Názory k článku Jste připraveni na DNS Flag Day? Od 1. února musíte reagovat na EDNS

Cituji "Jednak byla velikost UDP paketu omezena na 512 bytů". Asi by tam mělo být "bitů".

Ne, je to napsáno správně.

NE, NENÍ

bit = jednotka signálu, hodnota 0 nebo I
byte = 8 bitů (tvz. bajt)
byt(bytů) = uzavřený obytný prostor nacházející se v obytných domech jenž jsou nejvíce rozšířeny v městských aglomeracích, známe mezi lidmi jako "byt"(nemovitost) ve kterých lidé bydlí.

Vaše počeštění je totální blábol či spíš trotlovina.
1) Nikdy nedávejte na konci "Ů" u byte
2) Vhodnější je napsat "512 bytes / 512 bajtů / 512 byte " a nikoliv "512 bytů".

Podle testu na DNS flag day mam na jedne domene problem, ale podle testu pres DIG problem neni. A ted babo rad ;-)

A ten DIG si skúšal oproti všetkým autoritatívnym serverom?

Lebo najjednoduchšie vysvetlenie je, že sa problém týka iba jedného servera a na druhom/ostatných je to ok.

Dobrý den,

příkazy v článku jsou minimalistický test, netestují celé EDNS. Formulář na dnsflagday.net používá více testů a proto najde i více chyb. Pro vás důležitý je výsledek testu na dnsflagday.net.

Můžete sem i napsat jméno domény a můžeme se podívat, jak na tom vaše servery jsou.

Diky panu Spackovi za pomoc. Odhalil, ze jeden DNS server neodpovida po ipv6, coz kolega, kteremu server patri, uz opravil, takze jsem jiz pripraven na svetle zitrky :-)

dns zaznamy pro tu domenu mam na dvou serverech a zkousel sem oba

To tahle informace nemohla prijit drive ????? Kde to kruci bylo?

Debian 8:

Package: pdns-recursor
State: installed
Automatically installed: no
Version: 3.6.2-2+deb8u4

Package: pdns-server
State: installed
Automatically installed: yes
Version: 3.4.1-4+deb8u8

https://ednscomp.isc.org/ednscomp/

: dns=ok edns=ok edns1=noerror,bad­version,soa edns@512=ok ednsopt=ok edns1opt=noerror,bad­version,soa do=ok ednsflags=ok docookie=ok edns512tcp=ok optlist=ok,nsid (ns2b)
: dns=ok edns=ok edns1=noerror,bad­version,soa edns@512=ok ednsopt=ok edns1opt=noerror,bad­version,soa do=ok ednsflags=ok docookie=ok edns512tcp=ok optlist=ok,nsid (ns1b)
: dns=ok edns=ok edns1=noerror,bad­version,soa edns@512=ok ednsopt=ok edns1opt=noerror,bad­version,soa do=ok ednsflags=ok docookie=ok edns512tcp=ok optlist=ok,nsid (ns1a)
: dns=ok edns=ok edns1=noerror,bad­version,soa edns@512=ok ednsopt=ok edns1opt=noerror,bad­version,soa do=ok ednsflags=ok docookie=ok edns512tcp=ok optlist=ok,nsid (ns2a)


dig +norec +edns=0 soa zone @ns2a.zone
; <<>> DiG 9.11.4-3ubuntu5-Ubuntu <<>> +norec +edns=0 soa zone @ns2a.zone
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: FORMERR, id: 26521
;; flags: qr ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; WARNING: EDNS query returned status FORMERR - retry with '+noedns'

;; QUESTION SECTION:
;zone           IN  SOA

;; ANSWER SECTION:
zone.       86400   IN  SOA ns2a.zone. root.zone. 2018121901 28800 7200 604800 86400

dig +norec +noedns soa cortex.cz @ns2a.intr.cortex.cz

; <<>> DiG 9.11.4-3ubuntu5-Ubuntu <<>> +norec +noedns soa zone @ns2a.zone
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: FORMERR, id: 26789
;; flags: qr ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;zone.          IN  SOA

;; ANSWER SECTION:
zone.       86400   IN  SOA ns2a.zone. root.zone. 2018121901 28800 7200 604800 86400

Mam to tedy chapat, ze potrebuju upgrade?

Nemluve o tom, ze...

https://packages.debian.org/buster/pdns-server

Package: pdns-server (4.1.5-1 and others)

??...v clanku uvedeno minimalne verze 4.2.0 ...

Tusi niekto ako je na tom djbdns?

Ne. DNS servery rozbitými by design, jejichž správce se léta chová jako magor, se nikdo dobrovolně nezabývá.

Ten clovek tvrdi ze tie ostatne su rozbite by desing. Takze vy tvrdite opak? Ten "magor" prispel k sifrovaniu DKIM cez elipticku krivku ku ktorej nema NSA backdoor, takze by som bol trocha opatrnejsi v titulovani niekoho kto ma 2 doktoraty a profesuru.

Ten clovek tvrdi ze tie ostatne su rozbite by desing.

Jo, všichni jsou blázni, jen DJB je letadlo. Doctor duplex, asinus triplex.

soft od djb mam rad. qmail mame na serveru patnact let furt tu samou verzi. djbdns taky. funguje. vymysleny k perfekcionismu a perfekcionisticky napsany. skoda, ze moderni veci jako ipv6, dnssec a spol se tam musi resit pres 3rd party patche a zanaset si do toho bordel. kdyby na to djb na pul roku sednul a posunul to do 21. stoleti, klidne bych i prispel na vyvoj. ale pan si musi resit kryptografii!

jinak vysledky testu z weboveho testovatka proti djbdns: dns=ok edns=noopt edns1=noerror,no­opt,soa edns@512=noopt ednsopt=noopt edns1opt=noerror,no­opt,soa do=noopt ednsflags=noopt docookie=noopt edns512tcp=noopt optlist=noopt

Ten "dns flag day test" mi u jedine (!) z cca 10 domen hlasi:

"Test cannot be evaluated because of an error."

Vsechny domeny mam na stejnych ctyrech dn-serverech, zonove soubory velice podobne a jednoduche (v podstate jenom po jednom zaznamu pro www) a na domenu se samozrejme muzu "podivat" pres web-browser. Opravdu netusim, v cem je problem...

Určitě tam někde bude kontakt na autory/správce toho dnsflagday testu, jimž by bylo záhodno tuto chybu reportovat.

Dobrý den,

rád se na to podívám, ale potřebuji k tomu znát jméno domény kde dostáváte chybu.

Nebylo by lepší DNS smazat a napsat znova?

Aby se zase desítky let vychytávaly nové chyby?

Čekal bych, že s desítkami let zkušeností to dokážeme navrhnout lépe a ty chyby neudělat.

= Budou nové chyby. A lepší.

Se vším respektem k budoucím autorům nového DNS...

A co kdyby se prostě řeklo, že standard nebude 512 bajtů dlouhý UDP packet, do kterého se bude nějak magicky dohackovávat rozšíření, ale že standardem bude už ten rozšířený packet s trochu upravenou strukturou?

Můj smysl pro pořádek v softwéru docela pláče nad současnou situací... Ale zas na druhou stranu... Co si budem povídat... Já to řešit nemusím, a když to baví řešit je, tak ať si to užijou... Stejně ale budu doufat, že když se začne přecházet na technologie jako DNS over HTTPS, tak se nakonec někdo zamyslí, zjistí, že 99% DNS můžeme beztrestně zahodit, a udělá to.

(Neříkám, že v HTTPS není nepořádek. )

Když o tom tvém, a Sinuhetově komentáři uvažuji zpětně, nejspíš se rozcházíme na tom, co znamená udělat nový standard.
Nejsem z těch akademiků, kteří by prohlásili, že DNS je špatně, a od stolu by napsali nějaký úplně nový protokol. Jsem spíš jeden z těch, kteří se podívají, kam se došlo, implementují to čistším způsobem, a zahodí zpětnou kompatibilitu.

No.. Nacpu jeho implementaci do veškerého opensource DNS softwaru co tu teď je, a postarám se aby se to s původním DNS dokázalo vymotat na portu 53.
Pak jen budu čekat, než to nic netušící uživatelé nainstalují na dostatečně velkou část internetu. Mezitím vysvětlím microsoftu, že i oni by se rádi zbavili starého DNS.
No a nakonec prostě vyhodím původní DNS kód.

Za deset let by se mohlo zadařit.

No... Ale teď se daří přesvědčit všechny, aby přecházeli na nové verze DNS, ne?

Tak to panejo... Ale pořád... Když si to vezmu z nadhledu, tak v tomhle případě jde o to, že všichni chtějí odstranit hack, který zajišťuje kompatibilitu s těmi, kteří nebyli ochotni implementovat upozornění, že neimplementují rozšíření, které obchází omezení délky paketů (vzniklé v osmdesátých letech) tím, že do skupiny záznamů přidají záznam se speciálním významem.
Vážně. Nedal by se ten bordel z DNS aspoň vykuchat a zahodit?

Citace z článku:
"Protokol DNS vznikl v 80. letech, tedy v době výrazně nižších propustností sítí a především o mnoho řádů nižším výkonem počítačů. Byl proto navržen na protokolu UDP, s pevnými velikostmi jednotlivých parametrů a s mnoha omezeními podřízenými rychlým zpracováním v omezeném prostředí.

Rychle se ale objevily další nápady, jak původní DNS rozšířit, ovšem původní návrh to nijak jednoduše neumožňoval. Jednak byla velikost UDP paketu omezena na 512 bytů, zároveň měly jednotlivé položky v paketu pevně dané místo a velikost a kvůli zpětné kompatibilitě nebylo možné s tím jednoduše hnout.

V roce 1999 (už před 20 lety!) proto vyšel první standard zvaný EDNS, který je ukotven v RFC 2671 a zavedl rozšíření původního protokolu. Protože do hlavičky nelze nic přidávat, byly využity takzvané pseudo-RR záznamy, které se přidávají na konec samotné zprávy. Tam se tedy v EDNS přilepí doplňující informace, které je potřeba přenést. Později byl ještě tento mechanismus doplněn, konkrétně v roce 2013 v RFC 6891."

Co se na to podivat tak, ze edns je jen hack klasickeho dns a nekdo proste neni ochoten timto hackem prasit svuj kod.

Tim svym "nedelejte, fakt to nedelejte" byste se meli ridit predevsim vy v cznicu s tim svym knotem :-D

Jisty Lennart P se toho urcite rad ujme.

Lennart má prsty v multicast DNS... ;-)

V multicast DNS ma v skutocnosti prsty Apple (najpr to nazyvali zeroconf, potom bonjour), ktore dokonca standardizovali, co je u nich nezvyk. Lennart iba zobral RFC a implementoval ho.

Takhle to nefunguje. viz IPv6 které se už od roku 1995 snaží plně nahradit zastaralé IPv4 :-)
a teď hezky mínusujte za pravdu ;-)