Po dvoch rokoch vývoja vydalo konzorcium ISC prvé stabilné vydanie novej hlavnej vetvy servera BIND 9.18 DNS. Podpora pre vetvu 9.18 bude poskytovaná počas troch rokov do 2. štvrťroka 2025 v rámci rozšíreného cyklu podpory. Podpora pre vetvu 9.11 sa skončí v marci a podpora pre vetvu 9.16 v polovici roka 2023. Na vývoj funkčnosti ďalšej stabilnej verzie BIND bola vytvorená experimentálna vetva BIND 9.19.0.
Vydanie BIND 9.18.0 je pozoruhodné implementáciou podpory pre DNS cez HTTPS (DoH, DNS cez HTTPS) a DNS cez TLS (DoT, DNS cez TLS), ako aj pre mechanizmus XoT (XFR-over-TLS). pre bezpečný prenos obsahu DNS.zóny medzi servermi (podporované sú odosielacie aj prijímacie zóny cez XoT). S príslušnými nastaveniami môže teraz jeden pomenovaný proces obsluhovať nielen tradičné DNS dotazy, ale aj dotazy odoslané pomocou DNS-over-HTTPS a DNS-over-TLS. Podpora klienta pre DNS-over-TLS je zabudovaná do pomôcky dig, ktorú možno použiť na odosielanie požiadaviek cez TLS, keď je zadaný príznak „+tls“.
Implementácia protokolu HTTP/2 používaného v DoH je založená na použití knižnice nghttp2, ktorá je zahrnutá ako voliteľná závislosť zostavy. Certifikáty pre DoH a DoT môže poskytnúť používateľ alebo ich môže vygenerovať automaticky pri spustení.
Spracovanie požiadaviek pomocou DoH a DoT je povolené pridaním možností "http" a "tls" do direktívy listen-on. Ak chcete podporovať nešifrované DNS-over-HTTP, mali by ste v nastaveniach zadať „tls none“. Kľúče sú definované v časti „tls“. Predvolené sieťové porty 853 pre DoT, 443 pre DoH a 80 pre DNS-over-HTTP je možné prepísať pomocou parametrov tls-port, https-port a http-port. Napríklad:
tls local-tls { kľúč-súbor "/cesta/k/priv_key.pem"; cert-file "/cesta/k/cert_chain.pem"; }; http lokálny-http-server { koncové body { "/dns-query"; }; }; možnosti { https-port 443; listen-on port 443 tls local-tls http myserver {akýkoľvek;}; }
Jednou z vlastností implementácie DoH v BIND je schopnosť presunúť operácie šifrovania pre TLS na iný server, čo môže byť potrebné v podmienkach, keď sú certifikáty TLS uložené v inom systéme (napríklad v infraštruktúre s webovými servermi) a udržiavané. iným personálom. Podpora pre nešifrované DNS-over-HTTP je implementovaná na zjednodušenie ladenia a ako vrstva pre presmerovanie na iný server vo vnútornej sieti (pre presun šifrovania na samostatný server). Na vzdialenom serveri možno nginx použiť na generovanie prenosu TLS, podobne ako je organizovaná väzba HTTPS pre webové stránky.
Ďalšou vlastnosťou je integrácia DoH ako všeobecného transportu, ktorý možno použiť nielen na spracovanie požiadaviek klientov na resolver, ale aj pri komunikácii medzi servermi, pri prenose zón autoritatívnym serverom DNS a pri spracovaní akýchkoľvek dopytov podporovaných inými DNS. prepravy.
Medzi nedostatky, ktoré je možné kompenzovať zakázaním zostavenia s DoH/DoT alebo presunutím šifrovania na iný server, vyniká všeobecná komplikácia kódovej základne – pribudol vstavaný HTTP server a TLS knižnica, ktoré by potenciálne mohli obsahovať zraniteľnosti a pôsobia ako dodatočné vektory útokov. Pri používaní DoH sa tiež zvyšuje návštevnosť.
Pripomeňme, že DNS-over-HTTPS môže byť užitočný na zabránenie úniku informácií o požadovaných názvoch hostiteľov cez DNS servery poskytovateľov, na boj proti MITM útokom a substitúcii DNS prevádzky (napríklad pri pripájaní k verejnej Wi-Fi sieti) a na odolávanie blokovaniu na úrovni DNS (DNS-over-HTTPS nemôže nahradiť VPN v oblasti obchádzania blokovania implementovaného na úrovni DPI) alebo na organizáciu práce v prípadoch, keď je priamy prístup k DNS serverom nemožný (napríklad pri práci cez proxy). Zatiaľ čo za normálnych okolností sa DNS dotazy odosielajú priamo na DNS servery definované v konfigurácii systému, v prípade DNS-over-HTTPS je požiadavka na určenie IP adresy Hostiteľ je zapuzdrený v HTTPS prevádzke a odoslaný na HTTP server, kde resolver spracováva požiadavky prostredníctvom webového API.
„DNS over TLS“ sa líši od „DNS cez HTTPS“ v použití štandardného protokolu DNS (zvyčajne sa používa sieťový port 853), zabaleného do šifrovaného komunikačného kanála organizovaného pomocou protokolu TLS s kontrolou platnosti hostiteľa prostredníctvom certifikovaných certifikátov TLS/SSL certifikačnou autoritou. Existujúci štandard DNSSEC používa šifrovanie iba na autentifikáciu klienta a servera, ale nechráni prevádzku pred zachytením a nezaručuje dôvernosť požiadaviek.
Niektoré ďalšie inovácie:
- Pridané nastavenia tcp-receive-buffer, tcp-send-buffer, udp-receive-buffer a udp-send-buffer na nastavenie veľkostí vyrovnávacích pamätí používaných pri odosielaní a prijímaní požiadaviek cez TCP a UDP. Na vyťažených serveroch pomôže zvýšenie prichádzajúcich vyrovnávacích pamätí zabrániť zahadzovaniu paketov počas špičky prevádzky a ich zníženie pomôže zbaviť sa upchatia pamäte starými požiadavkami.
- Bola pridaná nová kategória denníka „rpz-passthru“, ktorá vám umožňuje samostatne zaznamenávať akcie preposielania RPZ (Response Policy Zones).
- V sekcii politika odozvy bola pridaná možnosť „nsdname-wait-recurse“, pri nastavení na „no“ sa pravidlá RPZ NSDNAME použijú iba vtedy, ak sa pre požiadavku nájdu autoritatívne menné servery prítomné vo vyrovnávacej pamäti, inak sa Pravidlo RPZ NSDNAME je ignorované, ale informácie sa získavajú na pozadí a vzťahujú sa na následné požiadavky.
- Pre záznamy s typmi HTTPS a SVCB je implementované spracovanie sekcie „DOPLŇUJÚCE“.
- Pridané vlastné typy pravidiel aktualizácie - krb5-subdomain-self-rhs a ms-subdomain-self-rhs, ktoré vám umožňujú obmedziť aktualizáciu záznamov SRV a PTR. Bloky aktualizačnej politiky tiež pridávajú možnosť nastaviť limity na počet záznamov, individuálne pre každý typ.
- Do výstupu dig utility boli pridané informácie o transportnom protokole (UDP, TCP, TLS, HTTPS) a DNS64 prefixoch. Na účely ladenia pridal dig možnosť špecifikovať špecifický identifikátor požiadavky (dig +qid= ).
- Pridaná podpora pre knižnicu OpenSSL 3.0.
- Na vyriešenie problémov s fragmentáciou IP pri spracovávaní veľkých správ DNS identifikovaných v deň príznaku DNS 2020 bol z prekladača odstránený kód, ktorý upravuje veľkosť vyrovnávacej pamäte EDNS, keď na požiadavku neodpovedá. Veľkosť vyrovnávacej pamäte EDNS je teraz nastavená na konštantnú (edns-udp-size) pre všetky odchádzajúce požiadavky.
- Systém zostavovania bol prepnutý na používanie kombinácie autoconf, automake a libtool.
- Podpora súborov zóny vo formáte „map“ (mapa vo formáte masterfile) bola ukončená. Používateľom tohto formátu sa odporúča konvertovať zóny na nespracovaný formát pomocou pomôcky named-compilezone.
- Podpora starších ovládačov DLZ (Dynamically Loadable Zones) bola ukončená a nahradená modulmi DLZ.
- Podpora zostavovania a spúšťania pre túto platformu bola ukončená. WindowsPosledná vetva, ktorú je možné nainštalovať do Windows, BIND 9.16 zostáva.
Zdroj: opennet.ru
