BIND DNS სერვერი 9.16.0 გამოვიდა

განვითარების 11 თვის შემდეგ, ISC კონსორციუმი შემოიღო BIND 9.16 DNS სერვერის ახალი მნიშვნელოვანი ფილიალის პირველი სტაბილური გამოშვება. 9.16 ფილიალის მხარდაჭერა უზრუნველყოფილი იქნება სამი წლის განმავლობაში 2 წლის მე-2023 კვარტალამდე, როგორც გაფართოებული მხარდაჭერის ციკლის ნაწილი. წინა LTS ფილიალის 9.11 განახლებები გაგრძელდება 2021 წლის დეკემბრამდე. 9.14 ფილიალის მხარდაჭერა სამ თვეში დასრულდება.

მთავარი ინოვაციები:

• დამატებულია KASP (გასაღებისა და ხელმოწერის პოლიტიკა), DNSSEC გასაღებებისა და ციფრული ხელმოწერების მართვის გამარტივებული გზა, რომელიც ეფუძნება დაყენების წესებს, რომლებიც განსაზღვრულია „dnssec-პოლიტიკის“ დირექტივის გამოყენებით. ეს დირექტივა გაძლევთ საშუალებას დააკონფიგურიროთ DNS ზონებისთვის საჭირო ახალი გასაღებების გენერაცია და ZSK და KSK კლავიშების ავტომატური გამოყენება.
• ქსელის ქვესისტემა მნიშვნელოვნად შეიცვალა და გადავიდა ბიბლიოთეკაზე დაფუძნებულ მოთხოვნის დამუშავების ასინქრონულ მექანიზმზე ლიბუვ.
  გადამუშავებას ჯერ არ მოჰყოლია რაიმე თვალსაჩინო ცვლილება, მაგრამ მომავალ გამოშვებებში ის საშუალებას მოგცემთ განახორციელოთ რამდენიმე მნიშვნელოვანი შესრულების ოპტიმიზაცია და დაამატოთ მხარდაჭერა ახალი პროტოკოლებისთვის, როგორიცაა DNS TLS-ზე.

• DNSSEC ნდობის წამყვანების მართვის გაუმჯობესებული პროცესი (Trust anchor, საჯარო გასაღები მიბმული ზონაში ამ ზონის ავთენტურობის შესამოწმებლად). სანდო გასაღებების და მართული გასაღებების პარამეტრების ნაცვლად, რომლებიც ახლა მოძველებულია, შემოთავაზებულია ახალი ნდობის წამყვანების დირექტივა, რომელიც საშუალებას გაძლევთ მართოთ ორივე ტიპის გასაღები.

  ნდობის წამყვანების გამოყენებისას საწყისი გასაღების სიტყვით, ამ დირექტივის ქცევა იდენტურია მართული გასაღების, ე.ი. განსაზღვრავს ნდობის წამყვანის პარამეტრს RFC 5011-ის შესაბამისად. სტატიკური გასაღების სიტყვით ნდობის წამყვანების გამოყენებისას ქცევა შეესაბამება სანდო გასაღების დირექტივას, ე.ი. განსაზღვრავს მუდმივ გასაღებს, რომელიც ავტომატურად არ განახლდება. Trust-anchors ასევე გთავაზობთ კიდევ ორ საკვანძო სიტყვას, initial-ds და static-ds, რომლებიც საშუალებას გაძლევთ გამოიყენოთ ნდობის წამყვანები ფორმატში DS (Delegation Signer) DNSKEY-ის ნაცვლად, რაც შესაძლებელს ხდის გასაღებების კონფიგურაციას ჯერ არ გამოქვეყნებულ გასაღებებზე (IANA ორგანიზაცია გეგმავს მომავალში გამოიყენოს DS ფორმატი ძირითადი ზონის გასაღებებისთვის).

• "+yaml" ოფცია დაემატა dig, mdig და delv უტილიტებს YAML ფორმატში გამოსასვლელად.
• "+[არა]მოულოდნელი" ოფცია დაემატა dig utility-ს, რომელიც იძლევა პასუხების მიღების საშუალებას სხვა ჰოსტებისგან, გარდა სერვერისგან, რომელზედაც გაიგზავნა მოთხოვნა.
• დამატებულია "+[no]expandaaaa" ოფცია თხრილისთვის, რაც იწვევს IPv6 მისამართებს AAAA ჩანაწერებში სრული 128-ბიტიანი წარმოდგენით, ვიდრე RFC 5952 ფორმატში.
• დამატებულია სტატისტიკის არხების ჯგუფების გადართვის შესაძლებლობა.
• DS და CDS ჩანაწერები ახლა მხოლოდ SHA-256 ჰეშებზე დაყრდნობით იქმნება (SHA-1-ზე დაფუძნებული თაობა შეწყვეტილია).
• DNS Cookie-სთვის (RFC 7873), ნაგულისხმევი ალგორითმი არის SipHash 2-4 და HMAC-SHA-ს მხარდაჭერა შეწყვეტილია (AES შენარჩუნებულია).
• dnssec-signzone და dnssec-verify ბრძანებების გამომავალი ახლა იგზავნება სტანდარტულ გამომავალზე (STDOUT) და მხოლოდ შეცდომები და გაფრთხილებები იბეჭდება STDERR-ზე (-f ვარიანტი ასევე ბეჭდავს ხელმოწერილ ზონას). "-q" ოფცია დაემატა გამომავალი ჩართვისთვის.
• DNSSEC ვალიდაციის კოდი გადამუშავდა სხვა ქვესისტემებთან კოდების დუბლირების აღმოსაფხვრელად.
• სტატისტიკის JSON ფორმატში საჩვენებლად, ახლა მხოლოდ JSON-C ბიბლიოთეკის გამოყენებაა შესაძლებელი. კონფიგურაციის ვარიანტს "--with-libjson" დაარქვეს სახელი "--with-json-c".
• კონფიგურაციის სკრიპტი ნაგულისხმევად აღარ არის "--sysconfdir" in /etc და "--localstatedir" in /var, თუ "--prefix" არ არის მითითებული. ნაგულისხმევი ბილიკები ახლა არის $prefix/etc და $prefix/var, როგორც გამოიყენება Autoconf-ში.
• წაშლილია კოდი, რომელიც ახორციელებს DLV (Domain Look-aside Verification, dnssec-lookaside option) სერვისს, რომელიც მოძველებული იყო BIND 9.12-ში და დაკავშირებული dlv.isc.org გათიშული იყო 2017 წელს. DLV-ების ამოღებამ გაათავისუფლა BIND კოდი არასაჭირო გართულებებისგან.

წყარო: opennet.ru