ປ່ອຍ PowerDNS Recursor 4.3 ແລະ KnotDNS 2.9.3

ໄດ້ຈັດຂຶ້ນ ການປ່ອຍຕົວເຊີບເວີ DNS ທີ່ເກັບໄວ້ໃນຖານຄວາມຈໍາ ຊັບພະຍາກອນ PowerDNS 4.3, ຮັບຜິດຊອບສໍາລັບການປ່ຽນຊື່ recursive. PowerDNS Recursor ຖືກສ້າງຂຶ້ນໃນຖານລະຫັດດຽວກັນກັບ PowerDNS Authoritative Server, ແຕ່ PowerDNS ເຊີບເວີ DNS recursive ແລະ authoritative ໄດ້ຖືກພັດທະນາຜ່ານຮອບການພັດທະນາທີ່ແຕກຕ່າງກັນແລະຖືກປ່ອຍອອກມາເປັນຜະລິດຕະພັນແຍກຕ່າງຫາກ. ລະຫັດໂຄງການ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ GPLv2.

ເຄື່ອງແມ່ຂ່າຍສະຫນອງເຄື່ອງມືສໍາລັບການເກັບສະຖິຕິຫ່າງໄກສອກຫຼີກ, ສະຫນັບສະຫນູນການເລີ່ມຕົ້ນໃຫມ່ທັນທີ, ມີເຄື່ອງຈັກໃນຕົວສໍາລັບການເຊື່ອມຕໍ່ຕົວຈັດການໃນພາສາ Lua, ສະຫນັບສະຫນູນຢ່າງເຕັມສ່ວນ DNSSEC, DNS64, RPZ (ເຂດນະໂຍບາຍການຕອບສະຫນອງ), ແລະຊ່ວຍໃຫ້ທ່ານສາມາດເຊື່ອມຕໍ່ບັນຊີດໍາໄດ້. ມັນເປັນໄປໄດ້ທີ່ຈະບັນທຶກຜົນໄດ້ຮັບການແກ້ໄຂເປັນໄຟລ໌ເຂດ BIND. ເພື່ອຮັບປະກັນປະສິດທິພາບສູງ, ກົນໄກ multiplexing ການເຊື່ອມຕໍ່ທີ່ທັນສະໄຫມຖືກນໍາໃຊ້ໃນ FreeBSD, Linux ແລະ Solaris (kqueue, epoll, /dev/poll), ເຊັ່ນດຽວກັນກັບຕົວແຍກແພັກເກັດ DNS ທີ່ມີປະສິດທິພາບສູງທີ່ສາມາດປະມວນຜົນການຮ້ອງຂໍຂະຫນານຫຼາຍສິບພັນຄໍາຮ້ອງຂໍ.

ໃນ​ສະ​ບັບ​ໃຫມ່​:

• ເພື່ອປ້ອງກັນການຮົ່ວໄຫລຂອງຂໍ້ມູນກ່ຽວກັບໂດເມນທີ່ຮ້ອງຂໍແລະເພີ່ມຄວາມເປັນສ່ວນຕົວ, ກົນໄກໄດ້ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ ການຫຼຸດ QNAME (RFC-7816), ປະຕິບັດການໃນໂຫມດ "ຜ່ອນຄາຍ". ໂດຍເນື້ອແທ້ແລ້ວຂອງກົນໄກແມ່ນວ່າຕົວແກ້ໄຂບໍ່ໄດ້ກ່າວເຖິງຊື່ເຕັມຂອງເຈົ້າພາບທີ່ຕ້ອງການໃນຄໍາຮ້ອງຂໍຂອງມັນກັບເຄື່ອງແມ່ຂ່າຍຊື່ຕົ້ນ. ຕົວຢ່າງ, ເມື່ອກໍານົດທີ່ຢູ່ສໍາລັບເຈົ້າພາບ foo.bar.baz.com, ຜູ້ແກ້ໄຂຈະສົ່ງຄໍາຮ້ອງຂໍ "QTYPE=NS,QNAME=baz.com" ໄປຫາເຄື່ອງແມ່ຂ່າຍທີ່ມີອໍານາດສໍາລັບເຂດ ".com", ໂດຍບໍ່ມີການກ່າວເຖິງ ". foo.bar". ໃນຮູບແບບປະຈຸບັນ, ການເຮັດວຽກໄດ້ຖືກປະຕິບັດໃນໂຫມດ "ຜ່ອນຄາຍ".
• ຄວາມສາມາດໃນການບັນທຶກການຮ້ອງຂໍອອກໄປຫາເຄື່ອງແມ່ຂ່າຍທີ່ມີອໍານາດແລະການຕອບສະຫນອງຕໍ່ພວກເຂົາໃນຮູບແບບ dnstap ໄດ້ຖືກປະຕິບັດ (ສໍາລັບການນໍາໃຊ້, ການກໍ່ສ້າງທີ່ມີທາງເລືອກ "enable-dnstap" ແມ່ນຕ້ອງການ).
• ການປະມວນຜົນພ້ອມໆກັນຂອງຄໍາຮ້ອງຂໍຂາເຂົ້າຫຼາຍອັນທີ່ສົ່ງຜ່ານການເຊື່ອມຕໍ່ TCP ແມ່ນສະຫນອງໃຫ້, ຜົນໄດ້ຮັບຈະຖືກສົ່ງຄືນຍ້ອນວ່າພວກເຂົາພ້ອມ, ແລະບໍ່ແມ່ນຢູ່ໃນລໍາດັບຂອງຄໍາຮ້ອງຂໍໃນແຖວ. ຂອບ​ເຂດ​ຈໍາ​ກັດ​ຂອງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ພ້ອມ​ກັນ​ແມ່ນ​ກໍາ​ນົດ​ໂດຍ ".max-concurrent-requests-per-tcp-connection"
• ປະຕິບັດເຕັກນິກການຕິດຕາມໂດເມນໃຫມ່ NOD (Newly Observed Domain), ເຊິ່ງສາມາດໃຊ້ເພື່ອລະບຸໂດເມນທີ່ໜ້າສົງໄສ ຫຼື ໂດເມນທີ່ກ່ຽວຂ້ອງກັບກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ ເຊັ່ນ: ການແຈກຢາຍມັນແວ, ການມີສ່ວນຮ່ວມໃນ phishing, ແລະຖືກນໍາໃຊ້ເພື່ອດໍາເນີນການ botnets. ວິທີການແມ່ນອີງໃສ່ການກໍານົດໂດເມນທີ່ບໍ່ໄດ້ເຂົ້າເຖິງກ່ອນຫນ້ານີ້ແລະການວິເຄາະໂດເມນໃຫມ່ເຫຼົ່ານີ້. ແທນທີ່ຈະຕິດຕາມໂດເມນໃຫມ່ຕໍ່ກັບຖານຂໍ້ມູນທີ່ສົມບູນຂອງທຸກໂດເມນທີ່ເຄີຍເບິ່ງ, ເຊິ່ງຕ້ອງການຊັບພະຍາກອນທີ່ສໍາຄັນເພື່ອຮັກສາ, NOD ໃຊ້ກອບຄວາມເປັນໄປໄດ້. ກຊສ (Stable Bloom Filter), ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານຫຼຸດຜ່ອນຄວາມຊົງຈໍາແລະການບໍລິໂພກ CPU. ເພື່ອເປີດໃຊ້ງານມັນ, ທ່ານຄວນລະບຸ “new-domain-tracking=yes” ໃນການຕັ້ງຄ່າ.
• ເມື່ອເຮັດວຽກພາຍໃຕ້ systemd, ຂະບວນການ PowerDNS Recursor ໃນປັດຈຸບັນດໍາເນີນການພາຍໃຕ້ pdns-recursor ຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດແທນທີ່ຈະເປັນຮາກ. ສໍາລັບລະບົບທີ່ບໍ່ມີລະບົບແລະບໍ່ມີ chroot, ໄດເລກະທໍລີເລີ່ມຕົ້ນສໍາລັບການເກັບຮັກສາເຕົ້າຮັບການຄວບຄຸມແລະໄຟລ໌ pid ໃນປັດຈຸບັນແມ່ນ /var/run/pdns-recursor.

ຍິ່ງ​ໄປ​ກວ່າ​ນັ້ນ​, ຈັດພີມມາ ປ່ອຍຕົວ KnotDNS 2.9.3, ເຊີບເວີ DNS ທີ່ມີປະສິດຕິພາບສູງ (recursor ຖືກອອກແບບມາເປັນແອັບພລິເຄຊັນແຍກຕ່າງຫາກ) ທີ່ສະຫນັບສະຫນູນຄຸນສົມບັດ DNS ທີ່ທັນສະໄຫມທັງຫມົດ. ໂຄງ​ການ​ດັ່ງ​ກ່າວ​ແມ່ນ​ໄດ້​ຮັບ​ການ​ພັດ​ທະ​ນາ​ໂດຍ​ການ​ຈົດ​ທະ​ບຽນ CZ.NIC ຂອງ​ເຊັກ​, ລາຍ​ລັກ​ອັກ​ສອນ​ໃນ C ແລະ​ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ GPLv3.

KnotDNS ໄດ້ຖືກຈໍາແນກໂດຍການເນັ້ນໃສ່ການປະມວນຜົນແບບສອບຖາມທີ່ມີປະສິດທິພາບສູງ, ເຊິ່ງມັນໃຊ້ການຈັດຕັ້ງປະຕິບັດແບບຫຼາຍກະທູ້ແລະສ່ວນຫຼາຍບໍ່ແມ່ນການຂັດຂວາງທີ່ຂະຫຍາຍຂະຫນາດໄດ້ດີໃນລະບົບ SMP. ຄຸນນະສົມບັດເຊັ່ນການເພີ່ມແລະລຶບເຂດໃນການບິນ, ເຂດການໂອນລະຫວ່າງເຄື່ອງແມ່ຂ່າຍ, DDNS (ການປັບປຸງແບບເຄື່ອນໄຫວ), NSID (RFC 5001), EDNS0 ແລະ DNSSEC extensions (ລວມທັງ NSEC3), ການຈໍາກັດອັດຕາການຕອບສະຫນອງ (RRL) ແມ່ນສະຫນອງໃຫ້.

ໃນການປ່ອຍໃຫມ່:

• ເພີ່ມການຕັ້ງຄ່າ 'remote.block-notify-after-transfer' ເພື່ອປິດການສົ່ງຂໍ້ຄວາມ NOTIFY;
• ດໍາເນີນການສະຫນັບສະຫນູນການທົດລອງສໍາລັບ Ed448 algorithm ໃນ DNSSE (ຕ້ອງການ GnuTLS 3.6.12+ ແລະຍັງບໍ່ທັນໄດ້ປ່ອຍອອກມາເມື່ອ. Nettle 3.6+);
• ພາຣາມິເຕີ 'ທ້ອງຖິ່ນ-serial' ໄດ້ຖືກເພີ່ມໃສ່ keymgr ເພື່ອໃຫ້ໄດ້ຮັບຫຼືກໍານົດ SOA serial number ສໍາລັບເຂດທີ່ໄດ້ເຊັນໃນຖານຂໍ້ມູນ KASP;
• ເພີ່ມການສະຫນັບສະຫນູນການນໍາເຂົ້າລະຫັດ Ed25519 ແລະ Ed448 ໃນຮູບແບບ BIND DNS server ກັບ keymgr;
• ການຕັ້ງຄ່າເລີ່ມຕົ້ນ 'server.tcp-io-timeout' ໄດ້ເພີ່ມຂຶ້ນເປັນ 500 ms ແລະ 'database.journal-db-max-size' ໄດ້ຖືກຫຼຸດລົງເປັນ 512 MiB ໃນລະບົບ 32 ບິດ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru