De ontwikkelaars van de DNS-server BIND hebben aangekondigd dat ze serverondersteuning voor de technologie\u00ebn \u2018DNS over HTTPS\u2019 (DoH, DNS over HTTPS) en DNS over TLS (DoT, DNS over TLS) hebben toegevoegd aan de experimentele tak 9.17, evenals een mechanisme voor XFR-over-TLS voor veilige overdracht van DNS-zone-inhoud tussen servers. DoH is beschikbaar voor testen in versie 9.17.10, en ondersteuning voor DoT is aanwezig sinds versie 9.17.7. Na stabilisatie zal ondersteuning voor DoT en DoH worden teruggezet naar de stabiele tak 9.16. <\/p>\n
De implementatie van het HTTP\/2-protocol, gebruikt in DoH, is gebaseerd op de toepassing van de nghttp2-bibliotheek, die tot de bouwafhankelijkheden behoort (de bibliotheek zal in de toekomst worden omgezet naar optionele afhankelijkheden). Zowel versleutelde (TLS) als niet-versleutelde verbindingen via HTTP\/2 worden ondersteund. Met de juiste instellingen kan \u00e9\u00e9n named-proces nu niet alleen traditionele DNS-verzoeken verwerken, maar ook verzoeken die zijn verzonden met behulp van DoH (DNS-over-HTTPS) en DoT (DNS-over-TLS). Ondersteuning voor HTTPS aan de clientszijde (dig) is nog niet ge\u00efmplementeerd. Ondersteuning voor XFR-over-TLS is beschikbaar voor zowel inkomende als uitgaande verzoeken. <\/p>\n
Verwerking van aanvragen met behulp van DoH en DoT wordt ingeschakeld door opties http en tls toe te voegen aan de listen-on-directive. Voor ondersteuning van onbeveiligde DNS-over-HTTP moet in de instellingen \u2018tls none\u2019 worden opgegeven. Sleutels worden gedefinieerd in de sectie \u2018tls\u2019. Standaard netwerkaansluitingen 853 voor DoT, 443 voor DoH en 80 voor DNS-over-HTTP kunnen worden overschreven via de parameters tls-port, https-port en http-port. Bijvoorbeeld: tls local-tls { key-file \u2018\/path\/to\/priv_key.pem\u2019; cert-file \u2018\/path\/to\/cert_chain.pem\u2019; }; http local-http-server { endpoints { \u2018\/dns-query\u2019; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Een kenmerk van de implementatie van DoH in BIND is de integratie als een algemeen transport, dat kan worden toegepast voor niet alleen het verwerken van verzoeken van clients aan de resolver, maar ook voor gegevensuitwisseling tussen servers, bij de overdracht van zones door een autoritatieve DNS-server en bij het verwerken van alle verzoeken die door andere DNS-transports worden ondersteund. <\/p>\n
Een andere functie is de mogelijkheid om TLS-encryptieoperaties naar een andere server te verplaatsen, wat nodig kan zijn wanneer TLS-certificaten op een ander systeem worden opgeslagen (bijvoorbeeld in een infrastructuur met webservers) en door ander personeel worden beheerd. Ondersteuning voor onbeveiligde DNS-over-HTTP is ge\u00efmplementeerd om debugging te vereenvoudigen en als niveau voor doorvoer in het interne netwerk, waarop versleuteling op een andere server kan worden georganiseerd. Op de externe server kan Nginx worden gebruikt voor het genereren van TLS-verkeer, vergelijkbaar met hoe HTTPS voor websites wordt opgezet. <\/p>\n
Ter herinnering, DNS-over-HTTPS kan nuttig zijn om lekken van informatie over aangevraagde hostnamen via de DNS-servers van providers te voorkomen, om MITM-aanvallen en vervalsing van DNS-verkeer (bijvoorbeeld bij verbinding met openbare Wi-Fi) tegen te gaan en om blokkades op DNS-niveau te omzeilen (DNS-over-HTTPS kan niet vervangen worden in de context van het omzeilen van blokkades die op DPI-niveau zijn gerealiseerd) of voor het organiseren van werking in gevallen waarin direct contact met DNS-servers niet mogelijk is (bijvoorbeeld bij het werken via een proxy). In een normale situatie worden DNS-aanvragen rechtstreeks naar bepaalde DNS-servers in de systeemconfiguratie gestuurd, maar in het geval van DNS-over-HTTPS wordt de aanvraag voor het bepalen VPN<\/a> van de host ingekapseld in HTTPS-verkeer en verzonden naar de HTTP-server, waar de resolver aanvragen verwerkt via een Web API. IP-adressen<\/a> Zorg ervoor dat je een eigen vertaling voor deze tekst maakt, als deze tekst anders is vermeld in de vereisten. <\/p>\n