{"id":36194,"date":"2019-10-31T22:10:13","date_gmt":"2019-10-31T19:10:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020\/"},"modified":"2019-10-31T22:10:13","modified_gmt":"2019-10-31T19:10:13","slug":"reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020","title":{"rendered":"Izdanje PowerDNS Recursor 4.2 i inicijativa DNS flag day 2020","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nakon godinu i pol dana razvoja predstavljen<\/a><\/noindex> izdanje ke\u0161iraju\u0107eg DNS poslu\u017eitelja PowerDNS Recursor 4.2<\/a><\/noindex>, koji se bavi rekurzivnom preobrazbom imena. PowerDNS Recursor je izgra\u0111en na istoj kodnoj osnovi kao PowerDNS Authoritative Server, no rekurzivni i autoritativni DNS poslu\u017eitelji PowerDNS razvijaju se u okviru razli\u010ditih ciklusa razvoja i objavljuju se kao odvojeni proizvodi. Kod projekta distribuira se<\/a><\/noindex> pod GPLv2 licencom. <\/p>\n

U novoj verziji su ispravljene sve primjedbe vezane uz obradu DNS paketa s EDNS zastavicama. U starijim verzijama PowerDNS Recursor do 2016. godine prakticirano je ignoriranje paketa s nepodr\u017eanim EDNS zastavicama, bez slanja odgovora u starom formatu, odbacuju\u0107i EDNS zastavice, kao \u0161to to zahtijeva specifikacija. Ranije je takvo net standardno pona\u0161anje bilo podr\u017eavano u BIND-u u obliku zaobilaznog manevra, no u okviru provedene<\/a><\/noindex> u velja\u010di inicijative DNS flag day<\/a><\/noindex>, programeri DNS poslu\u017eitelja donijeli su odluku da se odustane od ovog hica. <\/p>\n

U PowerDNS-u su najve\u0107i problemi u obradi paketa s EDNS ispravljeni ve\u0107 2017. godine u izdanju 4.1, dok su u izdanju 4.0 objavljenom 2016. godine izbijale odre\u0111ene nespojivosti koje su se javljale pod specifi\u010dnim okolnostima i u op\u0107em smislu nisu ometale normalan rad. U PowerDNS Recursor 4.2, kao i u BIND 9.14<\/a><\/noindex>, uklonjene su zaobilaznice podr\u0161ke autoritativnim poslu\u017eiteljima koji neto\u010dno odgovaraju na zahtjeve s EDNS zastavicama. Do sada, ako nakon slanja zahtjeva s EDNS zastavicama nakon odre\u0111enog vremenskog razdoblja nije stizao odgovor, DNS server je smatrao da pro\u0161irene zastavice nisu podr\u017eane i slao ponovni zahtjev bez EDNS zastavicama. Od sada je ovo pona\u0161anje isklju\u010deno, budu\u0107i da je prisutnost takvog koda dovodila do pove\u0107anja zastoja zbog ponovnog slanja paketa, pove\u0107anja optere\u0107enja na mre\u017ei i nejasno\u0107e u slu\u010daju nedostatka odgovora zbog mre\u017enih gre\u0161aka, a tako\u0111er je ometalo implementaciju EDNS mogu\u0107nosti, poput kori\u0161tenja DNS Cookies za za\u0161titu od DDoS napada. <\/p>\n

Sljede\u0107e godine odlu\u010deno je odr\u017eati doga\u0111aj DNS flag day 2020<\/a><\/noindex>, s ciljem da se skrene pozornost na rje\u0161enja<\/a><\/noindex> problema<\/a><\/noindex> s IP fragmentacijom tijekom obrade velikih DNS poruka. U okviru inicijative planira<\/a><\/noindex> fiksirati preporu\u010dene veli\u010dine bafera za EDNS na razini do 1200 bajtova, kao i prevesti<\/a><\/noindex> obrada zahtjeva putem TCP postaje obavezna na serverima. Sada se obavezno mora podr\u017eavati obrada zahtjeva putem UDP, dok je TCP po\u017eeljna funkcionalnost, ali nije obavezna za rad (standard propisuje mogu\u0107nost isklju\u010divanja TCP). Predla\u017ee se uklanjanje opcije isklju\u010divanja TCP iz standarda i standardizacija prijelaza s slanja zahtjeva putem UDP na primjenu TCP u slu\u010dajevima kada dana veli\u010dina EDNS bafera nije dovoljna.<\/p>\n

Predlo\u017eene promjene u okviru inicijative \u0107e ukloniti zbrku oko odabira veli\u010dine EDNS bafera i rije\u0161iti problem fragmentacije velikih UDP poruka, \u010dija obrada \u010desto dovodi do gubitka paketa i isteka vremena na strani klijenta. Na strani klijenta veli\u010dina EDNS bafera \u0107e biti stalna, a veliki odgovori \u0107e se odmah slati klijentu putem TCP-a. Isklju\u010denje slanja velikih poruka putem UDP tako\u0111er \u0107e omogu\u0107iti blokiranje U1.1.9.6. Napada\u010di su izvr\u0161ili presretanje unosa korisni\u010dkih podataka s tipkovnice analizom zvukova pritiska na tipke.<\/a><\/noindex> napada na DNS predmemoriju koji se temelje na manipulaciji fragmentiranim UDP paketima (tijekom fragmentacije, drugi fragment ne uklju\u010duje zaglavlje s identifikatorom, pa mo\u017ee biti la\u017eiran, dovoljno je da se poklapa kontrolna suma).<\/p>\n

U PowerDNS Recursor 4.2 uzeti su u obzir problemi s velikim UDP paketima i napravljena je promjena na kori\u0161tenje veli\u010dine EDNS bafera (edns-outgoing-bufsize) od 1232 bajta, umjesto prethodno primjenjivanog limita od 1680 bajta, \u0161to bi trebalo znatno smanjiti vjerojatnost gubitka UDP paketa. Vrijednost 1232 odabrana je jer je maksimum pri kojem veli\u010dina DNS odgovora uklju\u010duju\u0107i IPv6 staje unutar minimalne vrijednosti MTU (1280). Do 1232 tako\u0111er je smanjena vrijednost parametra truncation-threshold, koji je odgovoran za obrezivanje odgovora klijentu.<\/p>\n

Druge promjene u PowerDNS Recursor 4.2:<\/p>\n