PowerDNS Recursor 4.2 اور DNS فلیگ ڈے 2020 پہل کی ریلیز

ڈیڑھ سال کی ترقی کے بعد پیش کیا کیشنگ DNS سرور کی رہائی پاور ڈی این ایس ریسورس 4.2, تکراری نام کی تبدیلی کے لیے ذمہ دار۔ پاور ڈی این ایس ریکرسر اسی کوڈ بیس پر بنایا گیا ہے جیسے پاور ڈی این ایس مستند سرور، لیکن پاور ڈی این ایس ریکسریو اور مستند ڈی این ایس سرورز مختلف ڈویلپمنٹ سائیکلوں کے ذریعے تیار کیے جاتے ہیں اور الگ الگ مصنوعات کے طور پر جاری کیے جاتے ہیں۔ پروجیکٹ کوڈ نے بانٹا GPLv2 کے تحت لائسنس یافتہ۔

نیا ورژن EDNS جھنڈوں کے ساتھ DNS پیکٹس کی پروسیسنگ سے متعلق تمام مسائل کو ختم کرتا ہے۔ پاور ڈی این ایس ریکرسر کے 2016 سے پہلے کے پرانے ورژنوں میں پرانے فارمیٹ میں جواب بھیجے بغیر غیر تعاون یافتہ EDNS جھنڈوں والے پیکٹوں کو نظر انداز کرنے کا رواج تھا، تفصیلات کے مطابق EDNS جھنڈوں کو رد کر دیا گیا تھا۔ پہلے، اس غیر معیاری رویے کو BIND میں ایک کام کی شکل میں سپورٹ کیا گیا تھا، لیکن اس کے دائرہ کار میں انجام دیا فروری کے اقدامات میں DNS پرچم کا دن، DNS سرور ڈویلپرز نے اس ہیک کو ترک کرنے کا فیصلہ کیا۔

پاور ڈی این ایس میں، ای ڈی این ایس کے ساتھ پیکٹس کی پروسیسنگ میں بنیادی مسائل کو 2017 میں ریلیز 4.1 میں ختم کر دیا گیا تھا، اور 2016 میں جاری کی گئی 4.0 برانچ میں، انفرادی عدم مطابقتیں سامنے آئیں جو ایک مخصوص سیٹ کے تحت پیدا ہوتی ہیں اور عام طور پر، معمول میں مداخلت نہیں کرتی ہیں۔ آپریشن پاور ڈی این ایس ریکرسر 4.2 میں، جیسا کہ میں 9.14 پابند, EDNS جھنڈوں کے ساتھ درخواستوں کا غلط طریقے سے جواب دینے والے مستند سرورز کو سپورٹ کرنے کے لیے کام کو ہٹا دیا گیا۔ اب تک، اگر EDNS جھنڈوں کے ساتھ درخواست بھیجنے کے بعد ایک مخصوص مدت کے بعد کوئی جواب نہیں آیا، تو DNS سرور نے فرض کیا کہ توسیعی جھنڈوں کی حمایت نہیں کی گئی اور EDNS جھنڈوں کے بغیر دوسری درخواست بھیجی۔ اس طرز عمل کو اب غیر فعال کر دیا گیا ہے کیونکہ اس کوڈ کے نتیجے میں پیکٹ کی دوبارہ ترسیل کی وجہ سے تاخیر میں اضافہ ہوا، نیٹ ورک کی ناکامیوں کی وجہ سے جواب نہ دینے پر نیٹ ورک کا بوجھ اور ابہام میں اضافہ ہوا، اور DDoS حملوں سے بچانے کے لیے EDNS پر مبنی خصوصیات جیسے DNS کوکیز کے نفاذ کو روک دیا گیا۔

ایونٹ آئندہ سال منعقد کرنے کا فیصلہ کیا گیا ہے۔ ڈی این ایس فلیگ ڈے 2020پر توجہ مرکوز کرنے کے لئے ڈیزائن کیا گیا ہے۔ فیصلہ مسائل بڑے DNS پیغامات پر کارروائی کرتے وقت IP فریگمنٹیشن کے ساتھ۔ پہل کے حصے کے طور پر منصوبہ بند ہے EDNS کے لیے تجویز کردہ بفر سائز کو 1200 بائٹس تک درست کریں، اور ترجمہ کریں۔ TCP کے ذریعے درخواستوں پر کارروائی کرنا سرورز پر ایک لازمی خصوصیت ہے۔ اب UDP کے ذریعے درخواستوں پر کارروائی کے لیے تعاون درکار ہے، اور TCP مطلوبہ ہے، لیکن آپریشن کے لیے اس کی ضرورت نہیں ہے (معیار کے لیے TCP کو غیر فعال کرنے کی اہلیت کی ضرورت ہوتی ہے)۔ TCP کو معیاری سے غیر فعال کرنے کے اختیار کو ہٹانے اور UDP پر درخواستیں بھیجنے سے TCP کے استعمال کی منتقلی کو معیاری بنانے کی تجویز ہے جہاں EDNS بفر کا سائز کافی نہیں ہے۔

پہل کے حصے کے طور پر تجویز کردہ تبدیلیاں EDNS بفر سائز کے انتخاب میں الجھن کو ختم کریں گی اور بڑے UDP پیغامات کے ٹکڑے ہونے کا مسئلہ حل کریں گی، جس کی پروسیسنگ اکثر پیکٹ کے نقصان اور کلائنٹ کی طرف سے ٹائم آؤٹ کا باعث بنتی ہے۔ کلائنٹ کی طرف سے، EDNS بفر کا سائز مستقل رہے گا اور TCP پر کلائنٹ کو فوری طور پر بڑے جوابات بھیجے جائیں گے۔ UDP پر بڑے پیغامات بھیجنے سے گریز کرنا بھی آپ کو بلاک کرنے کی اجازت دے گا۔ حملے ڈی این ایس کیشے کو زہر دینے کے لیے، بکھرے ہوئے UDP پیکٹوں کی ہیرا پھیری کی بنیاد پر (جب ٹکڑوں میں تقسیم ہوتا ہے، تو دوسرے ٹکڑے میں شناخت کنندہ کے ساتھ ہیڈر شامل نہیں ہوتا ہے، اس لیے اسے جعلی بنایا جا سکتا ہے، جس کے لیے یہ صرف چیکسم کے میچ کے لیے کافی ہے) .

پاور ڈی این ایس ریکرسر 4.2 بڑے UDP پیکٹ کے مسائل کو مدنظر رکھتا ہے اور 1232 بائٹس کی پہلے استعمال شدہ حد کے بجائے 1680 بائٹس کے EDNS بفر سائز (edns-outgoing-bufsize) کو استعمال کرنے پر سوئچ کرتا ہے، جس سے UDP پیکٹ کے کھونے کے امکانات کو نمایاں طور پر کم کرنا چاہیے۔ . قدر 1232 کا انتخاب اس لیے کیا گیا کہ یہ زیادہ سے زیادہ ہے جس پر DNS جواب کا سائز، IPv6 کو مدنظر رکھتے ہوئے، کم از کم MTU قدر (1280) میں فٹ بیٹھتا ہے۔ ٹرنکیشن تھریشولڈ پیرامیٹر کی قدر، جو کلائنٹ کے جوابات کو تراشنے کے لیے ذمہ دار ہے، کو بھی کم کر کے 1232 کر دیا گیا ہے۔

پاور ڈی این ایس ریکرسر 4.2 میں دیگر تبدیلیاں:

• میکانزم کی حمایت شامل کی گئی۔ XPF (X-Proxied-For)، جو کہ X-Forwarded-For HTTP ہیڈر کا DNS مساوی ہے، جو اصل درخواست گزار کے IP ایڈریس اور پورٹ نمبر کے بارے میں معلومات کو انٹرمیڈیٹ پراکسیز اور لوڈ بیلنسرز (جیسے dnsdist) کے ذریعے آگے بھیجنے کی اجازت دیتا ہے۔ . ایکس پی ایف کو فعال کرنے کے لیے آپشنز موجود ہیں "xpf-alllow-from"اور"xpf-rr-code«؛
• EDNS توسیع کے لیے بہتر سپورٹ کلائنٹ سب نیٹ (ECS)، جو آپ کو سب نیٹ کے بارے میں ایک مستند DNS سرور کی معلومات کو DNS سوالات میں منتقل کرنے کی اجازت دیتا ہے جہاں سے سلسلہ کے ساتھ منتقل ہونے والی ابتدائی درخواست کو زہر دیا گیا تھا (مواد کی ترسیل کے نیٹ ورکس کے موثر آپریشن کے لیے کلائنٹ کے سورس سب نیٹ کے بارے میں ڈیٹا ضروری ہے) . نئی ریلیز EDNS کلائنٹ سب نیٹ کے استعمال پر سلیکٹیو کنٹرول کے لیے سیٹنگز کا اضافہ کرتی ہے:ecs-add-forنیٹ ورک ماسک کی فہرست کے ساتھ جس کے لیے آئی پی کو ای سی ایس میں باہر جانے والی درخواستوں میں استعمال کیا جائے گا۔ ان پتوں کے لیے جو مخصوص ماسک کے اندر نہیں آتے، ہدایت میں بیان کردہ عام پتہ "ecs-scope-zero-address" ہدایت کے ذریعے "آنے والے-edns-subnet کا استعمال کریں۔» آپ ذیلی نیٹ کی وضاحت کر سکتے ہیں جہاں سے بھری ہوئی ECS اقدار کے ساتھ آنے والی درخواستوں کو تبدیل نہیں کیا جائے گا۔
• فی سیکنڈ (100 ہزار سے زیادہ) درخواستوں کی ایک بڑی تعداد پر کارروائی کرنے والے سرورز کے لیے ہدایت "ڈسٹریبیوٹر تھریڈز"، جو آنے والی درخواستوں کو وصول کرنے اور انہیں ورکر تھریڈز کے درمیان تقسیم کرنے کے لیے تھریڈز کی تعداد کا تعین کرتا ہے (صرف اس وقت سمجھ میں آتا ہے جب "pdns-distributes-queries=ہاں«)۔
• سیٹنگ شامل کر دی گئی۔ public-sufix-list-file کے ساتھ آپ کی اپنی فائل کی وضاحت کرنے کے لئے عوامی لاحقوں کی فہرست ڈومینز جن میں صارفین PowerDNS Recursor میں بنی فہرست کے بجائے اپنے ذیلی ڈومینز کو رجسٹر کر سکتے ہیں۔

پاور ڈی این ایس پروجیکٹ نے چھ ماہ کے ترقیاتی دور میں منتقل ہونے کا بھی اعلان کیا، پاور ڈی این ایس ریکرسر 4.3 کی اگلی بڑی ریلیز جنوری 2020 میں متوقع ہے۔ اہم ریلیز کے لیے اپ ڈیٹس پورے سال میں تیار کیے جائیں گے، جس کے بعد خطرے سے متعلق اصلاحات کو مزید چھ ماہ تک جاری کیا جائے گا۔ اس طرح، PowerDNS Recursor 4.2 برانچ کے لیے تعاون جنوری 2021 تک جاری رہے گا۔ اسی طرح کی ترقیاتی سائیکل تبدیلیاں PowerDNS مستند سرور کے لیے کی گئی ہیں، جس سے مستقبل قریب میں 4.2 جاری ہونے کی امید ہے۔

پاور ڈی این ایس ریکرسر کی اہم خصوصیات:

• دور دراز کے اعداد و شمار جمع کرنے کے اوزار؛
• فوری دوبارہ شروع؛
• Lua زبان میں ہینڈلرز کو جوڑنے کے لیے بلٹ ان انجن؛
• مکمل DNSSEC سپورٹ اور DNS64;
• RPZ (رسپانس پالیسی زونز) کے لیے سپورٹ اور بلیک لسٹ کی وضاحت کرنے کی صلاحیت؛
• اینٹی سپوفنگ میکانزم؛
• ریزولوشن کے نتائج کو BIND زون فائلوں کے بطور ریکارڈ کرنے کی صلاحیت۔
• اعلی کارکردگی کو یقینی بنانے کے لیے، فری بی ایس ڈی، لینکس اور سولاریس (kqueue، epoll، /dev/poll) میں جدید کنکشن ملٹی پلیکسنگ میکانزم کا استعمال کیا جاتا ہے، ساتھ ہی ساتھ ایک اعلی کارکردگی والا DNS پیکٹ پارسر جو دسیوں ہزار متوازی درخواستوں پر کارروائی کرنے کی صلاحیت رکھتا ہے۔

ماخذ: opennet.ru