Опубликован релиз KnotDNS 3.3.0, высокопроизводительного авторитативного DNS сервера (рекурсор выполнен в виде отдельного приложения), поддерживающего все современные возможности DNS. Проект разрабатывается чешским реестром имен CZ.NIC, написан на языке Си и распространяется под лицензией GPLv3...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=59676
> DNS over QUICНу вот это уже ближе к реальности, DNS поверх UDP (с допущениями).
А без прослойки просто на голом UDP уже не айс или обязательно должен быть конский оверхед?
Нужно! - ваш Дом.руПо факту, каждый вебирает себе оверхед на "вкус и цвет":
- dns-hijacking;
- dns на голом udp через vpn;
- Do* (DoT, DoH, DoQ).
dnscrypt - можно?
Только если он создаст оверхед.
Вы действительно предполагаете, что DNS-over-QUIC поможет, если провайдер-м...дак? Чего вам не хватает в DoH, DoT, DNSCrypt и DNSSEC?
> Вы действительно предполагаете, что DNS-over-QUIC поможет, если провайдер-м...дак? Чего
> вам не хватает в DoH, DoT, DNSCrypt и DNSSEC?Поможет на уровне DoH, DoT, DNSCrypt. DNSSEC вроде про другое, про подпись.
Не хватает возможности использовать другой транспорт отличный от первых трех.
Если он мертворожденный, то отомрет сам, как мне кажется.
> DNSSEC вроде про другое, про подпись.А откуда вы уверены, что DoH провайдер не подменил запись? Только DNSSEC и может помочь решить эту проблему. А то многие почему-то решили, раз уж они зашифровались от интернет провайдера, то DoH-провайдер не может почему-то эту же процедуру подмены осуществить.
> А откуда вы уверены, что DoH провайдер не подменил запись?Потому что локальный резолвер проверяет DNSSEC подписи доменов, если они вообще подписаны.
И тут я бы хотел сделать маленькое замечание, такое же маленькое как число подписанных доменов: если домен не подписал - то DNSSEC не поможет от его подмены вне зависимости от того DoH там, или DoT, или DoQ, или DNS сервер любимого провайдера.
Поэтому я и написал, что DNSSEC и Do* про разное.
Голый UDP: нет котроля правильности порядка постующих пакетов, нет управления перегрузкой, нет догрузки потерянных пакетов.P.S. Вот есть такой дальний родственник UDP - DCCP. У него есть управление перегрузкой.
Зачем DNS запросам управление перегрузкой? Эти протоколы предполагают наличие дропа пакетов в кач-ве сигнала о перегрузке или увеличения задержки, что предполагает наличие статистики. Все эти методы теряют смысл для запросов-ответов, у которых все влезает в один пакет. Трансферы зон - это отдельная тема и пользователям она не нужна.
Не айс, и вся история абьюза DNS over UDP тому подтверждением.
Мне кажется, что отписавшиеся плохо понимают, чем QUIC отличается от простого DNS over UDP. Уважаемые, его придумывали для замены TCP, теперь спроецируйте на то, что вы заявили. А протоколов, предотвращающих подмену ответов уже придумано столько, что хоть попой кушай.
тем не менее он остается udp с tls. Что может оказаться лучшим выбором чем совсем уж ушлепский DoH но при этом не требует ничего программировать (у современных с этим...сложно все), поскольку внутри все равно DoH - но udp'шный.Скорее всего, конечно, как всегда, получится дерьмо. Но они старались.
> Мне кажется, что отписавшиеся плохо понимают, чем QUIC отличается от простого DNS
> over UDP. Уважаемые, его придумывали для замены TCP, теперь спроецируйте на
> то, что вы заявили. А протоколов, предотвращающих подмену ответов уже придумано
> столько, что хоть попой кушай.Что не так с TCP для DNS в масштабах планеты ты не хуже моего знаешь. Что не так с UDP — тоже. QUIC можно считать заменой, призванной починить оба подхода. Если бы дело ограничивалось только подменой, то DNSSEC хватило бы всем. В целом же, не вижу проблемы: софт такое дело, можно написать, переписать, откатить изменения, а потом и вовсе выбросить, если окажется больше не нужен. Игнорировать это качество программного обеспечения — признак скудоумия и ригидности мышления.
Выглядит круто, а можно бенчики с измерением как быстро, много и секурно оно может передать?
> быстро, много и секурноВыбери любые два
А чем DNS-сервер сабж лучше DNS-сервера BIND?
Примерно все лучше bind. Bind это же isc
> Примерно все лучше bind. Bind это же iscНу да. ISC. Написано так, как будто ISC - это плохо. Это так и есть? А почему?
Вы крупный dns-хостер уровня cloudns или dnsmadeeasy ?Если нет, то вопрос что лучше бессмысленный. Чем лучше владеете/нравится/привычнее то и ставьте. Любой вариант полностью закроет ваши потребности в собственнном ламповом dns-сервере.