V týmu vyvíjejícím škálovatelný kešující DNS resolver, Knot Resolver, v současné době pracujeme na komplexním řešení pro ochranu DNS serverů a ostatních uživatelů internetu před útoky typu denial-of-service (DoS). Tento vývoj je součástí projektu DNS4EU, kofinancovaného Evropskou unií1, jehož jsme hrdou součástí.
K dosažení tohoto cíle do Knot Resolveru přidáváme dva nové mechanismy:
Novinky v Knot Resolver 6.x
V tomto příspěvku bych rád představil nadcházející hlavní verzi projektu Knot Resolver, která je v tuto chvíli ve fázi testování a ladění a proto velmi oceníme, když si ji vyzkoušíte a poskytnete nám k ní jakoukoliv zpětnou vazbu.
RFC 9432: DNS Katalogové zóny
DNS zónu obvykle obsluhuje více autoritativních serverů, což je dokonce doporučeno z důvodu redundance. Velcí provozovatelé autoritativního DNS dokonce kombinují různé implementace name serverů, aby se vyhnuli úplnému výpadku infrastruktury v případě nějaké softwarové chyby. Pro synchronizaci obsahu zóny mezi autoritativními servery existuje pro DNS specifický mechanismus, který se nazývá transfer zóny. Je to osvědčený mechanismus, který podporují všechny běžné implementace DNS. Umožňuje jak transfer celé zóny (AXFR), tak inkrementální update (IXFR).
RFC 9432: DNS Katalogové zóny
DNS zónu obvykle obsluhuje více autoritativních serverů, což je dokonce doporučeno z důvodu redundance. Velcí provozovatelé autoritativního DNS dokonce kombinují různé implementace name serverů, aby se vyhnuli úplnému výpadku infrastruktury v případě nějaké softwarové chyby. Pro synchronizaci obsahu zóny mezi autoritativními servery existuje pro DNS specifický mechanismus, který se nazývá transfer zóny. Je to osvědčený mechanismus, který podporují všechny běžné implementace DNS. Umožňuje jak transfer celé zóny (AXFR), tak inkrementální update (IXFR).
Krátké vlny: Jednotná doména gov.cz jako součást velkého projektu státu
Stát připravil záměr migrace na jednotnou doménu a vytvoření jednotné vizuální identity ústředních orgánů státní správy. Materiál je nyní v meziresortu a jak podotknul na Twitteru Jakub Onderka, jedná se o třetí pokus vytvoření systému jednotné domény „.gov.cz“ v průběhu posledních 20 let. Nicméně doba pokročila a jednotná doména už není jen otázkou vizuálu, „aby to hezky vypadalo na státních vizitkách“ a přívětivosti pro občany, ale zejména snahou o zvýšení kybernetické bezpečnosti a právní jistoty uživatelů služeb státu.
Knot DNS – DNSSEC (2)
V předchozím dílu jsme si představili základy fungování a provozu DNSSEC na serveru Knot DNS. Dnes navážeme popisem některých dalších funkcí tohoto serveru, které s DNSSEC souvisí.
Nejčtenější články blogu CZ.NIC v roce 2021 aneb Co vás zajímalo nejvíce
Už několik let se na začátku ledna ohlížíme zpět, abychom si připomněli čtenářsky nejúspěšnější příspěvky našeho blogu za uplynulý rok. V roce 2021 vyšlo šedesát článků a mezi nejvyhledávanější patřily ty, které se věnovaly projektům mojeID a Turris, dále on-line bezpečnosti dětí na Internetu, programování nebo systému DNS. Přesněji se jednalo o následujících deset blogpostů:
Knot DNS – DNSSEC (1)
Internetový protokol DNS má počátky v roce 1983. Od svého vzniku prošel mnoha úpravami a je neustále rozvíjen. Mezi jeho nejvýznamnější rozšíření patří zabezpečení DNSSEC. O co jednodušší bylo v úvodním dílu zapnutí DNSSEC, o to složitější procesy probíhají pod kapotou. Dnes si přiblížíme jak DNSSEC funguje a jak ho lze efektivně provozovat se serverem Knot DNS.
Knot DNS – konfigurace
Abychom mohli server Knot DNS spustit, je třeba mu předložit nějakou konfiguraci. Konfigurace může být ve formě textového souboru nebo binární databáze. Pokud konfiguraci explicitně nezadáme, pokusí se démon použít konfiguraci z přednastaveného umístění, které je určeno při překladu programu. Nejprve se zkouší konfigurační databáze (většinou /var/lib/knot/confdb) a pokud neexistuje, zkouší se konfigurační soubor (většinou /etc/knot/knot.conf). Konfigurací může být prázdný soubor nebo prázdná databáze. Kromě démona knotd, využívá konfiguraci i nástroj knotc na ovládání démona, nástroj keymgr na správu DNSSEC a další.
Výsledky průzkumu: Nastavení DNS resolverů
DNS software je v současnosti velmi složitý. Výrobcům a vývojovým týmům chybí zpětná vazba o tom, jaké funkce se skutečně používají. Náš průzkum si kladl za cíl takové informace od uživatelů získat. Výsledky jsou popsány v tomto článku. K účasti na průzkumu byli pozváni uživatelé a správci DNS resolverů od jakéhokoliv dodavatele. Příspěvek navazuje na článek “Průzkum: Jak nastavujete DNS resolvery?”.