Utvecklarna av DNS-servern BIND har meddelat att de i experimentell version 9.17 har lagt till serverst\u00f6d f\u00f6r teknologierna \"DNS \u00f6ver HTTPS\" (DoH, DNS over HTTPS) och DNS \u00f6ver TLS (DoT, DNS over TLS), samt mekanismen XFR-over-TLS f\u00f6r s\u00e4ker \u00f6verf\u00f6ring av DNS-zoninneh\u00e5ll mellan servrar. DoH \u00e4r tillg\u00e4ngligt f\u00f6r testning i version 9.17.10, medan st\u00f6d f\u00f6r DoT har funnits sedan version 9.17.7. Efter stabilisering kommer st\u00f6d f\u00f6r DoT och DoH att bakportas till den stabila versionen 9.16. <\/p>\n
Implementeringen av protokollet HTTP\/2, som anv\u00e4nds i DoH, baseras p\u00e5 anv\u00e4ndningen av biblioteket nghttp2, vilket ing\u00e5r bland byggberoenden (i framtiden planeras biblioteket att flyttas till i gruppen av valfria beroenden). B\u00e5de krypterade (TLS) och okrypterade anslutningar via HTTP\/2 st\u00f6ds. Med l\u00e4mpliga inst\u00e4llningar kan en named-process nu inte bara hantera traditionella DNS-f\u00f6rfr\u00e5gningar, utan ocks\u00e5 f\u00f6rfr\u00e5gningar som skickas med hj\u00e4lp av DoH (DNS-over-HTTPS) och DoT (DNS-over-TLS). St\u00f6d f\u00f6r HTTPS p\u00e5 klientsidan (dig) har \u00e4nnu inte implementerats. St\u00f6d f\u00f6r XFR-over-TLS \u00e4r tillg\u00e4ngligt f\u00f6r b\u00e5de inkommande och utg\u00e5ende f\u00f6rfr\u00e5gningar. <\/p>\n
Bearbetning av f\u00f6rfr\u00e5gningar med DoH och DoT aktiveras genom att l\u00e4gga till alternativen http och tls i direktivet listen-on. F\u00f6r att st\u00f6dja okrypterad DNS-over-HTTP m\u00e5ste inst\u00e4llningen ange \"tls none\". Nycklar definieras i sektionen \"tls\". Standard n\u00e4tverksportar 853 f\u00f6r DoT, 443 f\u00f6r DoH och 80 f\u00f6r DNS-over-HTTP kan \u00e5sidos\u00e4ttas genom parametrarna tls-port, https-port och http-port. Till exempel: tls local-tls { key-file \"\\\/path\\\/to\\\/priv_key.pem\"; cert-file \"\\\/path\\\/to\\\/cert_chain.pem\"; }; http local-http-server { endpoints { \"\\\/dns-query\"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; } <\/p>\n
Bland de utm\u00e4rkande egenskaperna f\u00f6r implementationen av DoH i BIND m\u00e4rks att den integreras som en gemensam transport som kan anv\u00e4ndas inte bara f\u00f6r att bearbeta f\u00f6rfr\u00e5gningar fr\u00e5n klienter till resolvern, utan ocks\u00e5 vid datadelning mellan servrar, vid \u00f6verf\u00f6ring av zoner av auktorativa DNS-servrar och vid behandling av alla f\u00f6rfr\u00e5gningar som st\u00f6ds av andra DNS-transporter. <\/p>\n
En annan funktion \u00e4r m\u00f6jligheten att flytta krypteringsoperationerna f\u00f6r TLS till en annan server, vilket kan beh\u00f6vas i situationer d\u00e4r TLS-certifikat lagras p\u00e5 ett annat system (till exempel i en infrastruktur med webbservrar) och hanteras av annan personal. St\u00f6det f\u00f6r okrypterad DNS-over-HTTP har implementerats f\u00f6r att f\u00f6renkla fels\u00f6kning och som ett lager f\u00f6r att vidarebefordra trafik i det interna n\u00e4tverket, p\u00e5 grundval av vilket kryptering kan organiseras p\u00e5 en annan server. P\u00e5 den frist\u00e5ende servern kan nginx anv\u00e4ndas f\u00f6r att generera TLS-trafik, p\u00e5 liknande s\u00e4tt som HTTPS-bindningar organiseras f\u00f6r webbplatser. <\/p>\n
Vi p\u00e5minner om att DNS-over-HTTPS kan vara anv\u00e4ndbart f\u00f6r att f\u00f6rhindra l\u00e4ckor av information om beg\u00e4rda v\u00e4rdnamn via internetleverant\u00f6rernas DNS-servrar, f\u00f6r att motverka MITM-attacker och modifikation av DNS-trafik (till exempel n\u00e4r man ansluter till offentliga Wi-Fi-n\u00e4t), samt f\u00f6r att motst\u00e5 blockeringar p\u00e5 DNS-niv\u00e5 (DNS-over-HTTPS kan inte ers\u00e4tta VPN<\/a> n\u00e4r det g\u00e4ller att kringg\u00e5 blockeringar som genomf\u00f6rts p\u00e5 DPI-niv\u00e5) eller f\u00f6r att organisera arbete n\u00e4r direkt \u00e5tkomst till DNS-servrar inte \u00e4r m\u00f6jlig (till exempel n\u00e4r man arbetar via en proxy). I en vanlig situation skickas DNS-f\u00f6rfr\u00e5gningar direkt till specifika DNS-servrar som definieras i systemets konfiguration, men i fallet DNS-over-HTTPS inkapslas f\u00f6rfr\u00e5gningen f\u00f6r att best\u00e4mma IP-adresser<\/a> v\u00e4rden i HTTPS-trafiken och skickas till en HTTP-server, d\u00e4r resolvern hanterar f\u00f6rfr\u00e5gningarna via Web API. <\/p>\n