ການທົດລອງຮອງຮັບ DNS-over-HTTPS ໄດ້ຖືກເພີ່ມໃສ່ BIND DNS server

ນັກພັດທະນາເຊີບເວີ BIND DNS ປະກາດການເພີ່ມການສະຫນັບສະຫນູນຂອງເຄື່ອງແມ່ຂ່າຍສໍາລັບ DNS over HTTPS (DoH, DNS over HTTPS) ແລະ DNS over TLS (DoT, DNS over TLS) ເຕັກໂນໂລຢີ, ເຊັ່ນດຽວກັນກັບກົນໄກ XFR-over-TLS ເພື່ອຄວາມປອດໄພ. ການໂອນເນື້ອຫາຂອງເຂດ DNS ລະຫວ່າງເຄື່ອງແມ່ຂ່າຍ. DoH ມີໃຫ້ສໍາລັບການທົດສອບໃນການປ່ອຍ 9.17, ແລະການສະຫນັບສະຫນູນ DoT ແມ່ນມີຢູ່ນັບຕັ້ງແຕ່ການປ່ອຍ 9.17.10. ຫຼັງຈາກສະຖຽນລະພາບ, ການສະຫນັບສະຫນູນ DoT ແລະ DoH ຈະຖືກສົ່ງກັບສາຂາທີ່ຫມັ້ນຄົງ 9.17.7.

ການປະຕິບັດຂອງ HTTP / 2 protocol ທີ່ໃຊ້ໃນ DoH ແມ່ນອີງໃສ່ການນໍາໃຊ້ຫ້ອງສະຫມຸດ nghttp2, ເຊິ່ງໄດ້ຖືກລວມເຂົ້າກັບຄວາມເພິ່ງພາອາໄສຂອງສະພາແຫ່ງ (ໃນອະນາຄົດ, ຫ້ອງສະຫມຸດໄດ້ຖືກວາງແຜນທີ່ຈະໂອນໄປຫາຈໍານວນການເພິ່ງພາອາໄສທາງເລືອກ). ຮອງຮັບການເຊື່ອມຕໍ່ທັງສອງເຂົ້າລະຫັດ (TLS) ແລະ HTTP/2 ທີ່ບໍ່ເຂົ້າລະຫັດ. ດ້ວຍການຕັ້ງຄ່າທີ່ເຫມາະສົມ, ຂະບວນການທີ່ມີຊື່ດຽວໃນປັດຈຸບັນສາມາດໃຫ້ບໍລິການບໍ່ພຽງແຕ່ການສອບຖາມ DNS ແບບດັ້ງເດີມ, ແຕ່ຍັງມີການສອບຖາມທີ່ສົ່ງໂດຍໃຊ້ DoH (DNS-over-HTTPS) ແລະ DoT (DNS-over-TLS). ການສະຫນັບສະຫນູນ HTTPS ໃນຝ່າຍລູກຄ້າ (ຂຸດ) ຍັງບໍ່ທັນຖືກປະຕິບັດ. ການສະຫນັບສະຫນູນ XFR-over-TLS ແມ່ນມີໃຫ້ສໍາລັບການຮ້ອງຂໍທັງຂາເຂົ້າແລະຂາອອກ.

ການຮ້ອງຂໍການປະມວນຜົນໂດຍໃຊ້ DoH ແລະ DoT ຖືກເປີດໃຊ້ໂດຍການເພີ່ມຕົວເລືອກ http ແລະ tls ເຂົ້າໃນຄໍາສັ່ງຟັງ. ເພື່ອສະຫນັບສະຫນູນ DNS-over-HTTP ທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ, ທ່ານຄວນລະບຸ "tls none" ໃນການຕັ້ງຄ່າ. ຄີແມ່ນຖືກກໍານົດຢູ່ໃນສ່ວນ "tls". ພອດເຄືອຂ່າຍເລີ່ມຕົ້ນ 853 ສໍາລັບ DoT, 443 ສໍາລັບ DoH ແລະ 80 ສໍາລັບ DNS-over-HTTP ສາມາດ overridden ຜ່ານພາລາມິເຕີ tls-port, https-port ແລະ http-port. ຕົວຢ່າງ: tls local-tls { key-file "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http local-http-server { endpoints { "/dns-query"; }; }; ຕົວເລືອກ { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }

ໃນບັນດາລັກສະນະຂອງການປະຕິບັດ DoH ໃນ BIND, ການເຊື່ອມໂຍງໄດ້ຖືກສັງເກດເຫັນວ່າເປັນການຂົນສົ່ງທົ່ວໄປ, ເຊິ່ງສາມາດນໍາໃຊ້ບໍ່ພຽງແຕ່ເພື່ອປະມວນຜົນການຮ້ອງຂໍຂອງລູກຄ້າກັບຕົວແກ້ໄຂ, ແຕ່ຍັງເມື່ອແລກປ່ຽນຂໍ້ມູນລະຫວ່າງເຄື່ອງແມ່ຂ່າຍ, ເມື່ອໂອນເຂດໂດຍເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ມີອໍານາດ, ແລະ. ໃນ​ເວ​ລາ​ທີ່​ປະ​ຕິ​ບັດ​ການ​ຮ້ອງ​ຂໍ​ທີ່​ສະ​ຫນັບ​ສະ​ຫນູນ​ໂດຍ​ການ​ຂົນ​ສົ່ງ DNS ອື່ນໆ .

ລັກສະນະອື່ນແມ່ນຄວາມສາມາດໃນການຍ້າຍການປະຕິບັດການເຂົ້າລະຫັດສໍາລັບ TLS ໄປຫາເຄື່ອງແມ່ຂ່າຍອື່ນ, ເຊິ່ງອາດຈະມີຄວາມຈໍາເປັນໃນເງື່ອນໄຂທີ່ໃບຢັ້ງຢືນ TLS ຖືກເກັບໄວ້ໃນລະບົບອື່ນ (ຕົວຢ່າງເຊັ່ນໃນໂຄງສ້າງພື້ນຖານທີ່ມີເຄື່ອງແມ່ຂ່າຍເວັບ) ແລະຮັກສາໂດຍບຸກຄະລາກອນອື່ນໆ. ການສະຫນັບສະຫນູນ DNS-over-HTTP ທີ່ບໍ່ເຂົ້າລະຫັດແມ່ນປະຕິບັດເພື່ອເຮັດໃຫ້ການດີບັກງ່າຍແລະເປັນຊັ້ນສໍາລັບການສົ່ງຕໍ່ໃນເຄືອຂ່າຍພາຍໃນ, ບົນພື້ນຖານການເຂົ້າລະຫັດສາມາດຖືກຈັດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍອື່ນ. ໃນເຊີບເວີຫ່າງໄກສອກຫຼີກ, nginx ສາມາດຖືກນໍາໃຊ້ເພື່ອສ້າງການຈະລາຈອນ TLS, ຄ້າຍຄືກັບວິທີການເຊື່ອມໂຍງ HTTPS ສໍາລັບເວັບໄຊທ໌.

ໃຫ້ພວກເຮົາຈື່ວ່າ DNS-over-HTTPS ສາມາດເປັນປະໂຫຍດສໍາລັບການປ້ອງກັນການຮົ່ວໄຫລຂອງຂໍ້ມູນກ່ຽວກັບຊື່ໂຮດທີ່ຮ້ອງຂໍຜ່ານເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໃຫ້ບໍລິການ, ຕ້ານການໂຈມຕີ MITM ແລະການຫຼອກລວງການຈາລະຈອນ DNS (ຕົວຢ່າງ, ເມື່ອເຊື່ອມຕໍ່ກັບ Wi-Fi ສາທາລະນະ), ໂຕ້ແຍ້ງ. ການຂັດຂວາງໃນລະດັບ DNS (DNS-over-HTTPS ບໍ່ສາມາດທົດແທນ VPN ໃນການຂ້າມການບລັອກທີ່ປະຕິບັດຢູ່ໃນລະດັບ DPI) ຫຼືສໍາລັບການຈັດຕັ້ງການເຮັດວຽກໃນເວລາທີ່ບໍ່ສາມາດເຂົ້າຫາເຄື່ອງແມ່ຂ່າຍ DNS ໂດຍກົງ (ຕົວຢ່າງ, ເມື່ອເຮັດວຽກຜ່ານຕົວແທນ). ຖ້າໃນສະຖານະການປົກກະຕິການຮ້ອງຂໍ DNS ຖືກສົ່ງໂດຍກົງໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ກໍານົດໄວ້ໃນການຕັ້ງຄ່າລະບົບ, ຫຼັງຈາກນັ້ນໃນກໍລະນີຂອງ DNS-over-HTTPS ການຮ້ອງຂໍເພື່ອກໍານົດທີ່ຢູ່ IP ຂອງເຈົ້າພາບແມ່ນ encapsulated ໃນການຈະລາຈອນ HTTPS ແລະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ HTTP, ບ່ອນທີ່ ຕົວແກ້ໄຂດໍາເນີນການຮ້ອງຂໍຜ່ານ Web API.

"DNS over TLS" ແຕກຕ່າງຈາກ "DNS over HTTPS" ໃນການນໍາໃຊ້ໂປໂຕຄອນ DNS ມາດຕະຖານ (ປົກກະຕິພອດເຄືອຂ່າຍ 853), ຫໍ່ຢູ່ໃນຊ່ອງທາງການສື່ສານທີ່ຖືກເຂົ້າລະຫັດທີ່ຖືກຈັດຕັ້ງໂດຍໃຊ້ໂປໂຕຄອນ TLS ດ້ວຍການກວດສອບຄວາມຖືກຕ້ອງຂອງເຈົ້າພາບໂດຍຜ່ານໃບຢັ້ງຢືນ TLS / SSL ທີ່ໄດ້ຮັບການຮັບຮອງ. ໂດຍອົງການຢັ້ງຢືນ. ມາດຕະຖານ DNSSEC ທີ່ມີຢູ່ແລ້ວໃຊ້ການເຂົ້າລະຫັດພຽງແຕ່ເພື່ອພິສູດຢືນຢັນລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ, ແຕ່ບໍ່ໄດ້ປົກປ້ອງການຈະລາຈອນຈາກການຂັດຂວາງແລະບໍ່ຮັບປະກັນຄວາມລັບຂອງຄໍາຮ້ອງຂໍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru