PowerDNS Recursor 4.2 და DNS flag day 2020 ინიციატივის გამოშვება

განვითარების წელიწადნახევრის შემდეგ წარმოდგენილია ქეშირების DNS სერვერის გამოშვება PowerDNS რესურსი 4.2, პასუხისმგებელი სახელის რეკურსიულ კონვერტაციაზე. PowerDNS რეკურსორი აგებულია იმავე კოდის ბაზაზე, როგორც PowerDNS ავტორიტეტული სერვერი, მაგრამ PowerDNS რეკურსიული და ავტორიტეტული DNS სერვერები განვითარებულია განვითარების სხვადასხვა ციკლით და გამოდის ცალკეულ პროდუქტებად. პროექტის კოდი ვრცელდება ლიცენზირებული GPLv2-ით.

ახალი ვერსია გამორიცხავს ყველა საკითხს, რომელიც დაკავშირებულია DNS პაკეტების დამუშავებასთან EDNS დროშებით. PowerDNS Recursor-ის ძველ ვერსიებში 2016 წლამდე იყო პრაქტიკა იგნორირებას უკეთებდა პაკეტებს მხარდაჭერილი EDNS დროშებით ძველი ფორმატში პასუხის გაგზავნის გარეშე, EDNS დროშების უგულებელყოფა, როგორც ეს მოითხოვს სპეციფიკაციას. ადრე, ეს არასტანდარტული ქცევა მხარდაჭერილი იყო BIND-ში გამოსავლის სახით, მაგრამ განახორციელა თებერვლის ინიციატივებში DNS დროშის დღე, DNS სერვერის დეველოპერებმა გადაწყვიტეს უარი ეთქვათ ამ ჰაკერზე.

PowerDNS-ში, EDNS-ით პაკეტების დამუშავების ძირითადი პრობლემები აღმოიფხვრა ჯერ კიდევ 2017 წელს 4.1 გამოშვებაში, ხოლო 2016 წელს გამოშვებულ 4.0 ფილიალში გამოჩნდა ინდივიდუალური შეუთავსებლობა, რომელიც წარმოიქმნება გარკვეულ გარემოებებში და, ზოგადად, არ უშლის ხელს ნორმალურ მდგომარეობას. ოპერაცია. PowerDNS რეკურსორში 4.2, როგორც სავალდებულო 9.14, ამოღებულია გამოსავალი ავტორიტეტული სერვერების მხარდასაჭერად, რომლებიც არასწორად პასუხობენ მოთხოვნებს EDNS დროშებით. აქამდე, თუ EDNS დროშებით მოთხოვნის გაგზავნის შემდეგ პასუხი არ იყო გარკვეული პერიოდის შემდეგ, DNS სერვერი თვლიდა, რომ გაფართოებული დროშები არ იყო მხარდაჭერილი და გაგზავნა მეორე მოთხოვნა EDNS დროშების გარეშე. ეს ქცევა ახლა გამორთულია, რადგან ამ კოდმა გამოიწვია პაკეტების ხელახალი გადაცემის გამო შეყოვნება, გაზრდილი ქსელის დატვირთვა და გაურკვევლობა, როდესაც არ პასუხობს ქსელის უკმარისობის გამო და ხელს უშლიდა EDNS-ზე დაფუძნებული ფუნქციების განხორციელებას, როგორიცაა DNS ქუქიები DDoS შეტევებისგან დასაცავად.

გადაწყდა, რომ ღონისძიება მომავალ წელს ჩატარდეს DNS დროშის დღე 2020 წელიშექმნილია ყურადღების ფოკუსირებისთვის გადაწყვეტილება პრობლემები IP ფრაგმენტაცია დიდი DNS შეტყობინებების დამუშავებისას. ინიციატივის ფარგლებში დაგეგმილი დააფიქსირეთ რეკომენდებული ბუფერის ზომები EDNS-ისთვის 1200 ბაიტამდე და თარგმნა TCP-ის საშუალებით მოთხოვნების დამუშავება სერვერებზე აუცილებელი ფუნქციაა. ახლა საჭიროა UDP-ის საშუალებით მოთხოვნების დამუშავების მხარდაჭერა და TCP სასურველია, მაგრამ არ არის საჭირო ოპერაციისთვის (სტანდარტი მოითხოვს TCP-ის გამორთვის შესაძლებლობას). შემოთავაზებულია TCP-ის გამორთვის ვარიანტის სტანდარტიდან ამოღება და UDP-ზე მოთხოვნის გაგზავნიდან TCP-ზე გადასვლის სტანდარტიზირება იმ შემთხვევებში, როდესაც დადგენილი EDNS ბუფერის ზომა არ არის საკმარისი.

ინიციატივის ფარგლებში შემოთავაზებული ცვლილებები აღმოფხვრის დაბნეულობას EDNS ბუფერის ზომის არჩევასთან დაკავშირებით და მოაგვარებს დიდი UDP შეტყობინებების ფრაგმენტაციის პრობლემას, რომელთა დამუშავება ხშირად იწვევს კლიენტის მხრიდან პაკეტების დაკარგვას და დროის შეფერხებას. კლიენტის მხრიდან, EDNS ბუფერის ზომა იქნება მუდმივი და დიდი პასუხები დაუყოვნებლივ გაეგზავნება კლიენტს TCP-ით. UDP-ით დიდი შეტყობინებების გაგზავნის თავიდან აცილება ასევე მოგცემთ დაბლოკვის საშუალებას შეტევები DNS ქეშის მოწამვლისთვის, ფრაგმენტული UDP პაკეტების მანიპულაციის საფუძველზე (ფრაგმენტებად დაყოფისას, მეორე ფრაგმენტი არ შეიცავს სათაურს იდენტიფიკატორით, ასე რომ შეიძლება გაყალბდეს, რისთვისაც საკმარისია მხოლოდ საკონტროლო ჯამის შესატყვისი) .

PowerDNS Recursor 4.2 ითვალისწინებს პრობლემებს დიდ UDP პაკეტებთან და ცვლის EDNS ბუფერის ზომას (edns-outgoing-bufsize) 1232 ბაიტი, ნაცვლად ადრე გამოყენებული ლიმიტისა 1680 ბაიტი, რამაც მნიშვნელოვნად უნდა შეამციროს UDP პაკეტების დაკარგვის ალბათობა. . მნიშვნელობა 1232 შეირჩა, რადგან ეს არის მაქსიმუმი, რომლითაც DNS პასუხის ზომა, IPv6-ის გათვალისწინებით, ჯდება მინიმალურ MTU მნიშვნელობაში (1280). ასევე შემცირდა 1232-მდე შემცირების ზღურბლის პარამეტრის მნიშვნელობა, რომელიც პასუხისმგებელია კლიენტზე პასუხების შემცირებაზე.

სხვა ცვლილებები PowerDNS Recursor 4.2-ში:

• დამატებულია მექანიზმის მხარდაჭერა XPF (X-Proxied-For), რომელიც არის X-Forwarded-For HTTP სათაურის DNS ეკვივალენტი, რომელიც საშუალებას იძლევა ორიგინალური მომთხოვნის IP მისამართისა და პორტის ნომრის შესახებ ინფორმაციის გადამისამართება შუალედური პროქსიებისა და დატვირთვის ბალანსერების მეშვეობით (როგორიცაა dnsdist) . XPF-ის გასააქტიურებლად არის პარამეტრები "xpf-allow-from"და"xpf-rr-კოდი";
• გაუმჯობესებული მხარდაჭერა EDNS გაფართოებისთვის კლიენტის ქვექსელი (ECS), რომელიც საშუალებას გაძლევთ გადასცეთ DNS მოთხოვნები ავტორიტეტულ DNS სერვერზე ინფორმაცია იმ ქვექსელის შესახებ, საიდანაც მოწამლული იყო ჯაჭვის გასწვრივ გადაცემული საწყისი მოთხოვნა (კლიენტის წყაროს ქვექსელის მონაცემები აუცილებელია კონტენტის მიწოდების ქსელების ეფექტური მუშაობისთვის) . ახალი გამოშვება ამატებს პარამეტრებს EDNS Client Subnet-ის გამოყენების შერჩევითი კონტროლისთვის:ecs-add-for» ქსელის ნიღბების სიით, რომლებისთვისაც IP გამოყენებული იქნება ECS-ში გამავალ მოთხოვნებში. მისამართებისთვის, რომლებიც არ შედის მითითებულ ნიღბებში, დირექტივაში მითითებული ზოგადი მისამართი "ecs-scope-zero-address". დირექტივის მეშვეობით "use-incoming-edns-subnet» თქვენ შეგიძლიათ განსაზღვროთ ქვექსელები, საიდანაც არ შეიცვლება შემომავალი მოთხოვნები შევსებული ECS მნიშვნელობებით;
• სერვერებისთვის, რომლებიც ამუშავებენ დიდი რაოდენობით მოთხოვნას წამში (100 ათასზე მეტი), დირექტივა ”დისტრიბუტორი-ძაფები", რომელიც განსაზღვრავს ძაფების რაოდენობას შემომავალი მოთხოვნების მისაღებად და მათ მუშა ძაფებს შორის განაწილებისთვის (აზრი აქვს მხოლოდ ""-ის გამოყენებისას.pdns-distributes-queries=დიახ”).
• დამატებულია პარამეტრი public-suffix-list-file საკუთარი ფაილის განსაზღვრისთვის საჯარო სუფიქსების სია დომენები, რომლებშიც მომხმარებლებს შეუძლიათ დაარეგისტრირონ თავიანთი ქვედომენი, PowerDNS Recursor-ში ჩაშენებული სიის ნაცვლად.

PowerDNS პროექტმა ასევე გამოაცხადა ექვსთვიანი განვითარების ციკლზე გადასვლა, PowerDNS Recursor 4.3-ის შემდეგი ძირითადი გამოშვება მოსალოდნელია 2020 წლის იანვარში. მნიშვნელოვანი გამოშვებების განახლებები განვითარდება მთელი წლის განმავლობაში, რის შემდეგაც დაუცველობის გამოსწორებები გამოვა კიდევ ექვსი თვის განმავლობაში. ამრიგად, PowerDNS Recursor 4.2 ფილიალის მხარდაჭერა გაგრძელდება 2021 წლის იანვრამდე. განვითარების ციკლის მსგავსი ცვლილებები განხორციელდა PowerDNS ავტორიტეტული სერვერისთვის, რომელიც სავარაუდოდ გამოვა 4.2 უახლოეს მომავალში.

PowerDNS რეკურსორის ძირითადი მახასიათებლები:

• დისტანციური სტატისტიკის შეგროვების ხელსაწყოები;
• მყისიერი გადატვირთვა;
• ჩაშენებული ძრავა ლუა ენაზე დამმუშავებლების დასაკავშირებლად;
• სრული DNSSEC მხარდაჭერა და DNS64;
• RPZ (Response Policy Zones) მხარდაჭერა და შავი სიების განსაზღვრის შესაძლებლობა;
• გაყალბების საწინააღმდეგო მექანიზმები;
• გარჩევადობის შედეგების ჩაწერის შესაძლებლობა BIND ზონის ფაილებად.
• მაღალი წარმადობის უზრუნველსაყოფად, თანამედროვე კავშირის მულტიპლექსირების მექანიზმები გამოიყენება FreeBSD-ში, Linux-სა და Solaris-ში (kqueue, epoll, /dev/poll), ასევე მაღალი ხარისხის DNS პაკეტის პარსერი, რომელსაც შეუძლია ათიათასობით პარალელური მოთხოვნის დამუშავება.

წყარო: opennet.ru