Utgåvan av PowerDNS Recursor 4.2 och DNS flag day 2020-initiativet

Efter ett och ett halvt års utveckling presenteras utgivning av cachelagrad DNS-server PowerDNS Recursor 4.2, som ansvarar för rekursiv namnöversättning. PowerDNS Recursor bygger på samma kodbas som PowerDNS Authoritative Server, men de rekursiva och auktoritativa DNS-servrarna i PowerDNS utvecklas inom olika utvecklingscykler och släpps som separata produkter. Projektets kod sprids är under GPLv2-licensen.

I den nya versionen har alla problem relaterade till bearbetning av DNS-paket med EDNS-flaggor åtgärdats. I äldre versioner av PowerDNS Recursor före 2016 ignorerades paket med ej stödja flaggor av EDNS, utan att skicka svar i gammalt format, genom att avfärda EDNS-flaggorna, vilket specifikationen kräver. Tidigare stöddes detta icke-standardbeteende i BIND genom en workaround, men inom den genomförda februari-initiativet DNS flag day, beslutade utvecklare av DNS-servrar att överge denna workaround.

I PowerDNS åtgärdades de huvudsakliga problemen med bearbetning av EDNS-paket redan 2017 i version 4.1, och i den version som släpptes 2016, 4.0, dök det upp vissa inkompatibiliteter under specifika omständigheter som i allmänhet inte störde den normala driften. I PowerDNS Recursor 4.2, precis som i BIND 9.14, har workaround-lösningar för stöd av auktoritativa servrar som svarar felaktigt på förfrågningar med EDNS-flaggor tagits bort. Tidigare, om inget svar kom efter att en förfrågan med EDNS-flaggor skickats efter en viss tid, ansåg DNS-servern att de utökade flaggorna inte stöddes och skickade en upprepning av förfrågan utan EDNS-flaggor. Detta beteende har nu inaktiverats, eftersom förekomsten av sådan kod ledde till ökad latens på grund av upprepade paketöverföringar, ökade nätverksbelastningar och otydlighet vid avsaknad av svar på grund av nätverksfel, samt hindrade införandet av EDNS-baserade funktioner som användning av DNS-cookies för skydd mot DDoS-attacker.

Under nästa år har man beslutat att genomföra en åtgärd DNS flag day 2020, som syftar till att fokusera uppmärksamheten på lösningen av problem med IP-fragmentering vid bearbetning av stora DNS-meddelanden. Inom ramen för initiativet planeras ska de rekommenderade buffertstorlekarna för EDNS fastställas till värden på nivå 1200 byte, samt översätta bearbetning av förfrågningar via TCP bli ett krav för stöd på servrar. För närvarande är stöd för bearbetning av förfrågningar via UDP obligatoriskt, medan TCP är önskvärt men inte obligatoriskt för driften (standarden föreskriver möjligheten att stänga av TCP). Det föreslås att ta bort möjligheten till TCP-avstängning från standarden och standardisera övergången från att skicka förfrågningar via UDP till att använda TCP när den angivna buffertstorleken för EDNS inte är tillräcklig.

Föreslagna förändringar inom initiativet kommer att undanröja förvirringen kring valet av EDNS-bufferstorlek och lösa problemet med fragmentering av stora UDP-meddelanden, vars behandling ofta leder till paketförlust och tidsöverskridningar på klientsidan. På klientsidan kommer EDNS-bufferstorleken att vara konstant, och stora svar skickas omedelbart till klienten via TCP. Undantaget för att skicka stora meddelanden via UDP kommer också att möjliggöra blockering av attacker mot DNS-cacheförgiftning som är baserade på manipulation av fragmenterade UDP-paket (vid fragmentering, inkluderas inte rubriken med identifierare i det andra fragmentet, vilket gör att det kan förfalskas så länge kontrollsumman stämmer).

I PowerDNS Recursor 4.2 har problem med stora UDP-paket beaktats och övergången till att använda EDNS-bufferstorlek (edns-outgoing-bufsize) på 1232 byte har genomförts, istället för den tidigare tillämpade gränsen på 1680 byte, vilket bör avsevärt minska risken för UDP-paketförlust. Värdet 1232 valdes eftersom det är maximum där storleken på DNS-svaret i samband med IPv6 ryms inom det minimi MTU-värde (1280). Värdet för truncation-threshold, som ansvarar för nedskärning av svar till klienten, har också minskats till 1232.

Andra förändringar i PowerDNS Recursor 4.2:

• Stöd för mekanismen XPF (X-Proxied-For), vilket är ekvivalenten till HTTP-huvudet X-Forwarded-For för DNS, som möjliggör överföring av information om IP-adressen och portnumret från den ursprungliga initiativtagaren av begäran, som vidarebefordrats genom mellanliggande proxyer och lastbalanserare (t.ex. dnsdist). För att aktivera XPF finns det alternativ förxpf-allow-from" och "xpf-rr-code«;
• Förbättrad stöd för EDNS-tillägget Client Subnet (ECS), vilket möjliggör överföring av information om det subnät från vilket den ursprungliga begäran skickades till den auktoritativa DNS-servern (information om klientens ursprungliga subnät är nödvändig för effektiv drift av innehållsleveransnätverk). I den nya versionen har inställningar lagts till för selektiv kontroll över tillämpningen av EDNS Client Subnet:ecs-add-formed en lista över nätmasker för vilka IP kommer att användas i ECS i utgående begärningar. För adresser som inte omfattas av de angivna maskerna kommer den gemensamma adressen som anges i direktivetecs-scope-zero-addressatt användas. Genom direktivetuse-incoming-edns-subnetkan de subnät definieras där inkommande begärningar med ifyllda ECS-värden inte kommer att ersättas;
• För servrar som hanterar ett stort antal begärningar per sekund (mer än 100 000) har direktivetdistributor-threads«, som definierar antalet trådar för att ta emot inkommande förfrågningar och deras fördelning mellan arbetstrådar (meningsfullt endast vid användning av läget «pdns-distributes-queries=yes«).
• Inställning tillagd public-suffix-list-file för att specificera en egen fil med lista över offentliga suffix av domäner där användare kan registrera sina underdomäner, istället för den som ingår i PowerDNS Recursor.

Projektet PowerDNS har också meddelat att man övergår till en sexmånaders utvecklingscykel, där nästa stora release av PowerDNS Recursor 4.3 förväntas i januari 2020. Uppdateringar för större utgåvor kommer att samlas in under året, varefter ytterligare sex månader kommer att ges för utgivning av sårbarhetsfixar. Därmed kommer stöd för versionen PowerDNS Recursor 4.2 att pågå fram till januari 2021. Liknande förändringar i utvecklingscykeln har antagits för produkten PowerDNS Authoritative Server, vars version 4.2 förväntas inom kort.

Huvudfunktioner i PowerDNS Recursor:

• Verktyg för fjärrinsamling av statistik;
• Omedelbar omstart;
• Inbyggd motor för att ansluta handlare med Lua-språk;
• Fullständig support för DNSSEC och DNS64;
• Stöd för RPZ (Response Policy Zones) och möjlighet att definiera svarta listor;
• Mekanismer för att motverka spoofing;
• Möjlighet att spara resultat av upplösning som BIND-zonfiler.
• För att säkerställa hög prestanda används moderna mekanismer för anslutningsmultiplexering i FreeBSD, Linux och Solaris (kqueue, epoll, /dev/poll), samt en högpresterande parser av DNS-paket som kan hantera tiotusentals parallella förfrågningar.

Källa: opennet.ru