{"id":99198,"date":"2021-02-19T10:22:43","date_gmt":"2021-02-19T08:22:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https"},"modified":"2021-02-19T10:22:43","modified_gmt":"2021-02-19T08:22:43","slug":"v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-dns-server-bind-dobavlena-eksperimentalnaya-podderzhka-dns-over-https","title":{"rendered":"\u00c8 stata aggiunta la supporto sperimentale per DNS-over-HTTPS al server DNS BIND","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I sviluppatori del server DNS BIND hanno annunciato l'aggiunta al ramo sperimentale 9.17 della gestione della tecnologia \u00abDNS su HTTPS\u00bb (DoH, DNS over HTTPS) e DNS su TLS (DoT, DNS over TLS), insieme al meccanismo XFR-over-TLS per la trasmissione sicura dei contenuti delle zone DNS tra server. DoH \u00e8 disponibile per i test nella versione 9.17.10, mentre il supporto per DoT \u00e8 presente a partire dalla versione 9.17.7. Dopo la stabilizzazione, il supporto per DoT e DoH sar\u00e0 retroportato nel ramo stabile 9.16. <\/p>\n
L'implementazione del protocollo HTTP\/2, utilizzato in DoH, si basa sull'uso della libreria nghttp2, che \u00e8 inclusa tra le dipendenze di build (in futuro la libreria sar\u00e0 trasferita tra le dipendenze opzionali). Sono supportate sia le connessioni cifrate (TLS) che quelle non cifrate tramite HTTP\/2. Con le impostazioni appropriate, un processo named pu\u00f2 ora gestire non solo le tradizionali richieste DNS, ma anche quelle inviate utilizzando DoH (DNS-over-HTTPS) e DoT (DNS-over-TLS). Il supporto HTTPS lato client (dig) non \u00e8 ancora implementato. Il supporto per XFR-over-TLS \u00e8 disponibile sia per le richieste in entrata che per quelle in uscita. <\/p>\n
L'elaborazione delle richieste utilizzando DoH e DoT viene attivata aggiungendo le opzioni http e tls nella direttiva listen-on. Per supportare DNS-over-HTTP non crittografato, nelle impostazioni \u00e8 necessario specificare \u00abtls none\u00bb. Le chiavi vengono definite nella sezione \u00abtls\u00bb. Le porte di rete standard 853 per DoT, 443 per DoH e 80 per DNS-over-HTTP possono essere sovrascritte tramite i parametri tls-port, https-port e http-port. Ad esempio: tls local-tls { key-file \u00ab\/path\/to\/priv_key.pem\u00bb; cert-file \u00ab\/path\/to\/cert_chain.pem\u00bb; }; http local-http-server { endpoints { \u00ab\/dns-query\u00bb; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Tra le caratteristiche dell'implementazione di DoH in BIND si segnala l'integrazione come trasporto comune, che pu\u00f2 essere utilizzato non solo per elaborare le richieste dei client verso il risolutore, ma anche per lo scambio di dati tra server, durante la trasmissione delle zone da parte del server DNS autorevole e per l'elaborazione di qualsiasi richiesta supportata da altri trasporti DNS. <\/p>\n
Un'altra caratteristica \u00e8 la possibilit\u00e0 di delegare le operazioni di crittografia TLS su un altro server, il che pu\u00f2 essere necessario quando i certificati TLS vengono memorizzati su un sistema diverso (ad esempio, in un'infrastruttura con server web) e gestiti da un altro personale. \u00c8 supportato DNS-over-HTTP non crittografato per semplificare il debug e fungere da livello per il throughput nella rete interna, sulla base del quale pu\u00f2 essere organizzata la crittografia su un altro server. Su un server esterno pu\u00f2 essere utilizzato nginx per generare traffico TLS, analogamente a come viene configurato il wrapping HTTPS per i siti. <\/p>\n