Efter tv\u00e5 \u00e5rs utveckling har konsortiet ISC presenterat den f\u00f6rsta stabila versionen av den nya betydande grenen av DNS-servern BIND 9.18. St\u00f6det f\u00f6r version 9.18 kommer att ges under tre \u00e5r fram till andra kvartalet 2025 inom ramen f\u00f6r en utvidgad supportcykel. St\u00f6det f\u00f6r version 9.11 upph\u00f6r i mars, och f\u00f6r version 9.16 i mitten av 2023. F\u00f6r att utveckla funktionaliteten i n\u00e4sta stabila version av BIND har en experimentell gren BIND 9.19.0 skapats. <\/p>\n
\u0412\u044b\u043f\u0443\u0441\u043a BIND 9.18.0 \u043f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u0435\u043d \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439 «DNS \u043f\u043e\u0432\u0435\u0440\u0445 HTTPS» (DoH, DNS over HTTPS) \u0438 DNS \u043f\u043e\u0432\u0435\u0440\u0445 TLS (DoT, DNS over TLS), \u0430 \u0442\u0430\u043a\u0436\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 XoT (XFR-over-TLS) \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e DNS-\u0437\u043e\u043d \u043c\u0435\u0436\u0434\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438 (\u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043e\u0442\u0434\u0430\u0447\u0430, \u0442\u0430\u043a \u0438 \u043f\u0440\u0438\u0451\u043c \u0437\u043e\u043d \u043f\u043e XoT). \u041f\u0440\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043e\u0434\u0438\u043d \u043f\u0440\u043e\u0446\u0435\u0441\u0441 named \u0442\u0435\u043f\u0435\u0440\u044c \u043c\u043e\u0436\u0435\u0442 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0442\u044c \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u043d\u043e \u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c DNS-over-HTTPS \u0438 DNS-over-TLS. \u041a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 DNS-over-TLS \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u0430 \u0432 \u0443\u0442\u0438\u043b\u0438\u0442\u0443 dig, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043e\u0436\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043f\u043e\u0432\u0435\u0440\u0445 TLS \u043f\u0440\u0438 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0438 \u0444\u043b\u0430\u0433\u0430 «+tls». <\/p>\n
Implementeringen av protokollet HTTP\/2 som anv\u00e4nds i DoH \u00e4r baserad p\u00e5 anv\u00e4ndningen av biblioteket nghttp2, som ing\u00e5r bland obligatoriska byggberoenden. Certifikat f\u00f6r DoH och DoT kan tillhandah\u00e5llas av anv\u00e4ndaren eller genereras automatiskt vid start. <\/p>\n
\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c DoH \u0438 DoT \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043e\u043f\u0446\u0438\u0439 «http» \u0438 «tls» \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0435 listen-on. \u0414\u043b\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e DNS-over-HTTP \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u0442\u044c «tls none». \u041a\u043b\u044e\u0447\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0442\u0441\u044f \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 «tls». \u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0435 \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u043f\u043e\u0440\u0442\u044b 853 \u0434\u043b\u044f DoT, 443 \u0434\u043b\u044f DoH \u0438 80 \u0434\u043b\u044f DNS-over-HTTP \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u044b \u0447\u0435\u0440\u0435\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b tls-port, https-port \u0438 http-port. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440: <\/p>\n
tls local-tls { key-file «\/path\/to\/priv_key.pem»; cert-file «\/path\/to\/cert_chain.pem»; }; http local-http-server { endpoints { «\/dns-query»; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
En implementeringen av DoH i BIND \u00e4r en av funktionerna m\u00f6jligheten att utf\u00f6ra TLS-krypteringsoperationer p\u00e5 en annan server, vilket kan vara n\u00f6dv\u00e4ndigt i situationer d\u00e4r TLS-certifikat lagras p\u00e5 ett annat system (till exempel i en infrastruktur med webservrar) och administreras av annan personal. St\u00f6d f\u00f6r okrypterad DNS-over-HTTP implementeras f\u00f6r att underl\u00e4tta felavhj\u00e4lpning och som ett lager f\u00f6r att vidarebefordra till en annan server i det interna n\u00e4tverket (f\u00f6r att flytta krypteringen till en separat server). Nginx kan anv\u00e4ndas p\u00e5 den externa servern f\u00f6r att generera TLS-trafik, p\u00e5 samma s\u00e4tt som HTTPS-bindningar organiseras f\u00f6r webbplatser. <\/p>\n
En annan egenskap \u00e4r integrationen av DoH som en gemensam transport, som kan anv\u00e4ndas inte bara f\u00f6r att hantera klientanrop till resolvern, utan ocks\u00e5 vid datautbyte mellan servrar, vid \u00f6verf\u00f6ring av zoner fr\u00e5n auktoritativa DNS-servrar och vid hantering av alla f\u00f6rfr\u00e5gningar som st\u00f6ds av andra DNS-transporter. <\/p>\n
\u0418\u0437 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043a\u043e\u043c\u043f\u0435\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u0441\u0431\u043e\u0440\u043a\u0438 \u0441 DoH\/DoT \u0438\u043b\u0438 \u0432\u044b\u043d\u043e\u0441\u043e\u043c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0431\u0449\u0435\u0435 \u0443\u0441\u043b\u043e\u0436\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b — \u0432 \u0441\u043e\u0441\u0442\u0430\u0432 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 HTTP-\u0441\u0435\u0440\u0432\u0435\u0440 \u0438 TLS-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043c\u043e\u0433\u0443\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u0442\u044c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0432\u0435\u043a\u0442\u043e\u0440\u0430\u043c\u0438 \u0434\u043b\u044f \u0430\u0442\u0430\u043a. \u0422\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 DoH \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0442\u0440\u0430\u0444\u0438\u043a. <\/p>\n
Vi p\u00e5minner om att DNS-over-HTTPS kan vara anv\u00e4ndbart f\u00f6r att f\u00f6rhindra l\u00e4ckor av information om beg\u00e4rda v\u00e4rdnamn via internetleverant\u00f6rernas DNS-servrar, f\u00f6r att motverka MITM-attacker och modifikation av DNS-trafik (till exempel n\u00e4r man ansluter till offentliga Wi-Fi-n\u00e4t), samt f\u00f6r att motst\u00e5 blockeringar p\u00e5 DNS-niv\u00e5 (DNS-over-HTTPS kan inte ers\u00e4tta VPN<\/a> n\u00e4r det g\u00e4ller att kringg\u00e5 blockeringar som genomf\u00f6rts p\u00e5 DPI-niv\u00e5) eller f\u00f6r att organisera arbete n\u00e4r direkt \u00e5tkomst till DNS-servrar inte \u00e4r m\u00f6jlig (till exempel n\u00e4r man arbetar via en proxy). I en vanlig situation skickas DNS-f\u00f6rfr\u00e5gningar direkt till specifika DNS-servrar som definieras i systemets konfiguration, men i fallet DNS-over-HTTPS inkapslas f\u00f6rfr\u00e5gningen f\u00f6r att best\u00e4mma IP-adresser<\/a> v\u00e4rden i HTTPS-trafiken och skickas till en HTTP-server, d\u00e4r resolvern hanterar f\u00f6rfr\u00e5gningarna via Web API. <\/p>\n \u00abDNS over TLS\u00bb skiljer sig fr\u00e5n \u00abDNS over HTTPS\u00bb genom anv\u00e4ndningen av den vanliga DNS-protokollet (som vanligtvis anv\u00e4nder n\u00e4tverksport 853), insvept i en krypterad kommunikationskanal, organiserad med hj\u00e4lp av TLS-protokollet med v\u00e4rdvalidering via TLS\/SSL-certifikat utf\u00e4rdade av en certifikatutf\u00e4rdare. Den befintliga standarden DNSSEC anv\u00e4nder kryptering endast f\u00f6r autentisering av klient och server, men skyddar inte trafiken fr\u00e5n avlyssning och garanterar inte konfidentialiteten f\u00f6r f\u00f6rfr\u00e5gningar. <\/p>\n N\u00e5gra andra nyheter: <\/p>\n\n