Két és fél évnyi fejlesztés után az ISC konzorcium bemutatta a DNS-szerver új, jelentős BIND 9.20-as ágának első stabil kiadását, amely magában foglalja a BIND 9.19-es kísérleti ágában végbement változásokat. A 9.20-as ág támogatása kiterjesztett karbantartási ciklus keretében 2028 első negyedévéig fog tartani. A 9.18-as ág támogatása 2025 második negyedévében megszűnik. A következő stabil BIND verzió funkcionális fejlesztése érdekében létrejön a BIND 9.21.0 kísérleti ág. A projekt kódja C nyelven íródott és MPL 2.0 licenc alatt terjesztett.
Főbb változások:
- Az alkalmazás magja, amely összekapcsolja az összes komponenst, átállt a nem blokkoló eseményfeldolgozó ciklus használatára, amelyet a libuv könyvtár alapján valósítottak meg, amely olyan projektekben is használatos, mint a Node.js, a Knot DNS, az H2O, a Luvit és a MoarVM. A 9.16-os ágban a BIND hálózati kapcsolatok kezelője libuv-ra lett átállítva, most pedig az infrastruktúra belső komponenseivel való együttműködést, valamint a DNSSEC ellenőrzésére, a zónák átvitelére, a zónakatalógus fenntartására és az RPZ (Response Policy Zone) kezelésére használatos segédkezelő szálakat (threadpool) is érinti. A BIND összeállításához mostantól legalább a libuv 1.34.0 kiadás szükséges.
- Új backend került javaslatra az adatbázissal való munkához — a "QP trie", amely a RBTDB (Red-Black Tree Database) utódja, és alapértelmezés szerint a DNS-zónák cache-ének és adatbázisának tárolására szolgál. A QP trie több szálú működéséhez a liburcu könyvtárat használják, amely felhasználói térben, blokkolást nem igénylő struktúrákat valósít meg az RCU (read-copy-update) szinkronizációs mechanizmus és a QSBR (Quiescent-State-Based Reclamation) memória biztonságos felszabadítási módszer alkalmazásával.
- Frissített tömörítési mechanizmust alkalmaztak domain nevekkel, amely kompaktabb névkódolási módszert használ, több címkével.
- Bővült a DNSSEC képességei: a "dnssec-policy" engedélyezett a aláírt zónák kezelésére (az auto-dnssec opció eltávolítva); az "inline-signing" használatával hozzáadva a RFC 8901 (DNSSEC multi-signer model 2) támogatása; a PKCS#11 támogatása újból elérhető az OpenSSL 3.0.0 Engine API alapján; a "dnssec-policy"-ban HSM (Hardware Security Module) támogatás került bevezetésre.
- Hozzáadtuk a második zónakatalógus verzió támogatását (Catalog Zone, RFC 9432), amely egyszerűsíti a másodlagos DNS-szerverek karbantartását azáltal, hogy a másodlagos szerveren nem kell külön bejegyzéseket definiálni minden egyes másodlagos zónához, hanem az elsődleges és másodlagos szerverek között a másodlagos zónák katalógusának átvitelét kell megvalósítani. A katalógus átvitelének beállítása után, hasonlóan a külön zónák átviteléhez, az elsődleges szerveren létrehozott, katalógusba tartozónak megjelölt zónák automatikusan létrejönnek a másodlagos szerveren, anélkül, hogy a konfigurációs fájlokat módosítani kellene.
- Hozzáadtuk az kiterjesztett hibák mechanizmusának támogatását (Extended DNS Errors, RFC 8914), amely lehetővé teszi, hogy kiegészítő információt adjunk vissza a DNS-lekérdezés során fellépő hibák okáról.
- A DNS-over-HTTPS (DoH) és a DNS-over-TLS (DoT) technológiák megvalósítása, amelyek a kliens lekérdezéseinek titkosítására és a szerverek közötti titkosított adatcserére alkalmazandók, egységesített szállításra vált.
- Hozzáadtuk a PROXYv2 protokoll használatának lehetőségét az összes BIND-ban támogatott szállításhoz. A PROXY protokoll lehetővé teszi a kapcsolat információinak továbbítását az eredeti IP-cím és portszám megőrzéséhez a DNS-lekérdezések más háttéralkalmazások, terheléselosztók és proxy-kon keresztüli továbbításakor.szerverek.
- Hozzáadtuk az USDT (User Statically Defined Tracing) mód támogatását, amely lehetővé teszi az alkalmazás nyomkövetését a perf parancs segítségével, anélkül, hogy további költségeket okozna, amikor a nyomkövetés ki van kapcsolva.
- A gyűjtött statisztikákban megvalósították a befejezetlen bejövő zónaátviteli műveletek információjának visszajelzését.
- Dolgoztunk a késleltetések csökkentésén, a memóriafogyasztás mérséklésén és a CPU-terhelés csökkentésén a feloldás, a DNS-over-TLS működése és a UDP és TCP válaszok generálása során.
Forrás: opennet.ru
