A BIND DNS server developers have reported the addition of server support for "DNS over HTTPS" (DoH) and DNS over TLS (DoT) in the experimental branch 9.17, as well as the XFR-over-TLS mechanism for secure transfer of DNS zone content between servers. DoH is available for testing in release 9.17.10, while DoT support has been present since release 9.17.7. After stabilization, support for DoT and DoH will be backported to the stable branch 9.16.
The implementation of the HTTP/2 protocol used in DoH is based on the nghttp2 library, which is included among the build dependencies (in the future, the library is planned to be moved to optional dependencies). Both encrypted (TLS) and unencrypted HTTP/2 connections are supported. With the appropriate settings, one named process can now handle not only traditional DNS requests but also requests sent using DoH (DNS-over-HTTPS) and DoT (DNS-over-TLS). HTTPS support on the client side (dig) is not yet implemented. XFR-over-TLS support is available for both incoming and outgoing requests.
Handling requests using DoH and DoT is enabled by adding the http and tls options in the listen-on directive. To support unencrypted DNS-over-HTTP, set "tls none" in the configuration. Keys are defined in the "tls" section. The standard network ports 853 for DoT, 443 for DoH, and 80 for DNS-over-HTTP can be overridden via the tls-port, https-port, and http-port parameters. For example: tls local-tls { key-file "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http local-http-server { endpoints { "/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }
Notable features of the DoH implementation in BIND include integration as a common transport, which can be used not only for processing client requests to the resolver but also for data exchange between servers, for transferring zones by authoritative DNS servers, and for processing any requests supported by other DNS transports.
A másik jellegzetesség az, hogy a TLS titkosítási műveletek áthelyezhetőek egy másik szerverre, ami szükséges lehet olyan környezetekben, ahol a TLS tanúsítványok tárolása egy másik rendszeren történik (például web szerverek infrastruktúrájában), és más személyzet kezeli. A titkosítatlan DNS-over-HTTP támogatása a hibakeresés egyszerűsítése érdekében valósult meg, és mint egy szint a belső hálózatban történő átvitelhez, amely alapján egy másik szerveren szervezhető a titkosítás. Az átmeneti szerveren a TLS forgalom generálására nginx használható, hasonlóan ahhoz, ahogy a HTTPS csomagolását szervezik a weboldalakhoz.
Ne feledjük, hogy a DNS-over-HTTPS hasznos lehet a szolgáltatók DNS szerverei által történő hívott hostnevek adatainak kiszivárgásának megakadályozására, a MITM támadásokkal és a DNS forgalom hamisításával szembeni védekezésre (például nyilvános Wi-Fi használatakor), valamint a DNS szintű blokkolásokkal szembeni küzdelemre (a DNS-over-HTTPS nem helyettesíthető a blokkolások megkerülésében, amelyeket a DPI szintjén valósítanak meg) vagy a DNS szerverekhez való közvetlen csatlakozás hiányában való működés megszervezésére (például proxy-n keresztüli működés esetén). Ha a normál helyzetben a DNS lekérdezések közvetlenül a rendszer konfigurációjában megadott DNS szerverekre kerülnek, akkor DNS-over-HTTPS esetén a lekérdezés a VPN hostot a HTTPS forgalom keretein belül kapszulázva és egy HTTP szerverre küldve, amelyen a resolver a web API-n keresztül dolgozza fel a lekérdezéseket. IP address A „DNS over TLS” a „DNS over HTTPS”-től abban különbözik, hogy a szokásos DNS protokollt (amely általában a 853-as portot használja) titkosított kapcsolaton keresztül valósítja meg, amelyet a TLS protokoll segítségével alakítanak ki, a host érvényesítése TLS/SSL tanúsítványokkal, amelyeket egy hitelesítési központ igazolt. Az egy létező DNSSEC szabvány csak az ügyfél és a szerver hitelesítésének biztosítására használ titkosítást, de nem védi a forgalmat a lehallgatástól és nem garantálja a lekérdezések titkosságát.
A BIND DNS szerver fejlesztői bejelentették, hogy az 9.17-es kísérleti ágban megvalósították a "DNS over HTTPS" (DoH, DNS over HTTPS) és DNS over TLS (DoT, DNS over TLS) technológiák szerveroldali támogatását, valamint.
Forrás: opennet.ru
