ການເປີດຕົວ PowerDNS Recursor 4.2 ແລະ DNS flag day 2020 ການລິເລີ່ມ

ຫຼັງຈາກຫນຶ່ງປີແລະເຄິ່ງຫນຶ່ງຂອງການພັດທະນາ ນຳ ສະ ເໜີ ການປ່ອຍຕົວເຊີບເວີ DNS ທີ່ເກັບໄວ້ໃນຖານຄວາມຈໍາ ຊັບພະຍາກອນ PowerDNS 4.2, ຮັບຜິດຊອບສໍາລັບການປ່ຽນຊື່ recursive. PowerDNS Recursor ຖືກສ້າງຂຶ້ນໃນຖານລະຫັດດຽວກັນກັບ PowerDNS Authoritative Server, ແຕ່ PowerDNS ເຊີບເວີ DNS recursive ແລະ authoritative ໄດ້ຖືກພັດທະນາຜ່ານຮອບການພັດທະນາທີ່ແຕກຕ່າງກັນແລະຖືກປ່ອຍອອກມາເປັນຜະລິດຕະພັນແຍກຕ່າງຫາກ. ລະຫັດໂຄງການ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ GPLv2.

ສະບັບໃຫມ່ລົບລ້າງບັນຫາທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບການປຸງແຕ່ງແພັກເກັດ DNS ທີ່ມີທຸງ EDNS. PowerDNS Recursor ຮຸ່ນເກົ່າກ່ອນປີ 2016 ມີການປະຕິບັດການບໍ່ສົນໃຈແພັກເກັດທີ່ມີທຸງ EDNS ທີ່ບໍ່ຮອງຮັບໂດຍບໍ່ມີການສົ່ງຄໍາຕອບໃນຮູບແບບເກົ່າ, ຍົກເລີກທຸງ EDNS ຕາມຄວາມຕ້ອງການສະເພາະ. ກ່ອນຫນ້ານີ້, ພຶດຕິກໍາທີ່ບໍ່ໄດ້ມາດຕະຖານນີ້ໄດ້ຮັບການສະຫນັບສະຫນູນໃນ BIND ໃນຮູບແບບຂອງການແກ້ໄຂ, ແຕ່ຢູ່ໃນຂອບເຂດຂອງ ປະຕິບັດ ການລິເລີ່ມໃນເດືອນກຸມພາ ວັນທຸງ DNS, ນັກພັດທະນາເຄື່ອງແມ່ຂ່າຍ DNS ຕັດສິນໃຈທີ່ຈະປະຖິ້ມການ hack ນີ້.

ໃນ PowerDNS, ບັນຫາຕົ້ນຕໍໃນການປຸງແຕ່ງແພັກເກັດກັບ EDNS ໄດ້ຖືກລົບລ້າງໃນປີ 2017 ໃນການປ່ອຍ 4.1, ແລະໃນສາຂາ 2016 ທີ່ປ່ອຍອອກມາໃນປີ 4.0, ຄວາມບໍ່ເຂົ້າກັນຂອງບຸກຄົນໄດ້ປະກົດຂຶ້ນພາຍໃຕ້ສະຖານະການສະເພາະໃດຫນຶ່ງແລະໂດຍທົ່ວໄປ, ບໍ່ແຊກແຊງປົກກະຕິ. ການດໍາເນີນງານ. ໃນ PowerDNS Recursor 4.2, ເຊັ່ນດຽວກັບໃນ ຜູກ 9.14, ຖອນການແກ້ໄຂເພື່ອສະຫນັບສະຫນູນເຄື່ອງແມ່ຂ່າຍທີ່ມີອໍານາດທີ່ຕອບສະຫນອງຄໍາຮ້ອງຂໍທີ່ບໍ່ຖືກຕ້ອງດ້ວຍທຸງ EDNS. ຈົນກ່ວາໃນປັດຈຸບັນ, ຖ້າຫຼັງຈາກການສົ່ງຄໍາຮ້ອງຂໍທີ່ມີທຸງ EDNS ບໍ່ມີການຕອບສະຫນອງຫຼັງຈາກໄລຍະເວລາທີ່ແນ່ນອນ, ເຄື່ອງແມ່ຂ່າຍ DNS ຖືວ່າທຸງຂະຫຍາຍບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນແລະສົ່ງຄໍາຮ້ອງຂໍທີສອງໂດຍບໍ່ມີທຸງ EDNS. ພຶດຕິກຳນີ້ຖືກປິດການນຳໃຊ້ແລ້ວ ເນື່ອງຈາກລະຫັດນີ້ສົ່ງຜົນໃຫ້ຄວາມລ່າຊ້າເພີ່ມຂຶ້ນເນື່ອງຈາກການສົ່ງຕໍ່ແພັກເກັດ, ການໂຫຼດເຄືອຂ່າຍເພີ່ມຂຶ້ນ ແລະຄວາມມົວໝອງເມື່ອບໍ່ຕອບສະໜອງເນື່ອງຈາກເຄືອຂ່າຍລົ້ມເຫຼວ ແລະປ້ອງກັນການຈັດຕັ້ງປະຕິບັດຄຸນສົມບັດທີ່ອີງໃສ່ EDNS ເຊັ່ນ DNS Cookies ເພື່ອປ້ອງກັນການໂຈມຕີ DDoS.

ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະຈັດງານໃນປີຫນ້າ ວັນທຸງ DNS 2020ຖືກອອກແບບມາເພື່ອສຸມໃສ່ຄວາມສົນໃຈ ການຕັດສິນໃຈ ບັນຫາ ດ້ວຍການແບ່ງແຍກ IP ເມື່ອປະມວນຜົນຂໍ້ຄວາມ DNS ຂະຫນາດໃຫຍ່. ເປັນສ່ວນຫນຶ່ງຂອງການລິເລີ່ມ ມີການວາງແຜນ ແກ້ໄຂຂະຫນາດ buffer ທີ່ແນະນໍາສໍາລັບ EDNS ເປັນ 1200 bytes, ແລະ ແປ ການປະມວນຜົນການຮ້ອງຂໍຜ່ານ TCP ແມ່ນຄຸນສົມບັດທີ່ຕ້ອງມີຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ. ໃນປັດຈຸບັນສະຫນັບສະຫນູນການຮ້ອງຂໍການປຸງແຕ່ງຜ່ານ UDP ແມ່ນຕ້ອງການ, ແລະ TCP ແມ່ນຕ້ອງການ, ແຕ່ບໍ່ຈໍາເປັນຕ້ອງສໍາລັບການດໍາເນີນງານ (ມາດຕະຖານຮຽກຮ້ອງໃຫ້ມີຄວາມສາມາດໃນການປິດການໃຊ້ງານ TCP). ມັນໄດ້ຖືກສະເຫນີໃຫ້ເອົາທາງເລືອກທີ່ຈະປິດການທໍາງານ TCP ຈາກມາດຕະຖານແລະມາດຕະຖານການຫັນປ່ຽນຈາກການສົ່ງຄໍາຮ້ອງຂໍຜ່ານ UDP ໄປໃຊ້ TCP ໃນກໍລະນີທີ່ຂະຫນາດ EDNS buffer ສ້າງຕັ້ງຂຶ້ນບໍ່ພຽງພໍ.

ການປ່ຽນແປງທີ່ສະເຫນີເປັນສ່ວນຫນຶ່ງຂອງການລິເລີ່ມຈະລົບລ້າງຄວາມສັບສົນກັບການເລືອກຂະຫນາດ EDNS buffer ແລະແກ້ໄຂບັນຫາການແຕກແຍກຂອງຂໍ້ຄວາມ UDP ຂະຫນາດໃຫຍ່, ການປຸງແຕ່ງທີ່ມັກຈະເຮັດໃຫ້ການສູນເສຍແພັກເກັດແລະການຫມົດເວລາໃນດ້ານລູກຄ້າ. ໃນດ້ານລູກຄ້າ, ຂະຫນາດ EDNS buffer ຈະຄົງທີ່ແລະການຕອບສະຫນອງຂະຫນາດໃຫຍ່ຈະຖືກສົ່ງໄປຫາລູກຄ້າໃນທັນທີຜ່ານ TCP. ການຫຼີກເວັ້ນການສົ່ງຂໍ້ຄວາມຂະຫນາດໃຫຍ່ຜ່ານ UDP ຍັງຈະຊ່ວຍໃຫ້ທ່ານສາມາດບລັອກໄດ້ ການໂຈມຕີ ສໍາລັບການເປັນພິດຂອງ DNS cache, ໂດຍອີງໃສ່ການຫມູນໃຊ້ຂອງແພັກເກັດ UDP ທີ່ແຕກແຍກ (ເມື່ອແບ່ງອອກເປັນ fragment, fragment ທີສອງບໍ່ປະກອບມີ header ກັບຕົວລະບຸ, ສະນັ້ນມັນສາມາດຖືກປອມແປງ, ເຊິ່ງມັນພຽງພໍສໍາລັບ checksum ທີ່ກົງກັນ) .

PowerDNS Recursor 4.2 ພິຈາລະນາບັນຫາກັບແພັກເກັດ UDP ຂະຫນາດໃຫຍ່ແລະປ່ຽນໄປໃຊ້ຂະຫນາດ EDNS buffer (edns-outgoing-bufsize) ຂອງ 1232 bytes, ແທນທີ່ຈະເປັນຂອບເຂດຈໍາກັດທີ່ໃຊ້ໃນເມື່ອກ່ອນຂອງ 1680 ໄບຕ໌, ເຊິ່ງຄວນຫຼຸດຜ່ອນຄວາມເປັນໄປໄດ້ຂອງການສູນເສຍແພັກເກັດ UDP ຢ່າງຫຼວງຫຼາຍ. . ມູນຄ່າ 1232 ໄດ້ຖືກເລືອກເພາະວ່າມັນແມ່ນສູງສຸດທີ່ຂະຫນາດຂອງການຕອບສະຫນອງ DNS, ໂດຍຄໍານຶງເຖິງ IPv6, ເຫມາະກັບຄ່າ MTU ຕໍາ່ສຸດທີ່ (1280). ຄ່າຂອງພາຣາມິເຕີການຕັດຂອບ, ເຊິ່ງຮັບຜິດຊອບການຕັດການຕອບສະໜອງໃຫ້ກັບລູກຄ້າ, ຍັງຖືກຫຼຸດລົງເປັນ 1232.

ການປ່ຽນແປງອື່ນໆໃນ PowerDNS Recursor 4.2:

• ເພີ່ມ​ການ​ສະ​ຫນັບ​ສະ​ຫນູນ​ກົນ​ໄກ​ XPF (X-Proxied-For), ເຊິ່ງເປັນ DNS ທຽບເທົ່າຂອງ X-Forwarded-For HTTP header, ອະນຸຍາດໃຫ້ຂໍ້ມູນກ່ຽວກັບທີ່ຢູ່ IP ແລະໝາຍເລກພອດຂອງຜູ້ຮ້ອງຂໍຕົ້ນສະບັບຖືກສົ່ງຕໍ່ຜ່ານ proxies ລະດັບປານກາງແລະ load balancers (ເຊັ່ນ: dnsdist) . ເພື່ອເປີດໃຊ້ XPF ມີທາງເລືອກ "xpf-allow-from"ແລະ"xpf-rr-code";
• ປັບປຸງການສະຫນັບສະຫນູນສໍາລັບການຂະຫຍາຍ EDNS ເຄືອຂ່າຍຍ່ອຍຂອງລູກຄ້າ (ECS), ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດສົ່ງຂໍ້ມູນໃນ DNS queries ໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ມີອໍານາດກ່ຽວກັບ subnet ຈາກການຮ້ອງຂໍເບື້ອງຕົ້ນທີ່ຖືກສົ່ງຜ່ານລະບົບຕ່ອງໂສ້ໄດ້ຖືກ poisoned (ຂໍ້ມູນກ່ຽວກັບ subnet ແຫຼ່ງຂອງລູກຄ້າແມ່ນຈໍາເປັນສໍາລັບການປະຕິບັດງານທີ່ມີປະສິດທິພາບຂອງເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ) . ລຸ້ນໃໝ່ເພີ່ມການຕັ້ງຄ່າສຳລັບການຄວບຄຸມການເລືອກໃຊ້ EDNS Client Subnet: "ecs-add-for» ພ້ອມກັບລາຍຊື່ຂອງໜ້າກາກທີ່ IP ຈະຖືກໃຊ້ໃນ ECS ໃນການຮ້ອງຂໍຂາອອກ. ສໍາລັບທີ່ຢູ່ທີ່ບໍ່ຢູ່ໃນຫນ້າກາກທີ່ລະບຸໄວ້, ທີ່ຢູ່ທົ່ວໄປທີ່ລະບຸໄວ້ໃນຄໍາສັ່ງ "ecs-scope-zero-address". ໂດຍຜ່ານຄໍາສັ່ງ "use-incoming-edns-subnet» ທ່ານສາມາດກໍານົດ subnets ຈາກຄໍາຮ້ອງຂໍທີ່ເຂົ້າມາທີ່ມີຄ່າ ECS ທີ່ເຕັມໄປຈະບໍ່ຖືກແທນທີ່;
• ສໍາ​ລັບ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ທີ່​ປະ​ຕິ​ບັດ​ຈໍາ​ນວນ​ຫຼາຍ​ຂອງ​ການ​ຮ້ອງ​ຂໍ​ຕໍ່​ວິ​ນາ​ທີ (ຫຼາຍ​ກ​່​ວາ 100 ພັນ), ຄໍາ​ແນະ​ນໍາ ".distributor-threads", ເຊິ່ງກໍານົດຈໍານວນຂອງກະທູ້ສໍາລັບການຮັບຄໍາຮ້ອງຂໍເຂົ້າມາແລະການແຈກຢາຍໃຫ້ເຂົາເຈົ້າລະຫວ່າງກະທູ້ພະນັກງານ (ເຮັດໃຫ້ຄວາມຮູ້ສຶກພຽງແຕ່ໃນເວລາທີ່ການນໍາໃຊ້ ".pdns-distributes-queries=ແມ່ນ").
• ເພີ່ມການຕັ້ງຄ່າ public-suffix-list-file ເພື່ອກໍານົດໄຟລ໌ຂອງທ່ານເອງກັບ ບັນຊີລາຍຊື່ຂອງຄໍາຕໍ່ທ້າຍສາທາລະນະ ໂດເມນທີ່ຜູ້ໃຊ້ສາມາດລົງທະບຽນໂດເມນຍ່ອຍຂອງເຂົາເຈົ້າ, ແທນທີ່ຈະເປັນລາຍຊື່ທີ່ສ້າງຂຶ້ນໃນ PowerDNS Recursor.

ໂຄງການ PowerDNS ຍັງໄດ້ປະກາດການກ້າວໄປສູ່ຮອບວຽນການພັດທະນາ 4.3 ເດືອນ, ດ້ວຍການປ່ອຍ PowerDNS Recursor 2020 ທີ່ສໍາຄັນຕໍ່ໄປທີ່ຄາດວ່າຈະມີໃນເດືອນມັງກອນ 4.2. ການປັບປຸງສໍາລັບການເປີດຕົວທີ່ສໍາຄັນຈະຖືກພັດທະນາຕະຫຼອດປີ, ຫລັງຈາກນັ້ນການແກ້ໄຂຊ່ອງໂຫວ່ຈະຖືກປ່ອຍອອກມາອີກຫົກເດືອນ. ດັ່ງນັ້ນ, ການຮອງຮັບສາຂາ PowerDNS Recursor 2021 ຈະຢູ່ຈົນຮອດເດືອນມັງກອນ 4.2. ການປ່ຽນແປງວົງຈອນການພັດທະນາທີ່ຄ້າຍຄືກັນໄດ້ຖືກເຮັດສໍາລັບ PowerDNS Authoritative Server, ເຊິ່ງຄາດວ່າຈະປ່ອຍ XNUMX ໃນອະນາຄົດອັນໃກ້ນີ້.

ຄຸນສົມບັດຫຼັກຂອງ PowerDNS Recursor:

• ເຄື່ອງມືສໍາລັບການເກັບສະຖິຕິຫ່າງໄກສອກຫຼີກ;
• restart ທັນທີ;
• ເຄື່ອງຈັກໃນຕົວສໍາລັບການເຊື່ອມຕໍ່ຕົວຈັດການໃນພາສາ Lua;
• ສະຫນັບສະຫນູນ DNSSEC ເຕັມແລະ DNS64;
• ສະຫນັບສະຫນູນ RPZ (ເຂດນະໂຍບາຍການຕອບສະຫນອງ) ແລະຄວາມສາມາດໃນການກໍານົດບັນຊີດໍາ;
• ກົນໄກຕ້ານການຫຼອກລວງ;
• ຄວາມສາມາດໃນການບັນທຶກຜົນໄດ້ຮັບການແກ້ໄຂເປັນໄຟລ໌ເຂດ BIND.
• ເພື່ອຮັບປະກັນປະສິດທິພາບສູງ, ກົນໄກ multiplexing ການເຊື່ອມຕໍ່ທີ່ທັນສະໄຫມຖືກນໍາໃຊ້ໃນ FreeBSD, Linux ແລະ Solaris (kqueue, epoll, /dev/poll), ເຊັ່ນດຽວກັນກັບຕົວແຍກແພັກເກັດ DNS ທີ່ມີປະສິດທິພາບສູງທີ່ສາມາດປະມວນຜົນການຮ້ອງຂໍຂະຫນານຫຼາຍສິບພັນຄໍາຮ້ອງຂໍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru