The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Релиз DNS-сервера BIND 9.8.0

01.03.2011 22:03

Компания ISC представила первый стабильный релиз новой ветки DNS-сервера BIND 9.8.

Из улучшений BIND 9.8 можно отметить:

  • Вместо статической хэш-таблицы фиксированного размера для хранения кэша ответов от авторитативных DNS-серверов теперь задействован динамически расширяемый ADB hash. На нагруженных серверах новый хэш позволит избавиться от коллизий и исключит вызванные ими провалы во времени обслуживания запросов;
  • Добавлена поддержка нового типа зон "static-stub", которые позволяют указать конкретные IP по которым следует обращаться для преобразования имен (resolving) заданных зон, в обход обслуживающих данные зоны DNS-серверов;
  • Добавлена поддержка механизма Response Policy Zones, позволяющего на лету вычислять "репутацию" для DNS-имен через создание специальной децентрализованной DNS-зоны (аналог DNSBL для борьбы с хостами спамеров и мошенников);
  • Добавлена поддержка DNS64, позволяющая автоматически синтезировать IPv6 AAAA-записи на основании IPv4 A-записей, а также IP6.ARPA CNAME блоки для существующих IN-ADDR.ARPA;
  • В Dynamically Loadable Zones (DLZ) добавлена поддержка динамических обновлений и возможность создания внешних DLZ-драйверов, не требующих прямой линковки на этапе сборки. Для использования внешних DLZ-драйверов в блоке update-policy добавлена поддержка нового типа соответствия "external";
  • В коде GSS-TSIG исправлено большое число ошибок, добавлено несколько новшеств и улучшена совместимость с динамическими обновлениями от Microsoft DHCP;
  • В утилите dig появилась новая опция "+onesoa", позволяющая запретить вывод дополнительных SOA-записей в AXFR-ответе;
  • В named.conf добавлена опция 'resolver-query-timeout', дающая возможность определить таймаут в секундах для рекурсивных запросов;
  • Вместо "RTT banding" осуществлен уход к старому методу выбора сервера для выполнения рекурсивного запроса, при котором выбирается авторитативный сервер с минимальным RTT. В прошлых версиях с целью усиления защиты от атак по отравлению DNS-кэша применялся метод случайного выбора авторитативного сервера, который приносил больше вреда чем пользы из-за снижения эффективности формирования запроса (resolver обращался не всегда к самому быстрому авторитивному серверу, что приводило к возникновению задержек и сводило на нет топологические оптимизации).


  1. Главная ссылка к новости (http://www.isc.org/announcemen...)
  2. OpenNews: Представлена первая тестовая сборка DNS-сервера BIND 10
  3. OpenNews: Представлен инструмент для проведения атак "DNS rebinding"
  4. OpenNews: Проект BIND 10 готовится к началу тестирования
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/29759-bind
Ключевые слова: bind, dns
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (16) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, A1ek (?), 22:35, 01/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Вместо "RTT banding" осуществлен уход к старому методу выбора сервера для выполнения рекурсивного запроса
    здравый смысл восторжествовал!
     
  • 1.2, DeadLoco (ok), 12:27, 02/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    static-stub - тоже неплохо, можно будет указывать на себя.
     
  • 1.3, mirr0r (ok), 12:49, 02/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    static-stub
    одобрямс )))
    все дальше от монополии ICANN, теперь янки не каждый ресурс смогут закрыть
    от остального мира.
     
  • 1.5, Sergey (??), 22:04, 02/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    а у кого-нибудь получилось запустить?
    При сборке с openssl, на 4 разных серверах не запускается :-(
    initializing DST: openssl failure
    exiting (due to fatal error)
     
     
  • 2.8, mator (?), 12:45, 03/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    freebsd 8.2 release, собирал стандартно, только с указанием prefix'a, получилось:

    # sbin/named -V
    BIND 9.8.0 built with '--prefix=/usr/local/named'
    using OpenSSL version: OpenSSL 0.9.8q 2 Dec 2010
    using libxml2 version: 2.7.8

    запускается и работает нормально.

     
     
  • 3.9, Sergey (??), 18:24, 03/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    у меня 7.1-RELEASE, но порты все самые свежие, но не стартует
    named -V
    BIND 9.8.0 built with '--localstatedir=/var' '--disable-linux-caps' '--disable-s
    ymtable' '--with-randomdev=/dev/random' '--with-openssl=/usr/local' '--with-libx
    ml2=/usr/local' '--with-idn=/usr/local' '--with-libiconv=/usr/local' 'STD_CDEFIN
    ES=-DDIG_SIGCHASE=1' '--enable-threads' '--sysconfdir=/etc/namedb' '--prefix=/us
    r' '--mandir=/usr/share/man' '--infodir=/usr/share/info/' '--build=i386-portbld-
    freebsd7.1' 'build_alias=i386-portbld-freebsd7.1' 'CC=cc' 'CFLAGS=-O2 -fno-stric
    t-aliasing -pipe -march=pentium4' 'LDFLAGS= -rpath=/usr/local/lib' 'CPP=cpp' 'CX
    X=c++' 'CXXFLAGS=-O2 -fno-strict-aliasing -pipe -march=pentium4'
    using OpenSSL version: OpenSSL 1.0.0d 8 Feb 2011
    using libxml2 version: 2.7.8
     
     
  • 4.10, Sergey (??), 07:20, 04/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    печально, но на 7.1-RELEASE i386 не работает.
    А на 8.2 заработало:
    named -V
    BIND 9.8.0 built with '--localstatedir=/var' '--disable-linux-caps' '--disable-s
    ymtable' '--with-randomdev=/dev/random' '--with-openssl=/usr' '--with-libxml2=/u
    sr/local' '--with-idn=/usr/local' '--with-libiconv=/usr/local' 'STD_CDEFINES=-DD
    IG_SIGCHASE=1' '--enable-threads' '--sysconfdir=/etc/namedb' '--prefix=/usr' '--
    mandir=/usr/share/man' '--infodir=/usr/share/info/' '--build=x86_64-portbld-free
    bsd8.2' 'build_alias=x86_64-portbld-freebsd8.2' 'CC=cc' 'CFLAGS=-O -pipe -march=
    nocona' 'LDFLAGS= -rpath=/usr/lib:/usr/local/lib' 'CPP=cpp' 'CXX=c++' 'CXXFLAGS=
    -O -pipe -march=nocona'
    using OpenSSL version: OpenSSL 0.9.8q 2 Dec 2010
    using libxml2 version: 2.7.8
     
     
  • 5.11, evil (??), 16:21, 04/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    всё дело в этом - OpenSSL 0.9.8q посмотри внимательно на два поста и найди 2 отличия
     
     
  • 6.12, Sergey (??), 16:52, 04/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Уже смекнул, но рука не подымается откатиться с релиза openSSL, который столько лет ждали ... Похоже придется ждать BIND 9.8.1
     
  • 5.13, Sergey (??), 20:06, 06/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    провел еще несколько экспериментов на разных машинах, действительно с последним openssl не запускается, со старрым все в норме. Написал багрепорты на http://www.isc.org и на http://www.openssl.org/ будем надеяться поправят ...

    Mar  6 16:39:01 proxy named[4502]: starting BIND 9.8.0 -u bind -c /etc/namedb/na
    med.conf -t /var/named -u bind
    Mar  6 16:39:01 proxy named[4502]: built with '--localstatedir=/var' '--disable-
    linux-caps' '--disable-symtable' '--with-randomdev=/dev/random' '--with-openssl=
    /usr/local' '--with-libxml2=/usr/local' '--with-idn=/usr/local' '--with-libiconv
    =/usr/local' 'STD_CDEFINES=-DDIG_SIGCHASE=1' '--enable-threads' '--sysconfdir=/e
    tc/namedb' '--prefix=/usr' '--mandir=/usr/share/man' '--infodir=/usr/share/info/
    ' '--build=x86_64-portbld-freebsd8.2' 'build_alias=x86_64-portbld-freebsd8.2' 'C
    C=cc' 'CFLAGS=-O -pipe -march=nocona' 'LDFLAGS= -rpath=/usr/local/lib' 'CPP=cpp'
    'CXX=c++' 'CXXFLAGS=-O -pipe -march=nocona'
    Mar  6 16:39:01 proxy named[4502]: found 4 CPUs, using 4 worker threads
    Mar  6 16:39:01 proxy named[4502]: using up to 4096 sockets
    Mar  6 16:39:01 proxy named[4502]: initializing DST: openssl failure
    Mar  6 16:39:01 proxy named[4502]: exiting (due to fatal error)

     
     
  • 6.14, san73w (?), 14:34, 15/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Попробуй скопировать папку /usr/local/lib/engines в CHROOT окружение,
    т.е. в /var/named/usr/local/lib/engines
    Удачи
     
     
  • 7.15, Sergey (??), 15:38, 15/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Сделал симлинки  в /var/named/usr/local/lib/engines  и в /var/named/usr/lib/engines
    на /usr/local/lib/engines но не помогло :-(

     
     
  • 8.16, Sergey (??), 19:58, 16/03/2011 [^] [^^] [^^^] [ответить]  
  • +/
    openssl org ответили BIND does not seem to provide any information about what f... текст свёрнут, показать
     
  • 8.17, Дым (?), 10:42, 03/05/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Симлинки не канают бинд не может выглядывать выше джейла Нужно именно скопиров... текст свёрнут, показать
     

  • 1.6, mirr0r (ok), 22:30, 02/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Если время наскребу - заюзаю обязательно.
    Очень меня static-stub заинтриговала.
     
  • 1.7, Аноним (-), 11:45, 03/03/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    у static-stub от froward одно отличие - шлет нерекурсивные запросы.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру