલનો અમલ nghttp2 લાઇબ્રેરીના ઉપયોગ પર આધારિત છે, જે એસેમ્બલી ડિપેન્ડન્સીમાં સામેલ છે (ભવિષ્યમાં, લાઇબ્રેરીને વૈકલ્પિક અવલંબનની સંખ્યામાં સ્થાનાંતરિત કરવાની યોજના છે). બંને એન્ક્રિપ્ટેડ (TLS) અને અનએન્ક્રિપ્ટેડ HTTP/2 જોડાણો સપોર્ટેડ છે. યોગ્ય સેટિંગ્સ સાથે, એક નામવાળી પ્રક્રિયા હવે માત્ર પરંપરાગત DNS ક્વેરીઝ જ નહીં, પણ DoH (DNS-over-HTTPS) અને DoT (DNS-over-TLS) નો ઉપયોગ કરીને મોકલવામાં આવેલી ક્વેરી પણ આપી શકે છે. ક્લાયંટ સાઇડ (ડિગ) પર HTTPS સપોર્ટ હજી અમલમાં આવ્યો નથી. XFR-ઓવર-TLS સપોર્ટ ઇનબાઉન્ડ અને આઉટબાઉન્ડ બંને વિનંતીઓ માટે ઉપલબ્ધ છે.

DoH અને DoT નો ઉપયોગ કરીને વિનંતિ પ્રક્રિયાને લિસન-ઓન ડાયરેક્ટિવમાં http અને tls વિકલ્પો ઉમેરીને સક્ષમ કરવામાં આવે છે. અનએન્ક્રિપ્ટેડ DNS-ઓવર-HTTP ને સપોર્ટ કરવા માટે, તમારે સેટિંગ્સમાં "tls none" નો ઉલ્લેખ કરવો જોઈએ. કી "tls" વિભાગમાં વ્યાખ્યાયિત થયેલ છે. DoT માટે ડિફોલ્ટ નેટવર્ક પોર્ટ 853, DoH માટે 443 અને DNS-over-HTTP માટે 80 tls-port, https-પોર્ટ અને http-પોર્ટ પરિમાણો દ્વારા ઓવરરાઇડ કરી શકાય છે. ઉદાહરણ તરીકે: tls local-tls { key-file "/path/to/priv_key.pem"; પ્રમાણપત્ર-ફાઇલ "/path/to/cert_chain.pem"; }; http સ્થાનિક-http-સર્વર { એન્ડપોઇન્ટ્સ { "/dns-query"; }; }; વિકલ્પો { https-પોર્ટ 443; લિસન-ઓન પોર્ટ 443 tls local-tls http myserver {any;}; }

BIND માં DoH અમલીકરણની વિશેષતાઓમાં, એકીકરણને સામાન્ય પરિવહન તરીકે નોંધવામાં આવે છે, જેનો ઉપયોગ ફક્ત ક્લાયંટની વિનંતીઓ પર પ્રક્રિયા કરવા માટે જ નહીં, પણ સર્વર્સ વચ્ચે ડેટાની આપલે કરતી વખતે, અધિકૃત DNS સર્વર દ્વારા ઝોન ટ્રાન્સફર કરતી વખતે પણ થઈ શકે છે, અને અન્ય DNS પરિવહન દ્વારા સમર્થિત કોઈપણ વિનંતીઓ પર પ્રક્રિયા કરતી વખતે.

અન્ય વિશેષતા એ TLS માટે એન્ક્રિપ્શન કામગીરીને બીજા સર્વર પર ખસેડવાની ક્ષમતા છે, જે એવી પરિસ્થિતિઓમાં જરૂરી હોઈ શકે છે જ્યાં TLS પ્રમાણપત્રો અન્ય સિસ્ટમ પર સંગ્રહિત થાય છે (ઉદાહરણ તરીકે, વેબ સર્વર્સ સાથેના ઈન્ફ્રાસ્ટ્રક્ચરમાં) અને અન્ય કર્મચારીઓ દ્વારા જાળવવામાં આવે છે. બિન-એન્ક્રિપ્ટેડ DNS-ઓવર-HTTP માટેનો આધાર ડીબગીંગને સરળ બનાવવા અને આંતરિક નેટવર્કમાં ફોરવર્ડ કરવા માટે એક સ્તર તરીકે લાગુ કરવામાં આવ્યો છે, જેના આધારે અન્ય સર્વર પર એન્ક્રિપ્શન ગોઠવી શકાય છે. રિમોટ સર્વર પર, nginx નો ઉપયોગ TLS ટ્રાફિક જનરેટ કરવા માટે થઈ શકે છે, જે રીતે વેબસાઇટ્સ માટે HTTPS બંધનનું આયોજન કરવામાં આવે છે.

ચાલો યાદ કરીએ કે ડીએનએસ-ઓવર-એચટીટીપીએસ પ્રદાતાઓના DNS સર્વર્સ દ્વારા વિનંતી કરાયેલ હોસ્ટ નામો વિશેની માહિતીના લીકને રોકવા માટે, MITM હુમલાઓ અને DNS ટ્રાફિક સ્પૂફિંગ (ઉદાહરણ તરીકે, જ્યારે જાહેર Wi-Fi સાથે કનેક્ટ થાય છે), કાઉન્ટરિંગનો સામનો કરવા માટે ઉપયોગી થઈ શકે છે. DNS સ્તરે અવરોધિત કરવું (DNS-over-HTTPS, DPI સ્તર પર અમલમાં મુકવામાં આવેલા બ્લોકીંગને બાયપાસ કરીને VPN ને બદલી શકતું નથી) અથવા જ્યારે DNS સર્વર્સને સીધું એક્સેસ કરવું અશક્ય હોય ત્યારે કાર્યનું આયોજન કરવા માટે (ઉદાહરણ તરીકે, જ્યારે પ્રોક્સી દ્વારા કામ કરવું). જો સામાન્ય પરિસ્થિતિમાં DNS વિનંતીઓ સીધી સિસ્ટમ રૂપરેખાંકનમાં વ્યાખ્યાયિત DNS સર્વર્સને મોકલવામાં આવે છે, તો DNS-ઓવર-HTTPS ના કિસ્સામાં હોસ્ટ IP સરનામું નક્કી કરવાની વિનંતી HTTPS ટ્રાફિકમાં સમાવિષ્ટ છે અને HTTP સર્વરને મોકલવામાં આવે છે, જ્યાં રિઝોલ્વર વેબ API દ્વારા વિનંતીઓ પર પ્રક્રિયા કરે છે.

પ્રમાણભૂત DNS પ્રોટોકોલ (નેટવર્ક પોર્ટ 853 નો સામાન્ય રીતે ઉપયોગ થાય છે) ના ઉપયોગમાં "TLS પર DNS" "DNS over HTTPS" થી અલગ છે, TLS/SSL પ્રમાણપત્રો દ્વારા પ્રમાણિત હોસ્ટ વેલિડિટી ચેકિંગ સાથે TLS પ્રોટોકોલનો ઉપયોગ કરીને આયોજિત એનક્રિપ્ટેડ કમ્યુનિકેશન ચેનલમાં આવરિત છે. પ્રમાણપત્ર અધિકારી દ્વારા. હાલનું DNSSEC માનક ફક્ત ક્લાયંટ અને સર્વરને પ્રમાણિત કરવા માટે એન્ક્રિપ્શનનો ઉપયોગ કરે છે, પરંતુ ટ્રાફિકને અવરોધથી સુરક્ષિત કરતું નથી અને વિનંતીઓની ગોપનીયતાની બાંયધરી આપતું નથી.

સોર્સ: opennet.ru