{"id":36194,"date":"2019-10-31T22:10:13","date_gmt":"2019-10-31T19:10:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020\/"},"modified":"2019-10-31T22:10:13","modified_gmt":"2019-10-31T19:10:13","slug":"reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-powerdns-recursor-4-2-i-initsiativa-dns-flag-day-2020","title":{"rendered":"Utg\u00e5van av PowerDNS Recursor 4.2 och DNS flag day 2020-initiativet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Efter ett och ett halvt \u00e5rs utveckling presenteras<\/a><\/noindex> utgivning av cachelagrad DNS-server PowerDNS Recursor 4.2<\/a><\/noindex>, som ansvarar f\u00f6r rekursiv namn\u00f6vers\u00e4ttning. PowerDNS Recursor bygger p\u00e5 samma kodbas som PowerDNS Authoritative Server, men de rekursiva och auktoritativa DNS-servrarna i PowerDNS utvecklas inom olika utvecklingscykler och sl\u00e4pps som separata produkter. Projektets kod sprids<\/a><\/noindex> \u00e4r under GPLv2-licensen. <\/p>\n

I den nya versionen har alla problem relaterade till bearbetning av DNS-paket med EDNS-flaggor \u00e5tg\u00e4rdats. I \u00e4ldre versioner av PowerDNS Recursor f\u00f6re 2016 ignorerades paket med ej st\u00f6dja flaggor av EDNS, utan att skicka svar i gammalt format, genom att avf\u00e4rda EDNS-flaggorna, vilket specifikationen kr\u00e4ver. Tidigare st\u00f6ddes detta icke-standardbeteende i BIND genom en workaround, men inom den genomf\u00f6rda<\/a><\/noindex> februari-initiativet DNS flag day<\/a><\/noindex>, beslutade utvecklare av DNS-servrar att \u00f6verge denna workaround. <\/p>\n

I PowerDNS \u00e5tg\u00e4rdades de huvudsakliga problemen med bearbetning av EDNS-paket redan 2017 i version 4.1, och i den version som sl\u00e4pptes 2016, 4.0, d\u00f6k det upp vissa inkompatibiliteter under specifika omst\u00e4ndigheter som i allm\u00e4nhet inte st\u00f6rde den normala driften. I PowerDNS Recursor 4.2, precis som i BIND 9.14<\/a><\/noindex>, har workaround-l\u00f6sningar f\u00f6r st\u00f6d av auktoritativa servrar som svarar felaktigt p\u00e5 f\u00f6rfr\u00e5gningar med EDNS-flaggor tagits bort. Tidigare, om inget svar kom efter att en f\u00f6rfr\u00e5gan med EDNS-flaggor skickats efter en viss tid, ans\u00e5g DNS-servern att de ut\u00f6kade flaggorna inte st\u00f6ddes och skickade en upprepning av f\u00f6rfr\u00e5gan utan EDNS-flaggor. Detta beteende har nu inaktiverats, eftersom f\u00f6rekomsten av s\u00e5dan kod ledde till \u00f6kad latens p\u00e5 grund av upprepade paket\u00f6verf\u00f6ringar, \u00f6kade n\u00e4tverksbelastningar och otydlighet vid avsaknad av svar p\u00e5 grund av n\u00e4tverksfel, samt hindrade inf\u00f6randet av EDNS-baserade funktioner som anv\u00e4ndning av DNS-cookies f\u00f6r skydd mot DDoS-attacker. <\/p>\n

Under n\u00e4sta \u00e5r har man beslutat att genomf\u00f6ra en \u00e5tg\u00e4rd DNS flag day 2020<\/a><\/noindex>, som syftar till att fokusera uppm\u00e4rksamheten p\u00e5 l\u00f6sningen<\/a><\/noindex> av problem<\/a><\/noindex> med IP-fragmentering vid bearbetning av stora DNS-meddelanden. Inom ramen f\u00f6r initiativet planeras<\/a><\/noindex> ska de rekommenderade buffertstorlekarna f\u00f6r EDNS fastst\u00e4llas till v\u00e4rden p\u00e5 niv\u00e5 1200 byte, samt \u00f6vers\u00e4tta<\/a><\/noindex> bearbetning av f\u00f6rfr\u00e5gningar via TCP bli ett krav f\u00f6r st\u00f6d p\u00e5 servrar. F\u00f6r n\u00e4rvarande \u00e4r st\u00f6d f\u00f6r bearbetning av f\u00f6rfr\u00e5gningar via UDP obligatoriskt, medan TCP \u00e4r \u00f6nskv\u00e4rt men inte obligatoriskt f\u00f6r driften (standarden f\u00f6reskriver m\u00f6jligheten att st\u00e4nga av TCP). Det f\u00f6resl\u00e5s att ta bort m\u00f6jligheten till TCP-avst\u00e4ngning fr\u00e5n standarden och standardisera \u00f6verg\u00e5ngen fr\u00e5n att skicka f\u00f6rfr\u00e5gningar via UDP till att anv\u00e4nda TCP n\u00e4r den angivna buffertstorleken f\u00f6r EDNS inte \u00e4r tillr\u00e4cklig.<\/p>\n

F\u00f6reslagna f\u00f6r\u00e4ndringar inom initiativet kommer att undanr\u00f6ja f\u00f6rvirringen kring valet av EDNS-bufferstorlek och l\u00f6sa problemet med fragmentering av stora UDP-meddelanden, vars behandling ofta leder till paketf\u00f6rlust och tids\u00f6verskridningar p\u00e5 klientsidan. P\u00e5 klientsidan kommer EDNS-bufferstorleken att vara konstant, och stora svar skickas omedelbart till klienten via TCP. Undantaget f\u00f6r att skicka stora meddelanden via UDP kommer ocks\u00e5 att m\u00f6jligg\u00f6ra blockering av attacker<\/a><\/noindex> mot DNS-cachef\u00f6rgiftning som \u00e4r baserade p\u00e5 manipulation av fragmenterade UDP-paket (vid fragmentering, inkluderas inte rubriken med identifierare i det andra fragmentet, vilket g\u00f6r att det kan f\u00f6rfalskas s\u00e5 l\u00e4nge kontrollsumman st\u00e4mmer).<\/p>\n

I PowerDNS Recursor 4.2 har problem med stora UDP-paket beaktats och \u00f6verg\u00e5ngen till att anv\u00e4nda EDNS-bufferstorlek (edns-outgoing-bufsize) p\u00e5 1232 byte har genomf\u00f6rts, ist\u00e4llet f\u00f6r den tidigare till\u00e4mpade gr\u00e4nsen p\u00e5 1680 byte, vilket b\u00f6r avsev\u00e4rt minska risken f\u00f6r UDP-paketf\u00f6rlust. V\u00e4rdet 1232 valdes eftersom det \u00e4r maximum d\u00e4r storleken p\u00e5 DNS-svaret i samband med IPv6 ryms inom det minimi MTU-v\u00e4rde (1280). V\u00e4rdet f\u00f6r truncation-threshold, som ansvarar f\u00f6r nedsk\u00e4rning av svar till klienten, har ocks\u00e5 minskats till 1232.<\/p>\n

Andra f\u00f6r\u00e4ndringar i PowerDNS Recursor 4.2:<\/p>\n