rilascio del server DNS caching , responsabile della trasformazione ricorsiva dei nomi. PowerDNS Recursor è costruito sulla stessa base di codice del PowerDNS Authoritative Server, ma i server DNS ricorsivi e autorizzativi di PowerDNS si sviluppano nell'ambito di cicli di sviluppo diversi e vengono rilasciati sotto forma di prodotti separati. Il codice del progetto è sotto licenza GPLv2.
Il server fornisce strumenti per la raccolta remota delle statistiche, supporta il riavvio istantaneo, ha un motore integrato per il collegamento di gestori in linguaggio Lua, supporta pienamente DNSSEC, DNS64, RPZ (Response Policy Zones) e consente l'integrazione di blacklist. È possibile registrare i risultati della risoluzione come file di zone BIND. Per garantire elevate prestazioni, vengono utilizzati meccanismi moderni di multiplexing delle connessioni su FreeBSD, Linux e Solaris (kqueue, epoll, /dev/poll), insieme a un parser DNS ad alte prestazioni in grado di gestire decine di migliaia di richieste parallele.
Nella nuova versione:
- Per prevenire perdite di informazioni sul dominio richiesto e aumentare la privacy, è attivato per impostazione predefinita il meccanismo (), che opera in modalità "relaxed". La questione del meccanismo è che il risolutore non menziona il nome completo dell'host richiesto nelle sue richieste al server dei nomi sovrastante. Ad esempio, quando si determina l'indirizzo per l'host foo.bar.baz.com, il risolutore invierà al server autorizzato per la zona ".com" la richiesta "QTYPE=NS,QNAME=baz.com", senza menzionare "foo.bar". Nella sua forma attuale è implementato il funzionamento in modalità "relaxed".
- È stata implementata la possibilità di registrare le richieste uscenti al server autorizzato e le relative risposte nel formato dnstap (per utilizzarlo è necessaria una build con l'opzione "--enable-dnstap").
- È garantita la gestione simultanea di più richieste in entrata, inviate tramite connessione TCP, con la restituzione dei risultati non in ordine di ricezione ma man mano che sono pronti. Il limite delle richieste simultanee è definito dall'impostazione "«.
- È stata implementata una tecnica di tracciamento dei nuovi domini (Newly Observed Domain), che può essere utilizzata per identificare domini sospetti o domini associati ad attività dannose, come la diffusione di malware, la partecipazione a phishing e l'uso per il controllo di botnet. Il metodo si basa sulla determinazione di domini ai quali non si era precedentemente fatto riferimento e sull'analisi di questi nuovi domini. Invece di monitorare i nuovi domini su un database completo di tutti i domini visualizzati in precedenza, il mantenimento di cui richiede risorse significative, in NOD si applica una struttura probabilistica (Stable Bloom Filter), che consente di ridurre il consumo di memoria e CPU. Per attivarlo, nelle impostazioni è necessario specificare "new-domain-tracking=yes".
- Quando avviato sotto systemd, il processo PowerDNS Recursor ora viene eseguito con l'utente non privilegiato pdns-recursor invece di root. Per i sistemi senza systemd e senza chroot, la directory predefinita per la memorizzazione del socket di controllo e del file PID è ora /var/run/pdns-recursor.
Inoltre, il rilascio , server DNS autoritativo ad alte prestazioni (il ricorsore è realizzato come applicazione separata), che supporta tutte le moderne funzionalità DNS. Il progetto è sviluppato dal registro ceco dei nomi CZ.NIC, scritto in linguaggio C e sotto licenza GPLv3.
KnotDNS si distingue per l'orientamento verso l'elevata prestazione nella gestione delle richieste, utilizzando un'implementazione multithreading, principalmente non bloccante e altamente scalabile su sistemi SMP. Sono disponibili funzionalità come l'aggiunta e la rimozione di zone al volo, il trasferimento di zone tra server, DDNS (aggiornamenti dinamici), NSID (RFC 5001), estensioni EDNS0 e DNSSEC (incluso NSEC3), e limitazioni dell'intensità delle risposte (RRL).
Nel nuovo rilascio:
- È stata aggiunta l'impostazione ‘remote.block-notify-after-transfer’ per disattivare l'invio dei messaggi NOTIFY;
- È stata implementata la supporto sperimentale per l'algoritmo Ed448 in DNSSE (richiede GnuTLS 3.6.12+ e un );
- Nella keymgr è stato aggiunto il parametro ‘local-serial’ per ottenere o impostare nel DB KASP il numero di serie SOA per la zona firmata;
- Nella keymgr è stata aggiunta la supporto per l'importazione delle chiavi Ed25519 e Ed448 nel formato del server DNS BIND;
- Il valore dell'impostazione ‘server.tcp-io-timeout’ è stato aumentato per impostazione predefinita a 500 ms, mentre ‘database.journal-db-max-size’ è stato ridotto a 512 MiB sui sistemi a 32 bit.
Fonte: opennet.ru
