Выпуск DNS-сервера BIND 9.16.0

20.02.2020 22:13

После 11 месяцев разработки консорциум ISC представил первый стабильный релиз новой значительной ветки DNS-сервера BIND 9.16. Поддержка ветки 9.16 будет осуществляться в течение трёх лет до 2 квартала 2023 года в рамках расширенного цикла сопровождения. Обновления для прошлой LTS-ветки 9.11 продолжат выпускаться до декабря 2021 года. Поддержка ветки 9.14 прекратится через три месяца.

Основные новшества:

Добавлен KASP (Key and Signing Policy), упрощённый способ управления ключами и цифровыми подписями DNSSEC, основанный на задании правил, определённых при помощи директивы "dnssec-policy". Данная директива позволяет настроить генерацию для DNS-зон необходимых новых ключей и автоматическое применение ключей ZSK и KSK.
Существенно переработана сетевая подсистема, которая переведена на механизм асинхронной обработки запросов, реализованный на основе библиотеки libuv. Переработка пока не привела к видимым изменениям, но в дальнейших выпусках она даст возможность реализовать некоторые существенные оптимизации производительности и добавить поддержку новых протоколов, таких как DNS over TLS.
Улучшен процесс управления доверительными привязками DNSSEC (Trust anchor, привязанный к зоне открытый ключ для проверки подлинности этой зоны). Вместо настроек trusted-keys и managed-keys, которые теперь объявлены устаревшими, предложена новая директива trust-anchors, позволяющая управлять обоими типами ключей.
При использовании trust-anchors с ключевым словом initial-key, поведение данной директивы идентично managed-keys, т.е. определяет настройку доверительной привязки в соответствии с RFC 5011. При использовании trust-anchors с ключевым словом static-key, поведение соответствует директиве trusted-keys, т.е. определяет постоянный ключ, который не обновляется автоматически. Также в trust-anchors предлагаются ещё два ключевых слова initial-ds и static-ds, позволяющие использовать доверительные привязки в формате DS (Delegation Signer) вместо DNSKEY, который даёт возможность настройки привязок для ещё не опубликованных ключей (в будущем организация IANA планирует использовать формат DS для ключей корневых зон).
В утилиты dig, mdig и delv добавлена опция "+yaml" для вывода в формате YAML.
В утилиту dig добавлена опция "+[no]unexpected", разрешающая приём ответов от хостов, отличающихся от сервера, которому был отправлен запрос.
В утилиту dig добавлена опция "+[no]expandaaaa", при указании которой IPv6-адреса в записях AAAA показываются в полном 128-битном представлении, а не в формате RFC 5952.
Добавлена возможность переключения групп каналов статистики.
Записи DS и CDS теперь генерируются только на базе хэшей SHA-256 (генерация на базе SHA-1 прекращена).
Для DNS Cookie (RFC 7873) по умолчанию задействован алгоритм SipHash 2-4, а поддержка HMAC-SHA прекращена (AES оставлен).
Вывод команд dnssec-signzone и dnssec-verify теперь направляется в стандартный выходной поток (STDOUT), а в STDERR выводятся только сведения об ошибках и предупреждениях (при указании опции "-f" также выводится подписанная зона). Для приглушения вывода добавлена опция "-q".
Переработан код валидации DNSSEC, который избавлен от дублирования кода с другими подсистемами.
Для вывода статистики в формате JSON теперь может использоваться только библиотека JSON-C. Опция configure "--with-libjson" переименована в "--with-json-c".
В скрипте configure больше не выставляется по умолчанию параметр "--sysconfdir" в /etc, а "--localstatedir" в /var, если не указан параметр "--prefix". По умолчанию теперь используются пути $prefix/etc и $prefix/var, применяемые в Autoconf.
Удалён код с реализацией сервиса DLV (Domain Look-aside Verification, опция dnssec-lookaside), который был объявлен устаревшим в BIND 9.12, а связанный с ним обработчик dlv.isc.org был выключен в 2017 году. Удаление DLV позволило избавить код BIND от лишних усложнений.

исправить +9 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/52405-bind

Ключевые слова: bind, dns, dnssec

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (25)

1.1, Аноним (1), 22:44, 20/02/2020 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ] [к модератору]	–8 +/–

1.2, uberHacker (?), 22:47, 20/02/2020 [ответить] [﹢﹢﹢] [ · · · ] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–5 +/–
Меня и Unbound вполне устраивает.

2.3, Аноним (3), 23:14, 20/02/2020 [^] [^^] [^^^] [ответить] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+2 +/–
Bind tools в unbound тоже есть?

3.5, Аноним (5), 23:39, 20/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–2 +/–
drill есть взамето dig. Что еще надо?

2.4, бублички (?), 23:39, 20/02/2020 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+2 +/–
не знаешь ровным счётом ничего и спешишь этим похвастаться? ты умеешь настроить свой unbound работать авторитативным за хотя бы десяток зон с динамическим обновлением или хотяб для локальной копии root? уверен, всё что умеет конкретно твой взятый unbound, так это лишь перенаправлять все запросы на 1.1.1.1 или 8.8.8.8, либо на кэширующий резолвер твоего провайдера. тебе и unbound то много, пользуйся себе mDNS "из коробки"

3.7, uberHacker (?), 01:02, 21/02/2020 Скрыто ботом-модератором [к модератору]	–2 +/–

3.15, name (??), 08:18, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–1 +/–
Ну как-бы Unbound is a validating, recursive, and caching DNS resolver product from NLnet Labs. Авторитативный - NSD от этого же разработчика.

4.16, бублички (?), 08:37, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–2 +/–
да что ты!? объясни это uberHacker и анонимам, а я и без тебя это знаю

1.6, крок (?), 23:44, 20/02/2020 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
Наконец то от туда выперли старперов и взялись за оптимизацию архитектуры!

2.14, aa (?), 07:17, 21/02/2020 [^] [^^] [^^^] [ответить] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+3 +/–
а где видна оптимизация архитектуры? в выводе ямла и джсона?

3.17, mommy (?), 09:08, 21/02/2020 [^] [^^] [^^^] [ответить] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–2 +/–
Ну дык а ты что хотел, новички хипсточки обожают джонсинщину. И это их максимум, ну еще ломать умеют, или на расте поделки лепить.

4.20, Аноним (20), 14:12, 21/02/2020 [^] [^^] [^^^] [ответить] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+1 +/–
То ли дело для каждого уникального формата вывода парсеры на баше писать, ух! Задача для тру ветеранов.

5.24, gogo (?), 16:50, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–2 +/–
У ДНС нет настолько сложных выводов, чтобы парсер в одну строку не уместился. Но, конечно же, json нужен. Ибо неокутанные тэегами данные слепят молодой взор ))

6.25, анончик (?), 18:50, 21/02/2020 [^] [^^] [^^^] [ответить] [↓] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]

+1 +/–

ну-ка, ну-ка, давай в студию чудесный парсер вывода поля when у команды dig.

оно в зависимости от версии и того, на чём запущено, может:
1. не выводить таймзону
2. выводить таймзону тремя буквами
3. выводить какую-то фигню вместо таймзоны (в ряде случае -- не на английском, в странной кодировке и да, LC_ALL на это не влияет).

распарсишь весь вот этот зоопарк в ISO 8601?

7.26, анончик (?), 18:55, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
и да, таймзоны там просто огонь. например, вывело оно таймзону Eur -- угадаешь, какая именно из европейских зон эта (нет, это не CET).

6.29, Аноним (29), 14:32, 22/02/2020 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
> У ДНС нет настолько сложных выводов, чтобы парсер в одну строку не уместился. Советую почитать RFC 1035 и удивиться. То, что вы не знаете 95% возможностей DNS, не значит, что их нет.

4.22, НяшМяш (ok), 14:35, 21/02/2020 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–1 +/–
> новички хипсточки обожают > на расте поделки лепить Эх, если бы все новички были настолько продвинутые...

5.23, Toooj (?), 14:51, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	–1 +/–
То можно их было бы закапывать вместе с их растиком?

6.28, Аноним (29), 14:30, 22/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
И книги сжигать!

3.19, Аноним (20), 13:00, 21/02/2020 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
libuv

3.21, крок (?), 14:24, 21/02/2020 [^] [^^] [^^^] [ответить] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+1 +/–
А разве их вывод это основной функционал? Либюв - это нормальная эвентдривен штука, которая про проблему 10к, ну и вообще ихняя кеа тоже из этой оперы.

2.18, fx (ok), 12:31, 21/02/2020 [^] [^^] [^^^] [ответить] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
то от какого туда?

1.27, Аноним (27), 07:53, 22/02/2020 [ответить] [﹢﹢﹢] [ · · · ] [↑] [п©Б∙╗ п©Б∙╙п©Б∙╛п©Б∙╒п©Б∙ёя▐Б■─п©Б∙÷я▐Б■▄п©Б∙╛я▐Б■─я▐Б■░]	+/–
> Удаление DLV позволило избавить код BIND от лишних усложнений. И блокировки легче.

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: