Utgåvan av DNS-servern BIND 9.20.0, översatt till libuv och en ny backend för databasen

Efter två och ett halvt års utveckling har konsortiet ISC presenterat den första stabila versionen av den nya betydande grenen av DNS-servern BIND 9.20, som har inkluderat ändringar som har utvecklats i den experimentella grenen BIND 9.19. Stödet för grenen 9.20 kommer att ges inom ramen för ett utökat underhållscykel fram till första kvartalet 2028. Stödet för grenen 9.18 upphör under andra kvartalet 2025. För att utveckla funktionaliteten i nästa stabila version av BIND kommer en experimentell gren, BIND 9.21.0, att skapas. Projektets kod är skriven i C och distribueras under licensen MPL 2.0.

Huvudsakliga förändringar:

• Kärnan i applikationen, som kopplar ihop alla komponenter, har översatts till att använda en händelsehanteringscykel i icke-blockerande läge, implementerad med hjälp av biblioteket libuv, som används i projekt som Node.js, Knot DNS, H2O, Luvit och MoarVM. I grenen 9.16 har nätverksanslutningshanteraren i BIND översatts till libuv, och nu även delar som används för att interagera med interna komponenter i infrastrukturen, samt långvariga uppgifter i separata trådar, hjälpprocesser (threadpool) som används för att verifiera DNSSEC, zonöverföringar, underhålla zonkataloger och hantera RPZ (Response Policy Zone). För att bygga BIND krävs nu minst version 1.34.0 av libuv.
• En ny backend för databasarbete har föreslagits — "QP trie", som ersätter RBTDB (Red-Black Tree Database) och används som standard för lagring av cache och DNS-zon databaser. För flertrådad verksamhet i QP trie använder man biblioteket liburcu med implementeringar i användarutrymmet av strukturer som inte använder lås, tack vare bruket av RCU (read-copy-update) synkroniseringsmekanismen och QSBR (Quiescent-State-Based Reclamation) metoden för säker minneshantering.
• Den uppdaterade komprimeringsmetoden har använts domännamn, vilket använder en mer kompakt kodningsmetod för namn med ett stort antal etiketter.
• Möjligheterna för DNSSEC har utökats: "dnssec-policy" får användas för att hantera signerade zoner (auto-dnssec-alternativet har tagits bort); vid användning av "inline-signing" har stödet för RFC 8901 (DNSSEC multi-signer model 2) lagts till; stödet för PKCS#11 baserat på OpenSSL 3.0.0 Engine API har återinförts; i "dnssec-policy" har stöd för HSM (Hardware Security Module) lagts till.
• Stöd för den andra versionen av zonekatalogen (Catalog Zone, RFC 9432) har lagts till, vilket förenklar hanteringen av sekundära DNS-servrar genom att istället för att definiera enskilda poster för varje sekundär zon på den sekundära servern, möjliggör en överföring av katalogen av sekundära zoner mellan den primära och den sekundära servern. Efter att ha konfigurerat överföringen av katalogen på samma sätt som enskilda zoner, skapas de zoner som läggs till på den primära servern och som är markerade som ingående i katalogen automatiskt på den sekundära servern utan behov av att redigera konfigurationsfiler.
• Stöd för mekanismen för utökade fel (Extended DNS Errors, RFC 8914) har lagts till, vilket gör det möjligt att returnera ytterligare information om orsaken till ett fel som uppstått vid utförandet av en DNS-förfrågan.
• Genomförandet av teknologierna "DNS över HTTPS" (DoH, DNS over HTTPS) och DNS över TLS (DoT, DNS over TLS), som används för att kryptera kundernas förfrågningar till resolvern och krypterad datautbyte mellan servrar, har övergått till användning av en enhetlig transport.
• Möjligheten att använda PROXYv2-protokollet med alla transportlösningar som stöds av BIND har lagts till. PROXY-protokollet tillåter överföring av anslutningsinformation för att bevara information om den ursprungliga IP-adressen och portnumret vid vid vidarebefordran av DNS-förfrågningar genom andra backend-lösningar, lastbalanserare och proxyer.servrar.
• Stöd för USDT-läget (User Statically Defined Tracing) har lagts till, vilket gör det möjligt att utföra applikationstracering med hjälp av kommandot perf, utan att skapa ytterligare overhead när spårning är avstängd.
• Den insamlade statistiken speglar information om ofullständiga inkommande zonöverföringsoperationer.
• Arbete har utförts för att minska fördröjningar, sänka minnesanvändningen och avlasta CPU:n vid namnupplösning, användning av DNS-over-TLS och generering av svar via UDP och TCP.

Källa: opennet.ru