Domeinnaamhouders en operators moeten testen op EDNS-compliance

Domeinnaam-servers moeten op korte termijn getest worden op hun EDNS-compliance. De ontwikkelaars van DNS-resolver software hebben 1 februari 2019 namelijk uitgeroepen tot DNS Flag Day, wat betekent dat zij op of rond die datum stoppen met de ondersteuning van niet goed functionerende DNS-servers in hun software. Blijf je een dergelijke gemankeerde server toch gebruiken, dan zouden je domeinnamen voor een groot deel van de internetgebruikers op termijn onbereikbaar kunnen worden.

EDNS

EDNS, kort voor Extension Mechanisms for DNS, is vastgelegd in RFC 6891. Deze internetstandaard beschrijft een uitbreiding op het DNS-protocol dat clients (resolvers) en servers gebruiken om informatie uit te wisselen. Hoewel EDNS ook andere functies biedt, was de belangrijkste reden voor deze aanvulling destijds de ondersteuning van DNSSEC, een cryptografische beveiliging van de DNS-infrastructuur.

EDNS is zo ontworpen (backward compatible) dat oudere servers die deze uitbreiding niet ondersteunen -- dat wil zeggen: daar geen weet van hebben -- daar ook geen hinder van zouden moeten ondervinden. Maar in de praktijk bleken er destijds zo veel servers te zijn die niet goed overweg konden met EDNS, dat de ontwikkelaars van resolver-software zich gedwongen zagen allerlei work-arounds in hun code in te bouwen om te zorgen dat clients en servers met elkaar konden blijven communiceren. Onder compliance moet in dit verband dus worden verstaan dat de EDNS-uitbreiding door de server ondersteund wordt of volgens de specificatie genegeerd wordt.

DNS Flag Day

Met DNS Flag Day komt er een einde aan deze praktijk van gedogen en faciliteren. "Het is inmiddels 20 jaar geleden dat EDNS is ingevoerd," aldus Peter van Dijk, Senior Engineer bij PowerDNS. PowerDNS is de leverancier van de gelijknamige Authoritative Server en Recursor software, en een van de initiatiefnemers van DNS Flag Day. "De work-arounds hebben een grote impact op de prestaties van onze resolver." Daarnaast maakt de sterk toegenomen complexiteit van DNS de ontwikkeling en het onderhoud van de software steeds lastiger, met uiteindelijk consequenties voor de stabiliteit van de infrastructuur en de diversiteit van het ecosysteem.

"Bijna een kwart van onze code bestaat uit het faciliteren van work-arounds en corner cases," zegt Benno Overeinder, de directeur van NLnet Labs, verantwoordelijk voor de ontwikkeling van de Unbound resolver. "Dit is een eerste stap om de DNS-software op te schonen en onderhoudbaar te houden."

Industrie-breed initiatief

Naast PowerDNS en NLnet Labs doen ook de software-ontwikkelaars van ISC (BIND) en CZ.NIC (Knot) mee aan DNS Flag Day. Deze organisaties hebben afgesproken om op of rond 1 februari minstens één strikte versie van hun software uitgebracht te hebben. Een overzicht van de eerste strikte versies:

  • BIND 9.13.3 (development) en 9.14.0 (productie)

  • Knot Resolver (alle recente versies)

  • PowerDNS Recursor 4.2.0

  • Unbound 1.9.0

Daarnaast zijn ook de grote aanbieders van publieke DNS-diensten bij dit initiatief betrokken: Cisco (OpenDNS), Cloudflare (1.1.1.1), Google (Public DNS), Quad9 (9.9.9.9) en CleanBrowsing. Zo wordt voorkomen dat gebruikers die bepaalde domeinnamen straks niet meer kunnen bereiken overschakelen naar een publieke DNS-dienst. Daarmee zou immers de druk bij de operators om hun DNS-servers in orde te maken worden weggehaald.

Overigens betekent dit niet dat gemankeerde DNS-servers vanaf 1 februari gelijk onbereikbaar zullen zijn. Juist bij de grote access en service providers duurt het meestal lang voordat software updates doorgevoerd worden.

Impact

Het is onmogelijk een lijst te maken van de DNS-servers en versies die door deze verandering getroffen worden. Zo blijken problemen bijvoorbeeld ook veroorzaakt te kunnen worden door een tussenliggende firewall of load balancer. Maar volgens PowerDNS gaat het met name om oude, proprietary systemen.

Uit onderzoek van SIDN Labs blijkt dat van het hele portfolio van 5.8 miljoen .nl-domeinen er 11,5 duizend (0,2%) door deze verandering geraakt zullen worden. Volgens research engineer Moritz Müller gaat het in veruit de meeste gevallen om geparkeerde domeinen. Van de .nl-domeinnamen die in de Alexa top 1 miljoen staan, zijn er maar 15 aangedaan.

Moritz Müller: “De operators van high-profile domeinnamen benaderen we deze week actief. Ondertussen onderzoeken we bij SIDN Labs of er specifieke registrars en operators zijn die grote aantallen domeinnamen met dit probleem onder hun hoede hebben. Ook met deze partijen nemen we contact op.”

Test je nameserver

Dit alles betekent dat DNS-servers op korte termijn getest moeten worden op hun EDNS-compliance. Voor domeinnaamhouders en operators komt dit op hetzelfde neer: zij kunnen hun domeinnaam (in feite de achterliggende nameserver) online controleren op de homepage van DNS Flag Day of via de EDNS Compliance Tester van ISC. De achterliggende tool (ednscomp) is ook beschikbaar als open-source software. Met de edns-zone-scanner van CZ.NIC kun je je domeinen ook in bulk testen.

Blijkt hieruit dat je domein op een ondeugdelijke DNS-server draait, dan moet je zo snel mogelijk de beheerder daarvan op de hoogte stellen. Is het betreffende systeem op 1 februari niet in orde gemaakt, dan loop je het risico dat je domeinnaam op termijn voor een groot deel van de internetgebruikers onbereikbaar wordt.

Reacties

  • maandag 1 oktober 2018

    Over SIDN

    Achterblijven implementatie IPv6 schaadt Nederlands innovatieklimaat

    Thumb-two-four-twelve

    Groei IPv6 noodzakelijk om investeringen en innovaties op gebied van IoT te behouden

    Lees meer
  • woensdag 27 maart 2019

    Kennis

    Meld je aan voor het SIDN Panel!

    SIDN-panel-man-social-thumbnail

    Geef jouw mening over internet of internetgebruik.

    Lees meer
  • dinsdag 31 oktober 2017

    Over SIDN

    Zakgeld in een cashloze samenleving

    Thumb-father-and-child-Otly

    SIDN fonds-project Otly leert kinderen met geld omgaan

    Lees meer

Sorry

De versie van de browser die je gebruikt is verouderd en wordt niet ondersteund.
Upgrade je browser om de website optimaal te gebruiken.