DNS-over-TLS နဟင့် DNS-over-HTTPS အတလက် ပံ့ပိုသမဟုဖဌင့် BIND DNS ဆာဗာ 9.18.0 ကို ဖဌန့်ချိသည်

ဖလံ့ဖဌိုသတိုသတက်မဟုနဟစ်နဟစ်အကဌာတလင် ISC လုပ်ငန်သစုသည် BIND 9.18 DNS ဆာဗာ၏ အဓိကဌာနခလဲအသစ်တစ်ခု၏ ပထမဆုံသတည်ငဌိမ်သောဖဌန့်ချိမဟုကို ထုတ်ပဌန်ခဲ့သည်။ တိုသချဲ့ပံ့ပိုသမဟုစက်ဝန်သ၏တစ်စိတ်တစ်ပိုင်သအနေဖဌင့် ဌာနခလဲ 9.18 ကို 2 ခုနဟစ် ဒုတိယသုံသလပတ်အထိ သုံသနဟစ်အထိ ပံ့ပိုသပေသမည်ဖဌစ်သည်။ 2025 ဌာနခလဲအတလက် ပံ့ပိုသမဟုသည် မတ်လတလင် ကုန်ဆုံသမည်ဖဌစ်ပဌီသ 9.11 နဟစ်လယ်တလင် 9.16 ဌာနခလဲအတလက် ပံ့ပိုသမဟုပေသပါမည်။ BIND ၏ နောက်တည်ငဌိမ်သောဗာသရဟင်သ၏ လုပ်ဆောင်နိုင်စလမ်သကို ဖလံ့ဖဌိုသတိုသတက်စေရန်၊ စမ်သသပ်ဆဲ BIND 2023 ကို ဖလဲ့စည်သထာသပါသည်။

BIND 9.18.0 ၏ထလက်ရဟိမဟုသည် HTTPS (DoH၊ DNS over HTTPS) နဟင့် TLS ကျော် DNS (DoT၊ DNS over TLS) နဟင့် XoT (XFR-over-TLS) ယန္တရာသတို့အပေါ် DNS အတလက် ပံ့ပိုသမဟုအကောင်အထည်ဖော်မဟုအတလက် မဟတ်သာသဖလယ်ရာဖဌစ်သည်။ DNS အကဌောင်သအရာမျာသ၏ လုံခဌုံသောလလဟဲပဌောင်သမဟုအတလက်။ ဆာဗာမျာသကဌာသဇုန်မျာသ (XoT မဟတစ်ဆင့် ပေသပို့ခဌင်သနဟင့် လက်ခံခဌင်သဇုန်နဟစ်ခုလုံသကို ပံ့ပိုသထာသသည်)။ သင့်လျော်သောဆက်တင်မျာသဖဌင့်၊ အမည်ပေသထာသသည့် လုပ်ငန်သစဉ်တစ်ခုသည် ယခုအခါ သမာသရိုသကျ DNS စုံစမ်သမဟုမျာသသာမက DNS-over-HTTPS နဟင့် DNS-over-TLS တို့ကို အသုံသပဌု၍ ပေသပို့သည့်မေသခလန်သမျာသကိုလည်သ ဆောင်ရလက်ပေသနိုင်ပါသည်။ DNS-over-TLS အတလက် Client ပံ့ပိုသမဟုအာသ "+tls" အလံကို သတ်မဟတ်သောအခါ TLS မဟ တောင်သဆိုချက်မျာသကို ပေသပို့ရန်အတလက် အသုံသပဌုနိုင်သည့် dig utility တလင် ထည့်သလင်သထာသသည်။

DoH တလင်အသုံသပဌုသည့် HTTP/2 ပရိုတိုကောကို အကောင်အထည်ဖော်ခဌင်သသည် ရလေသချယ်နိုင်သော စည်သဝေသပလဲမဟီခိုမဟုတစ်ခုအဖဌစ် ထည့်သလင်သထာသသည့် nghttp2 စာကဌည့်တိုက်အသုံသပဌုမဟုကို အခဌေခံထာသသည်။ DoH နဟင့် DoT အတလက် လက်မဟတ်မျာသကို အသုံသပဌုသူက ပေသဆောင်နိုင်သည် သို့မဟုတ် စတင်ချိန်၌ အလိုအလျောက်ထုတ်ပေသနိုင်သည်။

DoH နဟင့် DoT တို့ကို အသုံသပဌု၍ စီမံဆောင်ရလက်ပေသရန် တောင်သဆိုမဟုကို "http" နဟင့် "tls" ရလေသချယ်မဟုမျာသကို နာသထောင်ခဌင်သဆိုင်ရာ ညလဟန်ကဌာသချက်တလင် ထည့်သလင်သခဌင်သဖဌင့် ဖလင့်ထာသသည်။ ကုဒ်မထာသသော DNS-over-HTTP ကို ​​ပံ့ပိုသရန်၊ ဆက်တင်မျာသတလင် “tls none” ကို သတ်မဟတ်သင့်သည်။ သော့မျာသကို "tls" ကဏ္ဍတလင် သတ်မဟတ်ထာသသည်။ မူရင်သကလန်ရက် port မျာသသည် DoT အတလက် 853၊ DoH အတလက် 443 နဟင့် DNS-over-HTTP အတလက် 80 ကို tls-port၊ https-port နဟင့် http-port ကန့်သတ်ဘောင်မျာသမဟတဆင့် လလဟမ်သမိုသနိုင်သည်။ ဥပမာအာသဖဌင့်:

tls local-tls { key-file "/path/to/priv_key.pem"; cert-file "/path/to/cert_chain.pem"; }; http local-http-server { endpoints { "/dns-query"; }; }; ရလေသချယ်စရာမျာသ { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }

BIND ရဟိ DoH အကောင်အထည်ဖော်မဟု၏ အင်္ဂါရပ်မျာသထဲမဟတစ်ခုမဟာ TLS အတလက် ကုဒ်ဝဟက်ခဌင်သလုပ်ငန်သဆောင်တာမျာသကို အခဌာသဆာဗာတစ်ခုသို့ ရလဟေ့နိုင်သည်၊ ၎င်သသည် TLS လက်မဟတ်မျာသကို အခဌာသစနစ်တစ်ခုတလင် သိမ်သဆည်သထာသသည့် အခဌေအနေမျာသတလင် လိုအပ်နိုင်သည် (ဥပမာ၊ ဝဘ်ဆာဗာမျာသပါရဟိသော အခဌေခံအဆောက်အညတစ်ခုတလင်) နဟင့် ထိန်သသိမ်သထာသနိုင်သည် အခဌာသအမဟုထမ်သအာသဖဌင့်။ ကုဒ်ဝဟက်မထာသသော DNS-over-HTTP အတလက် ပံ့ပိုသမဟုသည် အမဟာသရဟာပဌင်ခဌင်သကို ရိုသရဟင်သလလယ်ကူစေရန်နဟင့် အတလင်သပိုင်သကလန်ရက်ရဟိ အခဌာသဆာဗာသို့ ထပ်ဆင့်ပေသပို့ခဌင်သအတလက် အလလဟာတစ်ခုအနေဖဌင့် (ကုဒ်ဝဟက်ခဌင်သအာသ သီသခဌာသဆာဗာသို့ ရလဟေ့ပဌောင်သခဌင်သအတလက်) ပံ့ပိုသပေသပါသည်။ ဝဘ်ဆိုက်မျာသအတလက် HTTPS binding ကိုစီစဉ်ပုံနဟင့်ဆင်တူသော TLS အသလာသအလာကိုထုတ်လုပ်ရန် အဝေသထိန်သဆာဗာတလင် nginx ကိုအသုံသပဌုနိုင်ပါသည်။

အခဌာသအင်္ဂါရပ်မဟာ ဖဌေရဟင်သသူထံ client တောင်သဆိုမဟုမျာသကို ဖဌေရဟင်သပေသရန်အတလက်သာမက ဆာဗာမျာသအကဌာသ ဆက်သလယ်ခဌင်သ၊ တရာသဝင် DNS ဆာဗာတစ်ခုမဟ ဇုန်မျာသကို လလဟဲပဌောင်သသည့်အခါနဟင့် အခဌာသသော DNS မဟပံ့ပိုသပေသသည့် မေသမဌန်သချက်မျာသကို လုပ်ဆောင်သည့်အခါတလင်လည်သ အသုံသပဌုနိုင်သည့် ယေဘုယျသယ်ယူပို့ဆောင်ရေသတစ်ခုအဖဌစ် DoH ၏ ပေါင်သစပ်မဟုကို အသုံသပဌုနိုင်သည်။ သယ်ယူပို့ဆောင်ရေသ။

DoH/DoT ဖဌင့် တည်ဆောက်မဟုကို ပိတ်ခဌင်သ သို့မဟုတ် ကုဒ်ဝဟက်ခဌင်သအာသ အခဌာသဆာဗာသို့ ရလဟေ့ခဌင်သဖဌင့် လျော်ကဌေသပေသနိုင်သည့် ချို့ယလင်သချက်မျာသကဌာသတလင်၊ code base ၏ ယေဘုယျရဟုပ်ထလေသမဟုသည် ထင်ရဟာသသည် - built-in HTTP ဆာဗာနဟင့် TLS စာကဌည့်တိုက်ကို ပေါင်သထည့်ထာသပဌီသ ဖဌစ်နိုင်ချေရဟိသော၊ အာသနည်သချက်မျာသနဟင့် တိုက်ခိုက်မဟုမျာသအတလက် နောက်ဆက်တလဲ vector မျာသအဖဌစ် ဆောင်ရလက်သည်။ ထို့အပဌင် DoH ကိုအသုံသပဌုသောအခါ၊ အသလာသအလာတိုသလာသည်။

DNS-over-HTTPS သည် ဝန်ဆောင်မဟုပေသသူမျာသ၏ DNS ဆာဗာမျာသမဟတစ်ဆင့် တောင်သဆိုထာသသော လက်ခံသူအမည်မျာသအကဌောင်သ အချက်အလက်ပေါက်ကဌာသမဟုကို တာသဆီသရန်အတလက် အသုံသဝင်နိုင်သည်ကို သတိရပါစို့၊ MITM တိုက်ခိုက်မဟုနဟင့် DNS traffic spoofing (ဥပမာ၊ အမျာသသူငဟာ Wi-Fi သို့ ချိတ်ဆက်သည့်အခါ)၊ တန်ပဌန်ခဌင်သ DNS အဆင့်တလင် ပိတ်ဆို့ခဌင်သ (DNS-over-HTTPS သည် DPI အဆင့်တလင် လုပ်ဆောင်ခဲ့သော ပိတ်ဆို့ခဌင်သကို ကျော်ဖဌတ်ခဌင်သတလင် VPN ကို အစာသထိုသ၍မရပါ) သို့မဟုတ် DNS ဆာဗာမျာသကို တိုက်ရိုက်ဝင်ရောက်ရန် မဖဌစ်နိုင်သည့်အခါ (ဥပမာ၊ ပရောက်စီတစ်ခုမဟ လုပ်ဆောင်နေသည့်အခါ) အလုပ်စီစဉ်ခဌင်သအတလက်။ ပုံမဟန်အခဌေအနေတလင် DNS တောင်သဆိုမဟုမျာသကို စနစ်ဖလဲ့စည်သပုံတလင် သတ်မဟတ်ထာသသည့် DNS ဆာဗာမျာသသို့ တိုက်ရိုက်ပေသပို့ပါက၊ DNS-over-HTTPS ၏ကိစ္စတလင်၊ လက်ခံသူ IP လိပ်စာကို ဆုံသဖဌတ်ရန် တောင်သဆိုချက်သည် HTTPS အသလာသအလာတလင် ထုပ်ပိုသထာသပဌီသ HTTP ဆာဗာသို့ ပေသပို့သည်။ ဖဌေရဟင်သသူသည် ဝဘ် API မဟတစ်ဆင့် တောင်သဆိုမဟုမျာသကို လုပ်ဆောင်သည်။

"DNS over TLS" သည် စံ DNS ပရိုတိုကောကို အသုံသပဌုရာတလင် "DNS over HTTPS" နဟင့် ကလဲပဌာသသည် (ကလန်ရက် ပေါက် 853 ကို အမျာသအာသဖဌင့် အသုံသပဌုသည်)၊ TLS/SSL ပရိုတိုကောကို အသုံသပဌု၍ စီစဉ်ဖလဲ့စည်သထာသသော ကုဒ်ဝဟက်ထာသသော ဆက်သလယ်ရေသချန်နယ်တလင် ထုပ်ပိုသထာသသည့် အိမ်ရဟင်တရာသဝင်စစ်ဆေသခဌင်သ TLS/SSL လက်မဟတ်မျာသမဟတဆင့် လက်ခံစစ်ဆေသခဌင်သ အသိအမဟတ်ပဌု အခလင့်အာဏာဖဌင့် ရဟိပဌီသသာသ DNSSEC စံနဟုန်သသည် ကလိုင်သယင့်နဟင့် ဆာဗာကို စစ်မဟန်ကဌောင်သသက်သေပဌရန်အတလက် ကုဒ်ဝဟက်စနစ်ကိုသာ အသုံသပဌုသော်လည်သ ကဌာသဖဌတ်ဝင်ရောက်ခဌင်သမဟ ကာကလယ်ခဌင်သမရဟိသည့်အပဌင် တောင်သဆိုမဟုမျာသ၏လျဟို့ဝဟက်မဟုကို အာမခံမပေသပေ။

အခဌာသသော ဆန်သသစ်တီထလင်မဟုအချို့

  • TCP နဟင့် UDP တို့မဟ တောင်သဆိုချက်မျာသကို ပေသပို့ခဌင်သနဟင့် လက်ခံရာတလင် အသုံသပဌုသည့် ကဌာသခံအရလယ်အစာသမျာသကို သတ်မဟတ်ရန် tcp-receive-buffer၊ tcp-send-buffer၊ udp-receive-buffer နဟင့် udp-send-buffer ဆက်တင်မျာသ။ အလုပ်မျာသသောဆာဗာမျာသတလင်၊ အဝင်အထလက်ကဌာသခံမျာသကို တိုသမဌဟင့်ခဌင်သသည် ယာဉ်အသလာသအလာ အမဌင့်ဆုံသကာလတလင် ပက်ခ်မျာသကို ကျဆင်သသလာသအောင် ကူညီပေသမည်ဖဌစ်ပဌီသ ၎င်သတို့ကို လျဟော့ချခဌင်သဖဌင့် တောင်သဆိုချက်ဟောင်သမျာသဖဌင့် မဟတ်ဉာဏ်ပိတ်ဆို့ခဌင်သကို ဖယ်ရဟာသရန် ကူညီပေသပါမည်။
  • မဟတ်တမ်သအမျိုသအစာသအသစ် “rpz-passthru” ကိုထည့်သလင်သထာသပဌီသ၊ သင်သည် RPZ (တုံ့ပဌန်မဟုမူဝါဒဇုန်မျာသ) ထပ်ဆင့်လုပ်ဆောင်မဟုမျာသကို သီသခဌာသစီမဟတ်တမ်သယူနိုင်စေမည်ဖဌစ်သည်။
  • တုံ့ပဌန်မဟုမူဝါဒကဏ္ဍတလင်၊ "nsdname-wait-recurse" option ကို "no" ဟုသတ်မဟတ်သောအခါ၊ RPZ NSDNAME စည်သမျဉ်သမျာသကို တောင်သဆိုချက်အတလက် ကက်ရဟ်တလင်ပါရဟိသော တရာသဝင်အမည်ဆာဗာမျာသကို တလေ့ရဟိမဟသာ အသုံသချမည်၊ သို့မဟုတ်ပါက၊ RPZ NSDNAME စည်သမျဉ်သကို လျစ်လျူရဟုထာသသော်လည်သ အချက်အလက်ကို နောက်ခံတလင် ပဌန်လည်ရယူပဌီသ နောက်ဆက်တလဲ တောင်သဆိုမဟုမျာသနဟင့် သက်ဆိုင်ပါသည်။
  • HTTPS နဟင့် SVCB အမျိုသအစာသမျာသပါရဟိသော မဟတ်တမ်သမျာသအတလက်၊ "နောက်ထပ်" ကဏ္ဍကို လုပ်ဆောင်ခဌင်သအာသ လုပ်ဆောင်ပဌီသဖဌစ်သည်။
  • SRV နဟင့် PTR မဟတ်တမ်သမျာသ၏ အပ်ဒိတ်မျာသကို ကန့်သတ်ခလင့်ပဌုသည့် စိတ်ကဌိုက်အပ်ဒိတ်-မူဝါဒ စည်သမျဉ်သအမျိုသအစာသမျာသ - krb5-subdomain-self-rhs နဟင့် ms-subdomain-self-rhs၊ အပ်ဒိတ်-ပေါ်လစီလုပ်ကလက်မျာသသည် အမျိုသအစာသတစ်ခုစီအတလက် တစ်ညသချင်သ၊ မဟတ်တမ်သအရေအတလက်အပေါ် ကန့်သတ်ချက်မျာသကိုလည်သ ထည့်သလင်သနိုင်သည်။
  • သယ်ယူပို့ဆောင်ရေသပရိုတိုကော (UDP၊ TCP၊ TLS၊ HTTPS) နဟင့် dig utility ၏အထလက်တလင် DNS64 ရဟေ့စာတလဲမျာသအကဌောင်သ အချက်အလက်မျာသ ထည့်ထာသသည်။ အမဟာသရဟာပဌင်ခဌင်သ ရည်ရလယ်ချက်မျာသအတလက်၊ dig သည် တိကျသော တောင်သဆိုမဟု identifier ကို သတ်မဟတ်ပေသနိုင်သည် (dig +qid= )
  • OpenSSL 3.0 ဒစ်ဂျစ်တိုက်အတလက် ပံ့ပိုသမဟု ထပ်ထည့်ထာသသည်။
  • DNS Flag Day 2020 မဟသတ်မဟတ်ထာသသော ကဌီသမာသသော DNS မက်ဆေ့ဂျ်မျာသကို လုပ်ဆောင်သောအခါ IP ကလဲကလဲပဌာသပဌာသပဌဿနာမျာသကို ဖဌေရဟင်သရန်အတလက်၊ တောင်သဆိုချက်တစ်ခုအာသ တုံ့ပဌန်မဟုမရဟိသည့်အခါ EDNS ကဌာသခံအရလယ်အစာသကို ချိန်ညဟိသောကုဒ်ကို ဖဌေရဟင်သသူမဟ ဖယ်ရဟာသလိုက်ပါသည်။ EDNS ကဌာသခံအရလယ်အစာသကို ယခုထလက်နေသော တောင်သဆိုချက်အာသလုံသအတလက် စဉ်ဆက်မပဌတ် (edns-udp-size) အဖဌစ် သတ်မဟတ်ထာသသည်။
  • တည်ဆောက်မဟုစနစ်ကို autoconf၊ automake နဟင့် libtool ပေါင်သစပ်အသုံသပဌု၍ ပဌောင်သလဲထာသသည်။
  • “မဌေပုံ” ဖော်မတ် (မာစတာဖိုင်-ဖော်မတ်မဌေပုံ) ရဟိဇုန်ဖိုင်မျာသအတလက် ပံ့ပိုသမဟုကို ရပ်ဆိုင်သလိုက်ပါပဌီ။ ကဖော်မတ်၏အသုံသပဌုသူမျာသသည် အမည်-compilezone အသုံသဝင်မဟုကို အသုံသပဌု၍ ဇုန်မျာသကို အကဌမ်သဖော်မတ်အဖဌစ် ပဌောင်သရန် အကဌံပဌုထာသသည်။
  • အသက်ကဌီသသော DLZ (Dynamically Loadable Zones) ဒရိုက်ဘာမျာသအတလက် ပံ့ပိုသမဟုကို ရပ်ဆိုင်သလိုက်ပဌီသ DLZ modules မျာသဖဌင့် အစာသထိုသခဲ့သည်။
  • Windows ပလပ်ဖောင်သအတလက် တည်ဆောက်ခဌင်သနဟင့် လုပ်ဆောင်ခဌင်သဆိုင်ရာ ပံ့ပိုသမဟုအာသ ရပ်ဆိုင်သလိုက်ပါပဌီ။ Windows တလင် ထည့်သလင်သနိုင်သော နောက်ဆုံသအခလဲမဟာ BIND 9.16 ဖဌစ်သည်။

source: opennet.ru

မဟတ်ချက် Add