CZ.NIC přidělil jednoho vývojáře na vývoj BINDu

CZ.NIC přidělil plnou kapacitu jednoho ze svých zaměstnanců na vývoj BINDu, asi nejpoužívanějšího doménového serveru. Tento český vývojář se tedy stal součástí 15členného týmu lidí pracujících na BIND 10. Navíc je CZ.NIC nyní hostitelem BIND 10 developer meeting, které probíhá tento týden v Praze.

21.3.2011 10:06 | Luboš Doležel (Doli) | Komunita

Komentáře

[d.c.]

To je ten systémový SW psaný v C++ (+ Boost) a Pythonu?

[Jablíčko]

No, tak se na to podívejme:

% wget http://ftp.isc.org/isc/bind9/9.8.0/bind-9.8.0.tar.gz
% find . -name "*.pl" | wc -l
34
% find . -name "*.c" |wc -l
563
% find . -name "*.h" | wc -l
486
%
% find . -name "*.hpp"
% find . -name "*.py"
./contrib/queryperf/utils/gen-data-queryperf.py
% find . -name "*.cpp"
./bin/win32/BINDInstall/BINDInstallDlg.cpp
./bin/win32/BINDInstall/DirBrowse.cpp
./bin/win32/BINDInstall/BINDInstall.cpp
./bin/win32/BINDInstall/AccountInfo.cpp
./bin/win32/BINDInstall/StdAfx.cpp
./bin/win32/BINDInstall/VersionInfo.cpp

[R]

Skus to zopakovat pre verziu 10.

[Bedňa]

win32 ... sa mi urobilo nevoľno :)

[SPM]

echo "" > /etc/resolv.conf a máš po starostech ;)

[Bedňa]

[Foo Bar]

BIND 10 je úplně nová verze DNS serveru a stejně jako každá nová řada BINDu je i BIND 10 psán na zelené louce.

Více o BIND 10 naleznete na: ISC BIND 10.

[Michal Kubeček]

Z té dokumentace to vypadá, jako by BIND10 neměl normální konfigurační soubory a konfiguroval se výhradně přes ten b10-cfgmgr. Je to opravdu tak? Jestli ano, tak abych se pomalu začal ohlížet po jiném nameserveru; s podobným přístupem jsem se potkal u AVG a víckrát to už zažít nechci.

[melkors]

"The stored configuration file is at /usr/local/var/bind10-devel/b10-config.db."

Co je horsi, vse je v datlabazi Dobre pro rychlost, spatne pro vsechno ostatni

[Filip Jirsák]

Ta databáze by nemusela ničemu vadit, pokud by to byl „zkompilovaný“ zdrojový soubor. Třeba Postfix nebo Djbdns to takhle dělají – administrátor upravuje čitelný textový soubor, který se pak přeloží do binární podoby vhodné pro program.

[x]

No ja nevim, databaze je jiste fajn na zatizeny uzly, ale bezny NS obsluhujici par domen zatezuje stroj naprosto mizive a tam davam rozhodne prednost primemu pouziti citelnych konfiguraku - mam totiz jistotu, ze se pouziva prave to, co vidim a ne neco, co sem zapomel nekde zkonvertovat/nekdo podstrcil/... (i u toho prastenyho postfixu sem se parkrat strasne divil, proc evidetnne spravna pravidla nedelaji co maji, nez mi doslo ze sem zapomel na postmap).

Obecny odklon od textovych konfiguraci se mi proste nelibi, smrdi to widlema a jejich registrem => kdyz se neco podela, tak je 10x vic problemu, nez by muselo byt.

[vlastagf]

pokud se ti konfigurak spatne konvertne do binarni databaze, tak je to uplne stejne, jako kdyby si to program spatne zparsoval az pri behu.

[lejo]

neni!

[Filip Jirsák]

Při přímém použití čitelných konfiguráků musíte zase řešit zamykání či atomicitu úprav. Stejně se to pak řešívá tím, že musíte programu říci, že má znovu načíst konfiguraci, a program si drží přeloženou konfiguraci někde v paměti. Jaký je v tom rozdíl, když si tu keš uloží i na disk, a procesy zpracování konfiguráku a jeho použití se od sebe oddělí? Podle mne to je naopak využití unixového principu, že každý program dělá jen jednu věc…

[lejo]

bla bla

[Bilbo]

Při přímém použití čitelných konfiguráků můžu používat nástroje typu diff, verzování, apod. U konfiguráku v DB mám smůlu (můžu sice ukládat DB do verzovacího systému, ale rozumný diff nad binární DB asi nehrozí ....)

[Filip Jirsák]

Asi reagujete mimo téma, protože to, co píšete, se dá použít na textové konfiguráky bez ohledu na to, zda je program využívá přímo či nepřímo. Třeba na seznamy a mapy Postfixu v textových souborech samozřejmě také můžete použít diff, verzování apod. Fakt, že ty textové soubory musíte před použitím Postfixem přeložit, na tom nic nemění.

[pavlix]

Jen je škoda, že k tomu překladu nedochází automaticky během načítání konfigurace.

[Michal Kubeček]

To u toho AVG právě není. Tam se jen za běhu upravují jednotlivé položky konfigurace. Jediné štěstí je, že ten avgcfgctl umí i dump do souboru, který pak dokáže zase načíst. Ale už třeba diff oproti defaultu, abych věděl, co jsem změnil, si musím dělat ručně z těch dumpů. Navíc je to okořeněno mizernou dokumentací, takže jsem z toho byl dost zoufalý. A některé ukázky, které vidím v dokumentaci BIND10, se tomu AVG nepříjemně podobají - připadá mi to, jako by používali stejný nástroj (něco jako když se podívám na konfigurační soubory BIND9 a ISC dhcpd).

[x]

Jeste ze se daji pouzivat alternativy :

http://blather.michaelwlucas.com/?p=580

[d.c.]

To jiste, ale neni jich mnoho. Navic to zdaleka neni ono. Dost to pripomina situaci kolem Sendmailu pred lety, ktera vedla k tomu, ze jsme si museli pockat (i kdyz treba nikoli necinne) na to, az se Postfix priblizi pouzitelnosti a prejit na nej - a pak zustat takrka bez alternativ. To neni pro ekosystem internetu dobre.

[trekker.dk]

Navic to zdaleka neni ono

Tím je myšleno co? Takový dbndns ještě minulý rok uměl všechno, co kdo mohl potřebovat. A neřekl bych, že ostatní servery na tom byly nějak hůř.

[Foo Bar]

> uměl všechno, co kdo mohl potřebovat

djbdns umí všechno, co si djb myslel, že by mohl kdo potřebovat... což jsou dvě naprosto odlišné věci.

djbdns je prostě kus starého neudržovaného software.

[trekker.dk]

Nějaký argument kromě "nenávidim djbdns" by nebyl? Třeba nějaký příklad toho, co chybí (a než začneš hemzat něco o DNSSEC - který téměř nikdo nepoužívá a kolem kterého dělá hype pár nadšenců - všimni si, že v mém předchozím příspěvku je "ještě minulý rok")

[Foo Bar]

EDNS0, TSIG

[trekker.dk]

No jestli tohle je všechno, tak to fakt jako argument pro tvrzení, že s djbdns "to zdaleka není ono", neberu. Něco, co by skuteční uživatelé potřebovali k životu a nemohli se bez toho obejít, bylo by?

[Foo Bar]

Já jen rozporuju vaše tvrzení, že djbdns má všechno, co by kdo mohl potřebovat. Zkuste se např. Forpsi zeptat, co všechno museli do djbdns doprogramovat, aby jej mohli dál používat. Osobně to považuji za heroický výkon.

Takže pro mě za mě si berte nebo neberte, co chcete. Fakt, že djbdns nepodporuje už cca 10 let staré standardy nezměníte, ať budete zlehčovat, co chcete.

[Filip Jirsák]

Tady jde ale o to, že většina uživatelů podporu těch novějších rozšíření nepotřebuje. První rozšíření DNS, které djbdns (samo o sobě) nemá a které je užitečné k masovému nasazení je až DNSSEC.

[Foo Bar]

TSIG potřebuje prakticky každý, kdo potřebuje interoperabilní způsob jak dělat zónové transfery.

Problém s nepodporou paketů větších než 512 bajtů (aka EDNS0) pamatuju ještě z dávných dřevních dob, kdy se load balancing řešil tak, že se do DNS dalo více IP adres. A například plný paket s odpovědí na dotaz IN NS . má 671 bajtů.

[Filip Jirsák]

TSIG potřebuje prakticky každý, kdo potřebuje interoperabilní způsob jak dělat zónové transfery.

Takže nikdo z těch, o kterých se tady bavíme.

[Foo Bar]

Většina domén má alespoň dva DNS servery. Jistě můžete zónu kopírovat přes SSH nebo si nakonfigurovat IPSec, jak radí djb, ale nejjednodušší způsob je zprovoznit A/IXFR s TSIGem.

Dělat transfery zabezpečené pouze pomocí IP adresy si můžete dovolit leda tak v lokální síti.

[Filip Jirsák]

Nejjednodušší jak pro koho. Mně připadá sftp nebo rsync jako dobrý a jednoduchý nástroj pro kopírování souborů.

[trekker.dk]

Zkuste se např. Forpsi zeptat, co všechno museli do djbdns doprogramovat, aby jej mohli dál používat.

Jestli je to veřejná informace, klidně jsi to tu mohl napsat. Jestli není, tak asi nemá cenu se jich ptát, že ne...

[xHire]

Už existuje patch pro poslouchání na IPv6 rozhraní? Když jsem djbdns minulý rok opouštěl, tak to ještě nikde volně dostupné nebylo, pokud vím. (Existoval akorát patch pro podporu IPv6 záznamů.) A to už je důvod, proč dneska buď přejít na jiný name server (u mě NSD), nebo vynaložit to úsilí a tohle tam dopsat. Já chtěl mít jistotu, že budu moct používat DNSSEC, takže jsem šel první cestou.

[trekker.dk]

Už existuje patch pro poslouchání na IPv6 rozhraní? Když jsem djbdns minulý rok opouštěl, tak to ještě nikde volně dostupné nebylo, pokud vím.

Víš špatně.

# netstat -ntlup | grep tinydns
udp6       0      0 ::1:53           :::*         15498/tinydns

Nic jsem nepatchoval, používám balík dbndns (fork djbdns z Debianu + ty patche) - podpora pro IPv6 je tam od roku 2008.

[xHire]

No jo, ale to není djbdns. Ale to na věci nic nemění, o tomhle forku jsem vůbec nevěděl, díky za info.

[trekker.dk]

Jo a když jsme u toho...

djbdns je prostě kus starého neudržovaného software.

... ve kterém teprve po 10 letech od vzniku někdo našel bezpečnostní chybu. Abych se přiznal, tak starý software bez věcí, které nepotřebuju, je mi milejší, než bind, který sice umí leccos navíc, ale každou chvíli v něm někdo najde kritickou chybu.

[Foo Bar]

Srovnáváte nesrovnatelné. Bind byl vždy kus software, který podporoval většinu (až všechny) nejnovější standardy a řada 9 je na tom s chybovostí řekl bych vcelku dost normálně. V poslední době se vyrojilo pár chyb v implementaci DNSSECu, ale tam je příčina hlavně v tom, že se ten kód začal teprve teď aktivněji používat. Jednu z implementačních chyb jsme objevili i my - projevila se pouze při výměně algoritmu DNSSEC klíčů - a objevili jsme ji, protože jsme byli pravděpodobně první na světě, kdo to v produkčním režimu udělal.

Můj osobní názor ze stylu vývoje Bind 10 je, že v řadě 10 těch chyb bude ještě méně, protože je vývojový proces vedený otevřeným způsobem a také mnohé z technologií, které byly pro 9tku novinkou, už uzrály do podoby, kdy všichni mají více zkušeností s provozem.

Takže jistě, pro vaše potřeby vám může vyhovovat i djbdns, ale netvrďte, že obsahuje, co kdo mohl potřebovat.

[d.c.]

Takže jistě, pro vaše potřeby vám může vyhovovat i djbdns, ale netvrďte, že obsahuje, co kdo mohl potřebovat.

Zvláště v momentě, kdy hovoříme o situaci, kdy by se zodpovědná část internetu měla obejít bez BINDu.

[trekker.dk]

Bind byl vždy kus software, který podporoval většinu (až všechny) nejnovější standardy...

... jo, přičemž větší část z nich drtivá většina lidí nepotřebuje. Klidně si můžeš tvrdit, že A/IXFR je nejjednoddušší, ale já budu trvat na tom, že i bez toho se obejdeš. Zavolat scp/rsync a ssh je totiž úplně stejně jednoduché. (A navíc to líp vyhovuje unixové filozofii, že jeden nástroj má dělat jednu věc a dělat ji dobře. DNS server má odpovídat na DNS dotazy, ne stěhovat data odněkud někam a modifikovat svoje vlastní nastavení. Na kopírování dat jsou tu jiné nástroje.)

Takže srovnávám něco, co je velmi dobře srovnatelné. Na jedné straně mám starý bezpečný software, který pro většinu účelů bohatě stačí (ještě jednou - mínus DNSSEC), na druhé straně děravý (ok, dneska míň než dřív) bind se všemi úžasnými novými cool vlastnostmi, bez kterých by se ovšem kdekdo s klidem obešel.

[the.max]

bind ve me nikdy nebudil moc duvery, leta jiz pouzivam powerdns. bohuzel jeho (ne)podpora dnssec me docela mrzi.

[D-Evil]

Nová verze (aktuálně tušim prerelease) už ho implementuje.