https://www.opennet.ru/openforum/vsluhforumID3/113836.html Состоялся (http://www.unbound.net/pipermail/unbound-users/2018-March/005105.html) релиз кеширующего DNS-сервера Unbound 1.7.0 (http://www.unbound.net/download.html), ориентированного на использование в промышленной инфраструктуре интернет сервис-провайдеров. Unbound распространяется под лицензией BSD, имеет модульную структуру и поддерживает работу резолвера в рекурсивном и кэширующем режиме, также имеется возможность проверки валидности DNSSEC сигнатур, асинхронных запросов и библиотеки для интеграции кода резолвера в пользовательские приложения. <br><br><br><br>Основные новшества:<br><br><br>- Поддержка авторитетных зон, которые можно отдавать из файла или загружать с других серверов через запросы AXFR и IXFR или даже указав URL ресурса, доступного через http/https. В том числе, новая функциональность позволяет разместить локальную копию корневой зоны. Подключение локальных файлов с зонами или задание ссылки на master-сервер осуществляется в секции "auth-zone";<br>- Режим агрессивной обработки NSEC, допускающий использо https://www.opennet.ru/openforum/vsluhforumID3/113836.html#8 Mon, 19 Mar 2018 12:03:09 GMT &gt; не будет решать dns-over-tls все задачи гарантирующие, что вы посещаете именно тот <br>&gt; сайт, который нужен! <br><br>Последняя часть, о решении "всех-всех" проблем, была легкой иронией. Но сабж в dns over tls умеет.<br><br>&gt; и что провайдер или сосед по лестничной клетке(вклинившись в ваш траффик) не узнает какие вы сайты посещаете! СМ моё другое сообщение здесь!<br><br>Удачи и соседу и провайдеру вклиниться в (грамотно реализованный) TLS.<br>Кстати, открою страшную тайну &#8211; провайдеру совсем не обязательно перехватывать запросы DNS, чтобы знать, куда вы ходите ;)<br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#7 Mon, 19 Mar 2018 05:59:03 GMT &gt;&gt; dnscrypt ты имел в виду, наверное?<br>&gt; DNSCrypt уже вроде не в моде.<br>&gt; Вместо него теперь DNS-over-TLS (https://tools.ietf.org/html/rfc7858) будет решать <br>&gt; все-все проблемы и задачи.<br><br>не будет решать dns-over-tls все задачи гарантирующие, что вы посещаете именно тот сайт, который нужен! и что провайдер или сосед по лестничной клетке(вклинившись в ваш траффик) не узнает какие вы сайты посещаете! СМ моё другое сообщение здесь!<br><br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#6 Mon, 19 Mar 2018 05:55:50 GMT обычные пользователи используют сетевые настройки , которые им выдаёт провайдер, в том числе и днс сервера. Поэтому запросы на разрешения имён посещаемых узлов пользователем шлются на днс сервер провайдера. Поэтому провайдер знает по каким сайтам вы ходите. можно поднять свой кеширующий сервис имён и не использовать днс сервер провайдера. Unbound - отличный вариант для этого, маленький и многоплатформенный! Он имея список корневых серверов сам разбирается кого(какие днс сервера) отпросить, чтобы найти то имя, который ввёл пользователь в адресной строке. Все днс запросы посылаются без шифрования: и от браузера к днс серверу и дальше от одного днс сервера к другому. Так что формально провайдер может видеть запросы от вашего unbound, но для этого ему уже нужны снифферы.<br>Есть нестандартное решение(dnscrypt), которое позволяет шифровать запросы от клиента к серверу днс. для этого на клиенте и на сервере нужно установить дополнительное ПО, хотя открытое, но не всеми поддерживаемое!<br>Но запросы между серверами https://www.opennet.ru/openforum/vsluhforumID3/113836.html#5 Sat, 17 Mar 2018 18:52:58 GMT &gt; dnscrypt ты имел в виду, наверное? <br><br>DNSCrypt уже вроде не в моде. <br>Вместо него теперь DNS-over-TLS (https://tools.ietf.org/html/rfc7858) будет решать все-все проблемы и задачи.<br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#4 Sat, 17 Mar 2018 18:22:37 GMT dnscrypt ты имел в виду, наверное? чем тебя спасёт dnssec в твоём сценарии - непонятно<br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#3 Sat, 17 Mar 2018 10:35:26 GMT Удобная штука и небольшая - я обычно на винде ставлю везде, и прописываю первым днс сервером 127.0.0.1 (или вообще единственным), потом провайдера или днс сервера провайдера вовсе не прописываю, чтобы на днс сервере провайдера мои запросы не оставались. Они в принципе и так их могут посмотреть, но может им посложнее будет сделать, хотя тут дело техники...<br>Жаль DNSSEC не хотят даже банки вводить в личных кабинетах, древние люди. Мало распространён этот протокол в России или может мало админов способных с настройками DNSSEC разобраться :)<br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#2 Fri, 16 Mar 2018 14:19:04 GMT Ок<br> https://www.opennet.ru/openforum/vsluhforumID3/113836.html#1 Fri, 16 Mar 2018 07:14:58 GMT Лучший DNS-ресолвер, я считаю.<br>