Po 11 mesecih razvoja je konzorcij ISC izdal prvi stabilni različici nove pomembne veje strežnika DNS BIND 9.16. Podpora za vejo 9.16 bo trajala tri leta, do 2. četrtine leta 2023, kot del razširjenega cikla podpore. Posodobitve za prejšnjo LTS vejo 9.11 bodo izhajale do decembra 2021. Podpora za vejo 9.14 se bo zaključila čez tri mesece.
Glavne :
- Dodana je bila KASP (Key and Signing Policy), poenostavljen način upravljanja z ključi in digitalnimi podpisi DNSSEC, ki temelji na določitvi pravil, definiranih s pomočjo direktive „dnssec-policy“. Ta direktiva omogoča nastavitev generacije potrebnih novih ključev za DNS cone in avtomatsko uporabo ključev ZSK in KSK.
- Bistveno je bila prenovljena mrežna podpora, ki je prešla na mehanizem asinhronih obdelav zahtevkov, uresničen na podlagi knjižnice .
Prenova zaenkrat ni prinesla vidnih sprememb, vendar bo v prihodnjih izdajah omogočila nekatere pomembne optimizacije zmogljivosti in dodala podporo novim protokolom, kot je DNS over TLS. - Izboljšan je postopek upravljanja z zaupnimi vezmi DNSSEC (Trust anchor, vezana na cono odprtega ključa za preverjanje pristnosti te cone). Namesto nastavitev trusted-keys in managed-keys, ki so zdaj razglašene za zastarele, je bila predlagana nova direktiva trust-anchors, ki omogoča upravljanje obeh vrst ključev.
Pri uporabi trust-anchors s ključno besedo initial-key je vedenje te direktive enako managed-keys, tj. določa nastavitev zaupnice v skladu z RFC 5011. Pri uporabi trust-anchors s ključno besedo static-key je vedenje podobno direktivi trusted-keys, tj. določa stalni ključ, ki se ne posodablja samodejno. V trust-anchors so predlagani še dve ključni besedi initial-ds in static-ds, ki omogočata uporabo zaupnic v formatu (Delegation Signer) namesto DNSKEY, ki omogoča nastavitev vezij za še ne objavljene ključe (v prihodnosti organizacija IANA načrtuje uporabo formata DS za ključe korenskih con).
- V orodja dig, mdig in delv je bila dodana možnost „+yaml“ za izhod v formatu YAML.
- V orodje dig je bila dodana možnost „+[no]unexpected“, ki omogoča sprejem odgovorov od gostiteljev, ki se razlikujejo od strežnika, kateremu je bila poslana zahteva.
- V utilitě dig byla přidána možnost „+[no]expandaaaa“, při jejímž použití jsou IPv6 adresy ve záznamech AAAA zobrazeny v plném 128bitovém formátu, nikoli ve formátu RFC 5952.
- Byla přidána možnost přepínání skupin kanálů statistiky.
- Záznamy DS a CDS jsou nyní generovány pouze na základě hashů SHA-256 (generování na základě SHA-1 bylo zastaveno).
- Pro DNS Cookie (RFC 7873) je ve výchozím nastavení použit algoritmus SipHash 2-4, podpora HMAC-SHA byla zastavena (AES zůstává).
- Výstup příkazů dnssec-signzone a dnssec-verify je nyní směrován do standardního výstupního proudu (STDOUT), zatímco do STDERR jsou vypisovány pouze informace o chybách a varováních (pokud je uvedena možnost „-f“, je také vypisována podepsaná zóna). Pro potlačení výstupu byla přidána možnost „-q.“
- Byl přepracován kód pro validaci DNSSEC, který se zbavil duplikací kódu s jinými podsystémy.
- Pro výstup statistik ve formátu JSON nyní může být použita pouze knihovna JSON-C. Možnost configure „—with-libjson“ byla přejmenována na „—with-json-c.“
- Ve skriptu configure již není ve výchozím nastavení nastavena možnost „—sysconfdir“ na /etc a „—localstatedir“ na /var, pokud není uvedena možnost „—prefix“. Nyní se ve výchozím nastavení používají cesty $prefix/etc a $prefix/var, které se uplatňují v Autoconfu.
- Byl odstraněn kód implementace služby DLV (Domain Look-aside Verification, možnost dnssec-lookaside), která byla prohlášena za zastaralou v BIND 9.12, a související zpracovatel dlv.isc.org byl vypnut v roce 2017. Odstranění DLV umožnilo zbavit kód BIND zbytečných složitostí.
Izvor: opennet.ru
