DNS-over-TLS, DNS-over-HTTPS എന്നിവയ്ക്കുള്ള പിന്തുണയോടെ BIND DNS സെർവർ 9.18.0-ന്റെ റിലീസ്

രണ്ട് വർഷത്തെ വികസനത്തിന് ശേഷം, BIND 9.18 DNS സെർവറിന്റെ ഒരു പ്രധാന പുതിയ ശാഖയുടെ ആദ്യ സ്ഥിരതയുള്ള റിലീസ് ISC കൺസോർഷ്യം പുറത്തിറക്കി. വിപുലീകൃത പിന്തുണാ സൈക്കിളിന്റെ ഭാഗമായി 9.18-ന്റെ രണ്ടാം പാദം വരെ ശാഖ 2-ന് മൂന്ന് വർഷത്തേക്ക് പിന്തുണ നൽകും. 2025 ബ്രാഞ്ചിനുള്ള പിന്തുണ മാർച്ചിലും 9.11 ബ്രാഞ്ചിനുള്ള പിന്തുണ 9.16 മധ്യത്തിലും അവസാനിക്കും. BIND-ന്റെ അടുത്ത സ്ഥിരതയുള്ള പതിപ്പിന്റെ പ്രവർത്തനക്ഷമത വികസിപ്പിക്കുന്നതിന്, BIND 2023 എന്ന പരീക്ഷണാത്മക ശാഖ രൂപീകരിച്ചു.

DNS ഓവർ HTTPS (DoH, DNS ഓവർ HTTPS), DNS ഓവർ TLS (DoT, DNS ഓവർ TLS), കൂടാതെ XoT (XFR-over-TLS) മെക്കാനിസം എന്നിവയ്ക്കുള്ള പിന്തുണ നടപ്പിലാക്കുന്നതിൽ BIND 9.18.0 ന്റെ റിലീസ് ശ്രദ്ധേയമാണ്. DNS ഉള്ളടക്കത്തിന്റെ സുരക്ഷിതമായ കൈമാറ്റത്തിനായി സെർവറുകൾക്കിടയിലുള്ള സോണുകൾ (XoT വഴി സോണുകൾ അയയ്ക്കുന്നതും സ്വീകരിക്കുന്നതും പിന്തുണയ്ക്കുന്നു). ഉചിതമായ സജ്ജീകരണങ്ങളോടെ, പേരിട്ടിരിക്കുന്ന ഒരൊറ്റ പ്രോസസ്സിന് ഇപ്പോൾ പരമ്പരാഗത DNS അന്വേഷണങ്ങൾ മാത്രമല്ല, DNS-over-HTTPS, DNS-over-TLS എന്നിവ ഉപയോഗിച്ച് അയയ്‌ക്കുന്ന ചോദ്യങ്ങളും നൽകാനാകും. DNS-over-TLS-നുള്ള ക്ലയന്റ് പിന്തുണ ഡിഗ് യൂട്ടിലിറ്റിയിലാണ് നിർമ്മിച്ചിരിക്കുന്നത്, "+tls" ഫ്ലാഗ് വ്യക്തമാക്കുമ്പോൾ TLS-ലൂടെ അഭ്യർത്ഥനകൾ അയയ്ക്കാൻ ഇത് ഉപയോഗിക്കാം.

DoH-ൽ ഉപയോഗിക്കുന്ന HTTP/2 പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുന്നത് nghttp2 ലൈബ്രറിയുടെ ഉപയോഗത്തെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്, ഇത് ഒരു ഓപ്ഷണൽ അസംബ്ലി ഡിപൻഡൻസിയായി ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. DoH, DoT എന്നിവയ്‌ക്കുള്ള സർട്ടിഫിക്കറ്റുകൾ ഉപയോക്താവിന് നൽകാം അല്ലെങ്കിൽ സ്റ്റാർട്ടപ്പ് സമയത്ത് സ്വയമേവ സൃഷ്‌ടിക്കാം.

ലിസൻ-ഓൺ നിർദ്ദേശത്തിലേക്ക് "http", "tls" ഓപ്ഷനുകൾ ചേർത്ത് DoH, DoT എന്നിവ ഉപയോഗിച്ചുള്ള അഭ്യർത്ഥന പ്രോസസ്സിംഗ് പ്രവർത്തനക്ഷമമാക്കുന്നു. എൻക്രിപ്റ്റ് ചെയ്യാത്ത DNS-ഓവർ-എച്ച്ടിടിപി പിന്തുണയ്ക്കാൻ, നിങ്ങൾ ക്രമീകരണങ്ങളിൽ "tls ഒന്നുമില്ല" എന്ന് വ്യക്തമാക്കണം. "tls" വിഭാഗത്തിൽ കീകൾ നിർവ്വചിച്ചിരിക്കുന്നു. tls-port, https-port, http-port പാരാമീറ്ററുകൾ വഴി DoT-നുള്ള ഡിഫോൾട്ട് നെറ്റ്‌വർക്ക് പോർട്ടുകൾ 853, DoH-ന് 443, DNS-ഓവർ-HTTP-ന് 80 എന്നിവ അസാധുവാക്കാനാകും. ഉദാഹരണത്തിന്:

tls ലോക്കൽ-ടിഎൽഎസ് {കീ-ഫയൽ "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http ലോക്കൽ-http-സെർവർ { endpoints { "/dns-query"; }; }; ഓപ്ഷനുകൾ { https-port 443; ലിസൻ-ഓൺ പോർട്ട് 443 ടിഎൽഎസ് ലോക്കൽ-ടിഎൽഎസ് http myserver {any;}; }

TLS-നുള്ള എൻക്രിപ്ഷൻ പ്രവർത്തനങ്ങൾ മറ്റൊരു സെർവറിലേക്ക് മാറ്റാനുള്ള കഴിവാണ് BIND-ലെ DoH നടപ്പിലാക്കുന്നതിന്റെ ഒരു സവിശേഷത, TLS സർട്ടിഫിക്കറ്റുകൾ മറ്റൊരു സിസ്റ്റത്തിൽ (ഉദാഹരണത്തിന്, വെബ് സെർവറുകളുള്ള ഒരു ഇൻഫ്രാസ്ട്രക്ചറിൽ) സംഭരിക്കുകയും പരിപാലിക്കുകയും ചെയ്യുന്ന സാഹചര്യങ്ങളിൽ ഇത് ആവശ്യമായി വന്നേക്കാം. മറ്റ് ഉദ്യോഗസ്ഥർ വഴി. ഡീബഗ്ഗിംഗ് ലളിതമാക്കുന്നതിനും ആന്തരിക നെറ്റ്‌വർക്കിലെ മറ്റൊരു സെർവറിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നതിനുള്ള ഒരു ലെയറായും (പ്രത്യേക സെർവറിലേക്ക് എൻക്രിപ്ഷൻ നീക്കുന്നതിന്) എൻക്രിപ്റ്റ് ചെയ്യാത്ത ഡിഎൻഎസ്-ഓവർ-എച്ച്ടിടിപിക്കുള്ള പിന്തുണ നടപ്പിലാക്കുന്നു. ഒരു റിമോട്ട് സെർവറിൽ, വെബ്‌സൈറ്റുകൾക്കായി HTTPS ബൈൻഡിംഗ് എങ്ങനെ ഓർഗനൈസുചെയ്യുന്നു എന്നതിന് സമാനമായി TLS ട്രാഫിക് സൃഷ്ടിക്കാൻ nginx ഉപയോഗിക്കാം.

റിസോൾവറിലേക്കുള്ള ക്ലയന്റ് അഭ്യർത്ഥനകൾ കൈകാര്യം ചെയ്യാൻ മാത്രമല്ല, സെർവറുകൾക്കിടയിൽ ആശയവിനിമയം നടത്തുമ്പോഴും ആധികാരിക DNS സെർവർ വഴി സോണുകൾ കൈമാറുമ്പോഴും മറ്റ് DNS പിന്തുണയ്‌ക്കുന്ന അന്വേഷണങ്ങൾ പ്രോസസ്സ് ചെയ്യുമ്പോഴും ഉപയോഗിക്കാവുന്ന ഒരു പൊതു ഗതാഗതമായി DoH-ന്റെ സംയോജനമാണ് മറ്റൊരു സവിശേഷത. ഗതാഗതം.

DoH/DoT ഉപയോഗിച്ച് ബിൽഡ് അപ്രാപ്‌തമാക്കുന്നതിലൂടെയോ മറ്റൊരു സെർവറിലേക്ക് എൻക്രിപ്ഷൻ നീക്കുന്നതിലൂടെയോ നികത്താവുന്ന പോരായ്മകളിൽ, കോഡ് ബേസിന്റെ പൊതുവായ സങ്കീർണത വേറിട്ടുനിൽക്കുന്നു - ഒരു ബിൽറ്റ്-ഇൻ HTTP സെർവറും TLS ലൈബ്രറിയും ചേർത്തിരിക്കുന്നു, അതിൽ കേടുപാടുകൾ ഉണ്ടാകാൻ സാധ്യതയുണ്ട്. കൂടാതെ അധിക ആക്രമണ വാഹകരായി പ്രവർത്തിക്കുന്നു. കൂടാതെ, DoH ഉപയോഗിക്കുമ്പോൾ, ട്രാഫിക് വർദ്ധിക്കുന്നു.

ദാതാക്കളുടെ ഡിഎൻഎസ് സെർവറുകളിലൂടെ അഭ്യർത്ഥിച്ച ഹോസ്റ്റ് പേരുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ചോരുന്നത് തടയുന്നതിനും MITM ആക്രമണങ്ങളെയും DNS ട്രാഫിക് സ്പൂഫിംഗിനെയും പ്രതിരോധിക്കുന്നതിനും (ഉദാഹരണത്തിന്, പബ്ലിക് വൈഫൈയിലേക്ക് കണക്റ്റുചെയ്യുമ്പോൾ) പ്രതിരോധിക്കുന്നതിന് DNS-over-HTTPS ഉപയോഗപ്രദമാകുമെന്ന് നമുക്ക് ഓർക്കാം. ഡിഎൻഎസ് തലത്തിൽ തടയൽ (ഡിപിഐ തലത്തിൽ നടപ്പിലാക്കിയ തടയൽ ബൈപാസ് ചെയ്യുന്നതിൽ ഡിഎൻഎസ്-ഓവർ-എച്ച്ടിടിപിഎസ് ഒരു വിപിഎൻ മാറ്റിസ്ഥാപിക്കാനാകില്ല) അല്ലെങ്കിൽ ഡിഎൻഎസ് സെർവറുകൾ നേരിട്ട് ആക്സസ് ചെയ്യാൻ കഴിയാത്തപ്പോൾ ജോലി സംഘടിപ്പിക്കുന്നതിന് (ഉദാഹരണത്തിന്, ഒരു പ്രോക്സി വഴി പ്രവർത്തിക്കുമ്പോൾ). ഒരു സാധാരണ സാഹചര്യത്തിൽ, സിസ്റ്റം കോൺഫിഗറേഷനിൽ നിർവചിച്ചിരിക്കുന്ന DNS സെർവറുകളിലേക്ക് DNS അഭ്യർത്ഥനകൾ നേരിട്ട് അയയ്‌ക്കുകയാണെങ്കിൽ, DNS-ഓവർ-HTTPS-ന്റെ കാര്യത്തിൽ, ഹോസ്റ്റ് IP വിലാസം നിർണ്ണയിക്കുന്നതിനുള്ള അഭ്യർത്ഥന HTTPS ട്രാഫിക്കിൽ ഉൾപ്പെടുത്തി HTTP സെർവറിലേക്ക് അയയ്‌ക്കുന്നു. വെബ് API വഴി അഭ്യർത്ഥനകൾ പരിഹരിക്കുന്നയാൾ പ്രോസസ്സ് ചെയ്യുന്നു.

TLS/SSL സർട്ടിഫിക്കറ്റുകൾ സാക്ഷ്യപ്പെടുത്തിയ ഹോസ്റ്റ് സാധുത പരിശോധിക്കുന്ന TLS പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് സംഘടിപ്പിച്ച ഒരു എൻക്രിപ്റ്റഡ് കമ്മ്യൂണിക്കേഷൻ ചാനലിൽ പൊതിഞ്ഞ് സ്റ്റാൻഡേർഡ് DNS പ്രോട്ടോക്കോൾ (നെറ്റ്‌വർക്ക് പോർട്ട് 853 സാധാരണയായി ഉപയോഗിക്കുന്നു) ഉപയോഗത്തിൽ "DNS ഓവർ TLS" എന്നതിൽ നിന്ന് വ്യത്യസ്തമാണ്. ഒരു സർട്ടിഫിക്കേഷൻ അതോറിറ്റി മുഖേന. നിലവിലുള്ള DNSSEC സ്റ്റാൻഡേർഡ് ക്ലയന്റിനെയും സെർവറിനെയും പ്രാമാണീകരിക്കുന്നതിന് മാത്രമാണ് എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നത്, എന്നാൽ തടസ്സങ്ങളിൽ നിന്ന് ട്രാഫിക്കിനെ സംരക്ഷിക്കുന്നില്ല, അഭ്യർത്ഥനകളുടെ രഹസ്യാത്മകത ഉറപ്പുനൽകുന്നില്ല.

മറ്റ് ചില പുതുമകൾ:

• TCP, UDP എന്നിവയിലൂടെ അഭ്യർത്ഥനകൾ അയയ്‌ക്കുമ്പോഴും സ്വീകരിക്കുമ്പോഴും ഉപയോഗിക്കുന്ന ബഫറുകളുടെ വലുപ്പങ്ങൾ സജ്ജമാക്കാൻ tcp-receive-buffer, tcp-send-buffer, udp-receive-buffer, udp-send-buffer ക്രമീകരണങ്ങൾ ചേർത്തു. തിരക്കുള്ള സെർവറുകളിൽ, ഇൻകമിംഗ് ബഫറുകൾ വർദ്ധിപ്പിക്കുന്നത് ട്രാഫിക് പീക്കുകളിൽ പാക്കറ്റുകൾ ഡ്രോപ്പ് ചെയ്യുന്നത് ഒഴിവാക്കാൻ സഹായിക്കും, കൂടാതെ അവ കുറയ്ക്കുന്നത് പഴയ അഭ്യർത്ഥനകളിലെ മെമ്മറി തടസ്സം ഒഴിവാക്കാൻ സഹായിക്കും.
• RPZ (പ്രതികരണ നയ മേഖലകൾ) ഫോർവേഡിംഗ് പ്രവർത്തനങ്ങൾ പ്രത്യേകം ലോഗ് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു പുതിയ ലോഗ് വിഭാഗം "rpz-passthru" ചേർത്തു.
• പ്രതികരണ-നയ വിഭാഗത്തിൽ, "nsdname-wait-recurse" ഓപ്ഷൻ ചേർത്തു, "ഇല്ല" എന്ന് സജ്ജീകരിക്കുമ്പോൾ, അഭ്യർത്ഥനയ്‌ക്കായി കാഷെയിൽ നിലവിലുള്ള ആധികാരിക നാമ സെർവറുകൾ കണ്ടെത്തിയാൽ മാത്രമേ RPZ NSDNAME നിയമങ്ങൾ ബാധകമാകൂ, അല്ലാത്തപക്ഷം RPZ NSDNAME റൂൾ അവഗണിക്കപ്പെട്ടു, പക്ഷേ വിവരങ്ങൾ പശ്ചാത്തലത്തിൽ വീണ്ടെടുക്കുകയും തുടർന്നുള്ള അഭ്യർത്ഥനകൾക്ക് ബാധകമാവുകയും ചെയ്യുന്നു.
• HTTPS, SVCB തരങ്ങളുള്ള റെക്കോർഡുകൾക്കായി, "അഡീഷണൽ" വിഭാഗത്തിന്റെ പ്രോസസ്സിംഗ് നടപ്പിലാക്കി.
• ഇഷ്‌ടാനുസൃത അപ്‌ഡേറ്റ്-നയ റൂൾ തരങ്ങൾ ചേർത്തു - krb5-subdomain-self-rhs, ms-subdomain-self-rhs, ഇത് SRV, PTR റെക്കോർഡുകളുടെ അപ്‌ഡേറ്റ് പരിമിതപ്പെടുത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഓരോ തരത്തിനും വ്യക്തിഗതമായ റെക്കോർഡുകളുടെ എണ്ണത്തിൽ പരിധി സജ്ജീകരിക്കാനുള്ള കഴിവും അപ്‌ഡേറ്റ്-പൊളിസി ബ്ലോക്കുകൾ ചേർക്കുന്നു.
• ഡിഗ് യൂട്ടിലിറ്റിയുടെ ഔട്ട്പുട്ടിലേക്ക് ട്രാൻസ്പോർട്ട് പ്രോട്ടോക്കോൾ (UDP, TCP, TLS, HTTPS), DNS64 പ്രിഫിക്സുകൾ എന്നിവയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ചേർത്തു. ഡീബഗ്ഗിംഗ് ആവശ്യങ്ങൾക്കായി, ഒരു നിർദ്ദിഷ്ട അഭ്യർത്ഥന ഐഡന്റിഫയർ വ്യക്തമാക്കാനുള്ള കഴിവ് dig ചേർത്തിട്ടുണ്ട് (dig +qid= ).
• OpenSSL 3.0 ലൈബ്രറിക്കുള്ള പിന്തുണ ചേർത്തു.
• DNS ഫ്ലാഗ് ഡേ 2020 തിരിച്ചറിഞ്ഞ വലിയ DNS സന്ദേശങ്ങൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ IP ഫ്രാഗ്മെന്റേഷനിലെ പ്രശ്നങ്ങൾ പരിഹരിക്കാൻ, ഒരു അഭ്യർത്ഥനയോട് പ്രതികരണം ഇല്ലാതിരിക്കുമ്പോൾ EDNS ബഫർ വലുപ്പം ക്രമീകരിക്കുന്ന കോഡ് റിസോൾവറിൽ നിന്ന് നീക്കം ചെയ്‌തു. എല്ലാ ഔട്ട്‌ഗോയിംഗ് അഭ്യർത്ഥനകൾക്കും EDNS ബഫർ വലുപ്പം ഇപ്പോൾ സ്ഥിരമായി (edns-udp-size) സജ്ജീകരിച്ചിരിക്കുന്നു.
• autoconf, automake, libtool എന്നിവയുടെ സംയോജനം ഉപയോഗിക്കുന്നതിലേക്ക് ബിൽഡ് സിസ്റ്റം മാറ്റി.
• "മാപ്പ്" ഫോർമാറ്റിലുള്ള സോൺ ഫയലുകൾക്കുള്ള പിന്തുണ (മാസ്റ്റർഫയൽ ഫോർമാറ്റ് മാപ്പ്) നിർത്തലാക്കി. ഈ ഫോർമാറ്റിന്റെ ഉപയോക്താക്കൾക്ക് പേരുള്ള കമ്പൈൽസോൺ യൂട്ടിലിറ്റി ഉപയോഗിച്ച് സോണുകളെ റോ ഫോർമാറ്റിലേക്ക് പരിവർത്തനം ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു.
• പഴയ DLZ (ഡൈനാമിക് ലോഡബിൾ സോണുകൾ) ഡ്രൈവറുകൾക്കുള്ള പിന്തുണ നിർത്തലാക്കി, പകരം DLZ മൊഡ്യൂളുകൾ.
• വിൻഡോസ് പ്ലാറ്റ്‌ഫോമിനായുള്ള ബിൽഡ് ആൻഡ് റൺ പിന്തുണ നിർത്തലാക്കി. വിൻഡോസിൽ ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയുന്ന അവസാന ബ്രാഞ്ച് BIND 9.16 ആണ്.

അവലംബം: opennet.ru