Состоялся (https://www.knot-dns.cz/2018-10-11-version-273.html) релиз KnotDNS 2.7.3 (https://www.knot-dns.cz/), высокопроизводительного авторитативного DNS сервера (рекурсор выполнен в виде отдельного приложения), поддерживающего все современные возможности DNS. Проект разрабатывается чешским реестром имен CZ.NIC и распространяется (https://gitlab.labs.nic.cz/knot/knot-dns.git) под лицензией GPLv3. Сервер отличается ориентацией на высокую производительность обработки запросов, для чего применяется многопоточная, и по большей части неблокирующая реализация, хорошо масштабируемая на SMP-системах. Предоставляются такие возможности, как добавление и удаление зон на лету, передача зон между серверами, DDNS (динамические обновления), NSID (RFC 5001), расширения EDNS0 и DNSSEC (включая NSEC3), ограничения интенсивности ответов (RRL).В новом выпуске:
- Реализован модуль queryacl (https://www.knot-dns.cz/docs/2.7/html/modules.html#queryacl-...) при помощи которого можно разрешить доступ к определённой зоне только с перечисленных IP-адресов или подсетей;- Добавлена опция "answer-rotation" для включения или отключения ротации отсортированных записей rrset (resource record set) в ответах;
- В модуле onlinesign появилась опция "nsec-bitmap" для задания списка RR (Resource Record) типов для NSEC;
- Улучшено отражение в логе операций с KASP DB.
URL: https://www.knot-dns.cz/2018-10-11-version-273.html
Новость: https://www.opennet.me/opennews/art.shtml?num=49437
Круто. Юзаем в продакшене, полет отличный!
вы будете ржать, но где-то в 20:19 по москве он у них навернулся ;-)В смысле не вебсайт, а именно dns. Видимо, nic.cz неудачно проапгрейдился.
" и по большей части неблокирующая реализация"А что может быть блокирующего в DNS сервере?
Ну там, обновление записей, еще чонить...
Обновление зон как своих так и зон слейвов :)
Мне кажется про DNSSEC в новостях можно не писать, русских безопасность не очень волнует, им всё равно на тот ли сайт зашли они, в том ли банке сняли деньги. Менталитет такой - беспечность называется.
Можно сказать, что dnssec не используют в России...
При помощи DNSSEC на бутылку не залезть.
в бутылку залезть - это тоже менталитет :)
> Мне кажется про DNSSEC в новостях можно не писатьну что вы, что вы, белок-истеричек у нас тут много.
> русских безопасность не очень волнует
безопасТность - в смысле видимость бурной деятельности - не волнует не только гуссхих.
когда и если вы мне продемонстрируете страшный и ужасный эксплойт, заставящий меня всерьез отдать деньги чужому банку (и он будет как-то связан с dns, а не с прекрасными новыми веяниями в веб, типа невидимых фреймов тинькова) - тогда может и начнет.
А пока меня гораздо больше волнует вот это:
> That's not a supported configuration.
> The local_unbound service was never intended to be started without
> a network connection.тадам - стартанувшая при лежащей сети штатно установленная freebsd 12 ничего проресолвить не может - валидация ключей включена, валидных сигнатур нет, вшитые в бинарник unbound - тухлые.
[особенности получения изначального root.key при этом таковы, что вся секьюрить множится на ноль - в этот момент можно прислать что угодно, ибо проверить еще нечем]
А в 11.2 также? 12 вроде нерелиз.
к релизу обещали другую версию unbound, там в исходнике файл с (пока)непротухшими сигнатурами и, кажется, встроенная автообновлялка (а та что не работает - это местная самодеятельность из local_unbound - цитата - это его майнтейнер такую пургу несет)В 11.2 не знаю какая версия и включены ли проверки в ней. (и лень смотреть, я еще на ней с bind9 [собранным без openssl] поживу годик, а вот дальше будет выбор либо уродец 10й, либо unbound искаропки, выбор очевиден, и хорошо бы оно к тому времени искаропки работало, а не наоборот, доломали).
киса, ты из какого класса