Utviklarane av DNS-serveren BIND har kunngjort at det er lagt til serverst\u00f8tte for teknologiane \u00abDNS over HTTPS\u00bb (DoH, DNS over HTTPS) og DNS over TLS (DoT, DNS over TLS) i den eksperimentelle grenen 9.17, samt mekanismen XFR-over-TLS for sikker overf\u00f8ring av innholdet i DNS-soner mellom serverar. DoH er tilgjengeleg for testing i versjon 9.17.10, mens st\u00f8tte for DoT er tilgjengeleg fr\u00e5 versjon 9.17.7. Etter stabilisering vil st\u00f8tta for DoT og DoH bli bakportert til den stabile grenen 9.16. <\/p>\n
Implementeringen av protokollen HTTP\/2, som brukes i DoH, er basert p\u00e5 bruken av biblioteket nghttp2, som er inkludert blant byggeavhengighetene (i fremtiden planlegges biblioteket \u00e5 bli flyttet til kategori valgfrie avhengigheter). B\u00e5de krypterte (TLS) og ukrypterte forbindelser over HTTP\/2 st\u00f8ttes. Med de riktige innstillingene kan \u00e9n prosess named n\u00e5 h\u00e5ndtere ikke bare tradisjonelle DNS-foresp\u00f8rsel, men ogs\u00e5 foresp\u00f8rsel sendt med DoH (DNS-over-HTTPS) og DoT (DNS-over-TLS). St\u00f8tte for HTTPS p\u00e5 klientsiden (dig) er forel\u00f8pig ikke implementert; st\u00f8tte for XFR-over-TLS er tilgjengelig for b\u00e5de innkommende og utg\u00e5ende foresp\u00f8rsel. <\/p>\n
Handsaming av foresp\u00f8rselar med DoH og DoT aktiverast ved \u00e5 legge til alternativ for http og tls i listen-om-direktivet. For \u00e5 st\u00f8tte usikra DNS-over-HTTP, skal \u00abtls none\u00bb spesifiserast i innstillingane. N\u00f8klane definerast i seksjonen \u00abtls\u00bb. Standard nettverksporter 853 for DoT, 443 for DoH og 80 for DNS-over-HTTP kan overstyres gjennom parameterane tls-port, https-port og http-port. For eksempel: tls local-tls { key-file \u00ab\/path\/to\/priv_key.pem\u00bb; cert-file \u00ab\/path\/to\/cert_chain.pem\u00bb; }; http local-http-server { endpoints { \u00ab\/dns-query\u00bb; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
En av de spesielle egenskapene ved implementeringen av DoH i BIND er integreringen som et felles transportlag, som kan brukes ikke bare for h\u00e5ndtering av foresp\u00f8rsel fra klienter til resolveren, men ogs\u00e5 ved datadeling mellom serverne, ved overf\u00f8ring av soner fra autoritative DNS-servere og ved behandling av alle foresp\u00f8rsel som st\u00f8ttes av andre DNS-transporter. <\/p>\n
En annen funksjon er muligheten for \u00e5 flytte krypteringsoperasjoner for TLS til en annen server, noe som kan v\u00e6re n\u00f8dvendig n\u00e5r TLS-sertifikatene lagres p\u00e5 et annet system (for eksempel i en infrastruktur med webservere) og h\u00e5ndteres av annet personell. St\u00f8tte for ukryptert DNS-over-HTTP er implementert for \u00e5 forenkle feils\u00f8king og som et niv\u00e5 for \u00e5 videreformidle i det interne nettverket, hvor kryptering kan organiseres p\u00e5 en annen server. P\u00e5 den eksterne serveren for \u00e5 generere TLS-trafikk kan nginx brukes, analogt med hvordan HTTPS-binding er organisert for nettsteder. <\/p>\n
La oss minne om at DNS-over-HTTPS kan v\u00e6re nyttig for \u00e5 hindre lekkasje av informasjon om etterspurte vertsnavn gjennom DNS-servere fra leverand\u00f8rer, bekjempe MITM-angrep og forfalskning av DNS-trafikk (for eksempel n\u00e5r man kobler til offentlig Wi-Fi), motvirke blokker p\u00e5 DNS-niv\u00e5 (DNS-over-HTTPS kan ikke erstatte VPN<\/a> i forhold til \u00e5 omg\u00e5 blokker som er implementert p\u00e5 DPI-niv\u00e5) eller for \u00e5 organisere arbeid n\u00e5r direkte tilgang til DNS-servere ikke er mulig (for eksempel ved bruk av proxy). Hvis DNS-foresp\u00f8rslene vanligvis sendes direkte til systemkonfigurerte DNS-servere, s\u00e5 i tilfelle av DNS-over-HTTPS innkapsles foresp\u00f8rselen om \u00e5 bestemme IP-adresser<\/a> vertsnavnet i HTTPS-trafikken og sendes til en HTTP-server, hvor resolveren behandler foresp\u00f8rslene via Web API. <\/p>\n