A 11 hónapos fejlesztés után az ISC konzorcium megjelenítette a BIND 9.16 DNS-szerver új, jelentős ágának első stabil kiadását. A 9.16 ág támogatása három évig, 2023 második negyedévéig fog tartani a kibővített karbantartási ciklus keretében. A régebbi LTS ág, a 9.11 frissítései 2021 decemberéig folytatódnak. A 9.14 ág támogatása három hónapon belül megszűnik.
Fő :
- Hozzáadva a KASP (Key and Signing Policy), amely egy egyszerűsített módja a DNSSEC kulcsok és digitális aláírások kezelésének, amely a "dnssec-policy" direktíva segítségével definiált szabályok alapján történik. Ez a direktíva lehetővé teszi új kulcsok generálását a DNS-zónák számára, valamint a ZSK és KSK kulcsok automatikus alkalmazását.
- Jelentősen át lett dolgozva a hálózati alrendszer, amely átváltott az aszinkron kérésfeldolgozási mechanizmusra, amelyet a könyvtár alapozott meg. .
Az átdolgozás még nem eredményezett látható változásokat, de a jövőbeli kiadásokban lehetővé teszi néhány jelentős teljesítményoptimalizálás megvalósítását, valamint új protokollok, például a DNS over TLS támogatásának hozzáadását. - Javítva lett a DNSSEC (Trust anchor, a zónához kötött nyilvános kulcs) megbízhatósági kötelékek kezelésének folyamata. A régi trusted-keys és managed-keys beállítások, amelyek most elavultnak vannak nyilvántartva, helyett egy új trust-anchors direktíva került bevezetésre, amely lehetővé teszi mindkét típusú kulcs kezelését.
A trust-anchors használatakor az initial-key kulcsszóval a direktíva működése azonos a managed-keys -éval, vagyis a megbízhatósági kötelék beállítását határozza meg az RFC 5011 szerint. A trust-anchors static-key kulcsszóval való használata a trusted-keys direktívához hasonlóan működik, vagyis egy állandó kulcsot definiál, amelyet nem frissítenek automatikusan. A trust-anchors abban is további két kulcsszót kínál: initial-ds és static-ds, amelyek lehetővé teszik a megbízhatósági kötelékek használatát a (Delegation Signer) formátumban a DNSKEY helyett, amely lehetővé teszi a még nem közzétett kulcsok kötelékeinek beállítását (a jövőben az IANA szervezet tervezi a DS formátum használatát a gyökérzónák kulcsaihoz).
- A dig, mdig és delv segédprogramokhoz hozzáadva a "+yaml" opció a YAML formátumú kimenethez.
- A dig segédprogramhoz hozzáadva a "+[no]unexpected" opció, amely lehetővé teszi válaszok fogadását olyan hosztoktól, amelyek különböznek attól a szervertől, amelyhez a kérdést elküldték.
- A dig utility has added the option «+[no]expandaaaa», which, when specified, displays IPv6 addresses in AAAA records in their full 128-bit representation, rather than in RFC 5952 format.
- The ability to switch channel groups in statistics has been added.
- DS and CDS records are now generated only based on SHA-256 hashes (generation based on SHA-1 has been discontinued).
- For DNS Cookie (RFC 7873), the SipHash 2-4 algorithm is used by default, and support for HMAC-SHA has been discontinued (AES is retained).
- The output of the dnssec-signzone and dnssec-verify commands is now directed to standard output (STDOUT), while errors and warnings are only output to STDERR (option «-f» also outputs the signed zone). An option «-q» has been added to suppress output.
- The DNSSEC validation code has been redesigned to eliminate code duplication with other subsystems.
- The JSON statistics output can now only use the JSON-C library. The configure option «—with-libjson» has been renamed to «—with-json-c».
- In the configure script, the parameter «—sysconfdir» no longer defaults to /etc, and «—localstatedir» to /var, unless the parameter «—prefix» is specified. Now, the default paths are $prefix/etc and $prefix/var, applied in Autoconf.
- Code implementing the DLV (Domain Look-aside Verification, dnssec-lookaside option) service, which was deprecated in BIND 9.12, has been removed, and the related handler dlv.isc.org was turned off in 2017. Removing DLV has allowed to simplify BIND's code.
Forrás: opennet.ru
