{"id":95716,"date":"2020-10-02T01:42:50","date_gmt":"2020-10-01T23:42:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp"},"modified":"2020-10-02T01:42:50","modified_gmt":"2020-10-01T23:42:50","slug":"inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","title":{"rendered":"Inicjatywa DNS flag day 2020 maj\u0105ca na celu rozwi\u0105zanie problem\u00f3w z fragmentacj\u0105 i wsparciem dla TCP","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dzi\u015b szereg du\u017cych us\u0142ug DNS i producent\u00f3w serwer\u00f3w DNS przeprowadzi wsp\u00f3lne wydarzenie Dzie\u0144 flagi DNS 2020<\/a><\/noindex>, maj\u0105ce na celu zwr\u00f3cenie uwagi na rozwi\u0105zanie<\/a><\/noindex> problemach<\/a><\/noindex> z fragmentacj\u0105 IP podczas przetwarzania wiadomo\u015bci DNS o du\u017cych rozmiarach. To druga taka inicjatywa, w zesz\u0142ym roku «Dzie\u0144 flagi DNS» skoncentrowa\u0142 si\u0119<\/a><\/noindex> na poprawnym przetwarzaniu zapyta\u0144 EDNS. <\/p>\n

Uczestnicy inicjatywy Dzie\u0144 flagi DNS 2020 wzywaj\u0105 do ustalenia zalecanych rozmiar\u00f3w bufor\u00f3w dla EDNS na poziomie 1232 bajt\u00f3w (rozmiar MTU 1280 minus 48 bajt\u00f3w na nag\u0142\u00f3wki), a tak\u017ce do wprowadzenia<\/a><\/noindex> przetwarzania zapyta\u0144 przez TCP jako obowi\u0105zkowo wspieranego na serwerach. W RFC 1035<\/a><\/noindex> obowi\u0105zkowe jest tylko wsparcie dla przetwarzania zapyta\u0144 przez UDP, podczas gdy TCP wskazane jest jako po\u017c\u0105dane, ale nieobowi\u0105zkowe do dzia\u0142ania. Nowe RFC 7766<\/a><\/noindex> i RFC 5966<\/a><\/noindex> wyra\u017anie klasyfikuj\u0105 TCP jako jedn\u0105 z obowi\u0105zkowych funkcji, niezb\u0119dnych do poprawnej pracy DNS. W ramach prowadzony inicjatywy proponuje si\u0119 wymusi\u0107 przej\u015bcie od wysy\u0142ania zapyta\u0144 przez UDP do zastosowania TCP w przypadkach, gdy ustalony rozmiar bufora EDNS jest niewystarczaj\u0105cy.<\/p>\n

Proponowane zmiany zlikwiduj\u0105 zamieszanie zwi\u0105zane z wyborem rozmiaru bufora EDNS i rozwi\u0105\u017c\u0105 problem z fragmentacj\u0105 du\u017cych komunikat\u00f3w UDP, przetwarzanie kt\u00f3rych cz\u0119sto prowadzi do utraty pakiet\u00f3w i przekrocze\u0144 czasowych po stronie klienta. Po stronie klienta rozmiar bufora EDNS b\u0119dzie sta\u0142y, a du\u017ce odpowiedzi b\u0119d\u0105 od razu wysy\u0142ane do klienta przez TCP. Wy\u0142\u0105czenie wysy\u0142ania du\u017cych komunikat\u00f3w przez UDP r\u00f3wnie\u017c rozwi\u0105\u017ce problemy z odrzucaniem du\u017cych pakiet\u00f3w na niekt\u00f3rych zaporach ogniowych i pozwoli zablokowa\u0107 atak<\/a><\/noindex> atak\u00f3w na pami\u0119\u0107 podr\u0119czn\u0105 DNS opartych na manipulacji fragmentowanymi pakietami UDP (przy podziale na fragmenty, drugi fragment nie zawiera nag\u0142\u00f3wka z identyfikatorem, dlatego mo\u017ce by\u0107 fa\u0142szowany, co wystarczy, aby pasowa\u0142a suma kontrolna).<\/p>\n

Od dzisiaj uczestnicz\u0105cy w inicjatywie dostawcy DNS, w tym CloudFlare, Quad 9, Cisco (OpenDNS) i Google, stopniowo zmieni\u0105<\/a><\/noindex> Rozmiar bufora EDNS z 4096 do 1232 bajt\u00f3w na swoich serwerach DNS (zmiana EDNS b\u0119dzie roz\u0142o\u017cona na 4-6 tygodni i z czasem b\u0119dzie obejmowa\u0107 coraz wi\u0119ksz\u0105 liczb\u0119 zapyta\u0144). Odpowiedzi na zapytania UDP, kt\u00f3re nie mieszcz\u0105 si\u0119 w nowym limicie, b\u0119d\u0105 wysy\u0142ane przez TCP. Producenci serwer\u00f3w DNS, w tym BIND, Unbound, Knot, NSD i PowerDNS, wydadz\u0105 aktualizacje zmieniaj\u0105ce domy\u015blny rozmiar bufora EDNS z 4096 do 1232 bajt\u00f3w. <\/p>\n

Ostatecznie wprowadzone zmiany mog\u0105 prowadzi\u0107 do problem\u00f3w z rozwi\u0105zywaniem nazw przy kontaktach z serwerami DNS, kt\u00f3rych odpowiedzi po UDP przekracza 1232 bajty i kt\u00f3re nie mog\u0105 wys\u0142a\u0107 odpowiedzi przez TCP. Eksperyment przeprowadzony przez Google wykaza\u0142, \u017ce zmiana rozmiaru bufora EDNS praktycznie nie wp\u0142ynie na poziom b\u0142\u0119d\u00f3w \u2014 przy buforze wynosz\u0105cym 4096 bajt\u00f3w liczba przycinanych zapyta\u0144 UDP wynosi 0.345%, a liczba niedost\u0119pnych odpowiedzi powt\u00f3rnych przez TCP \u2014 0.115%. Przy buforze wynosz\u0105cym 1232 bajty wska\u017aniki te wynosz\u0105 0.367% i 0.116%. Uznanie wymogu wsparcia TCP za obowi\u0105zkowe w przypadku DNS doprowadzi do problem\u00f3w z interakcj\u0105 z oko\u0142o 0.1% serwer\u00f3w DNS. Zauwa\u017ca si\u0119, \u017ce w obecnych warunkach bez TCP praca tych serwer\u00f3w i tak jest niestabilna.<\/p>\n

Administratorzy autorytatywnych (authoritative) serwer\u00f3w DNS powinni upewni\u0107 si\u0119, \u017ce ich serwer odpowiada przez TCP na porcie sieciowym 53 i \u017ce ten port TCP nie jest blokowany przez zapor\u0119 sieciow\u0105. Autorytatywny serwer DNS nie powinien r\u00f3wnie\u017c wysy\u0142a\u0107 odpowiedzi UDP, kt\u00f3rych rozmiar przekracza
\n\u017c\u0105dany rozmiar bufora EDNS. Na samym serwerze rozmiar bufora EDNS powinien by\u0107 ustawiony na 1232 bajty. Do resolver\u00f3w stawiane s\u0105 podobne wymagania — obowi\u0105zkowa mo\u017cliwo\u015b\u0107 odpowiadania przez TCP, obowi\u0105zkowe wsparcie dla ponownego wysy\u0142ania zapyta\u0144 przez TCP w przypadku otrzymania przyci\u0119tej odpowiedzi UDP oraz ustawienie bufora EDNS na 1232 bajty.<\/p>\n

Za konfiguracj\u0119 rozmiaru bufora EDNS w r\u00f3\u017cnych serwerach DNS odpowiadaj\u0105 nast\u0119puj\u0105ce parametry:<\/p>\n

  • BIND\n

    options {
    \n edns-udp-size 1232;
    \n max-udp-size 1232;
    \n };<\/p>\n

  • Knot DNS\n

    max-udp-payload: 1232<\/p>\n

  • Knot Resolver\n

    net.bufsize(1232)<\/p>\n

  • PowerDNS Authoritative\n

    udp-truncation-threshold=1232<\/p>\n

  • PowerDNS Recursor\n

    edns-outgoing-bufsize=1232
    \n udp-truncation-threshold=1232<\/p>\n

  • Unbound\n

    edns-buffer-size: 1232<\/p>\n

  • NSD\n

    ipv4-edns-size: 1232
    \n ipv6-edns-size: 1232<\/p>\n

    <\/a><\/noindex><\/p>\n

    \u0179r\u00f3d\u0142o: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

    \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u044f\u0434 \u043a\u0440\u0443\u043f\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0435\u0434\u0443\u0442 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435 DNS flag day 2020, \u043f\u0440\u0438\u0437\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u0444\u043e\u043a\u0443\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 IP-\u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0435\u0439 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 DNS-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u0440\u0430\u0437\u043c\u0435\u0440\u0430. \u042d\u0442\u043e \u0432\u0442\u043e\u0440\u043e\u0435 \u043f\u043e\u0434\u043e\u0431\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435, \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 «DNS flag day» \u0431\u044b\u043b \u0441\u043e\u0441\u0440\u0435\u0434\u043e\u0442\u043e\u0447\u0435\u043d \u043d\u0430 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 EDNS. \u0423\u0447\u0430\u0441\u0442\u043d\u0438\u043a\u0438 \u0438\u043d\u0438\u0446\u0438\u0430\u0442\u0438\u0432\u044b DNS flag day 2020 \u043f\u0440\u0438\u0437\u044b\u0432\u0430\u044e\u0442 \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0440\u0430\u0437\u043c\u0435\u0440\u044b \u0431\u0443\u0444\u0435\u0440\u043e\u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-95716","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Inicjatywa DNS flag day 2020 w celu rozwi\u0105zania problem\u00f3w z fragmentacj\u0105 i wsparciem TCP | ProHoster","description":"Dzi\u015b kilka du\u017cych us\u0142ug DNS i producent\u00f3w serwer\u00f3w DNS przeprowadzi wsp\u00f3lne wydarzenie DNS flag day 2020, maj\u0105ce na celu skupienie uwagi.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u043d\u0438\u0446\u0438\u0430\u0442\u0438\u0432\u0430 DNS flag day 2020 \u0434\u043b\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0435\u0439 \u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u043e\u0439 TCP | ProHoster","og:description":"\u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u044f\u0434 \u043a\u0440\u0443\u043f\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0432\u0435\u0434\u0443\u0442 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e\u0435 \u043c\u0435\u0440\u043e\u043f\u0440\u0438\u044f\u0442\u0438\u0435 DNS flag day 2020, \u043f\u0440\u0438\u0437\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u0444\u043e\u043a\u0443\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/inicziativa-dns-flag-day-2020-dlya-resheniya-problem-s-fragmentacziej-i-podderzhkoj-tcp","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-01T23:42:50+00:00","article:modified_time":"2020-10-01T23:42:50+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"95716","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:59:41","updated":"2022-10-02 16:18:32","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/95716","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=95716"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/95716\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=95716"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=95716"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=95716"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}