deadwood - Online in de cloud

PROGRAMMA:

NAAM

deadwood - Een volledig recursieve caching DNS-resolver

PRODUCTBESCHRIJVING

Deadwood is een volledig recursieve DNS-cache. Dit is een DNS-server met de volgende kenmerken:

* Volledige ondersteuning voor zowel DNS-recursie als DNS-forwarding-caching

* Klein formaat en geheugenvoetafdruk, geschikt voor embedded systemen

* Eenvoudige en schone codebasis

* Veilig ontwerp

* Spoofbescherming: sterke cryptografie die wordt gebruikt om de query-ID en bronpoort te bepalen

* Mogelijkheid om de cache naar een bestand te lezen en te schrijven

* Dynamische cache die gegevens verwijdert die niet recentelijk zijn gebruikt

* Mogelijkheid om verlopen vermeldingen in de cache te gebruiken wanneer het onmogelijk is om stroomopwaarts contact op te nemen
DNS-servers.

* IPv6-ondersteuning kan indien gewenst worden ingebouwd

* Zowel DNS-over-UDP als DNS-over-TCP worden door dezelfde daemon afgehandeld

* Ingebouwde dnswall-functionaliteit

COMMAND LINE ARGUMENTEN

Deadwood heeft één optioneel opdrachtregelargument: de locatie van de configuratie
bestand dat Deadwood gebruikt, gespecificeerd met de vlag "-f". Als dit niet is gedefinieerd, Deadwood
gebruikt het bestand "/etc/maradns/deadwood/dwood3rc" als configuratiebestand.

Met andere woorden: Deadwood aanroepen als sprokkelhout ervoor zorgt dat Deadwood wordt gebruikt
/etc/maradns/deadwood/dwood3rc als configuratiebestand; Deadwood aanroepen als sprokkelhout -f
foobar zorgt ervoor dat Deadwood het bestand "foobar" gebruikt in de huidige werkmap (de
map waarin men zich bevindt bij het starten van Deadwood) als het configuratiebestand.

CONFIGURATIE FILE FORMAT

Het Deadwood-configuratiebestand is gemodelleerd naar de syntaxis van Python 2. Elk geldig Deadwood
configuratiebestand zou ook correct moeten worden geparseerd in zowel Python 2.4.3 als Python 2.6.6. Als
elk configuratiebestand parseert correct in Deadwood, maar veroorzaakt een syntaxisfout in
Python, dit is een bug die moet worden opgelost.

Met dit in gedachten is witruimte belangrijk; Deadwood-parameters moeten uiterst links staan
kolom zonder voorafgaande witruimte. Dit is een geldige regel (zolang er geen spaties in staan).
het is links):

recursieve_acl = "127.0.0.1/16"

De volgende regel zal echter een parseerfout opleveren:

recursieve_acl = "127.0.0.1/16"

Let op de ruimte links van de tekenreeks "recusive_acl" in de onjuist opgemaakte tekst
lijn.

PARAMETER SOORTEN

Deadwood heeft drie verschillende parametertypen:

* Numerieke parameters. Numerieke parameters mogen niet tussen aanhalingstekens staan, zoals deze
voorbeeld:

filter_rfc1918 = 0

Als een numerieke parameter tussen aanhalingstekens staat, wordt de foutmelding "Unknown dwood3rc
stringparameter" zal verschijnen.

* Stringparameters. Tekenreeksparameters moeten tussen aanhalingstekens staan, zoals hier
voorbeeld:

bind_adres = "127.0.0.1"

* Woordenboekparameters. Alle woordenboekparameters moeten vóór gebruik worden geïnitialiseerd, en
woordenboekparameters moeten zowel de woordenboekindex als de waarde voor genoemde index hebben
omgeven door aanhalingstekens, zoals in dit voorbeeld:

stroomopwaartse_servers = {}
upstream_servers["."]="8.8.8.8, 8.8.4.4"

Alle dwood3rc-parameters behalve de volgende zijn numerieke parameters:

* bind_address (tekenreeks)

* cache_bestand (tekenreeks)

* chroot_dir (tekenreeks)

* ip_blacklist (tekenreeks)

* ipv4_bind_adressen (tekenreeks)

* random_seed_file (tekenreeks)

* recursieve_acl (tekenreeks)

* root_servers (woordenboek)

* upstream_servers (woordenboek)

ONDERSTEUNDE PARAMETERS

Het Deadwood-configuratiebestand ondersteunt de volgende parameters:

bind_adres

Dit is het IP-adres (of mogelijk IPv6-adres) waaraan we ons binden.

cache_bestand

Dit is de bestandsnaam van het bestand dat wordt gebruikt voor het lezen en schrijven van de cache naar schijf; dit
De tekenreeks kan kleine letters, het '-'-symbool, het '_'-symbool en het '/'-symbool (voor
de cache in een submap plaatsen). Alle andere symbolen worden een '_'-symbool.

Dit bestand wordt gelezen en geschreven zoals de gebruiker Deadwood draait.

chroot_dir

Dit is de directory waar het programma vandaan zal komen.

bezorg_alles

Dit beïnvloedt het gedrag in Deadwood 2.3, maar heeft geen effect in Deadwood 3. Deze variabele is dat wel
alleen hier zodat Deadwood 2 rc-bestanden kunnen worden uitgevoerd in Deadwood 3.

dns_poort

Dit is de poort waar Deadwood zich aan bindt en luistert naar inkomende verbindingen. De standaard
waarde hiervoor is de standaard DNS-poort: poort 53

filter_rfc1918

Wanneer deze de waarde 1 heeft, mogen een aantal verschillende IP-ranges niet in DNS A voorkomen
antwoorden:

* 192.168.xx

* 172.[16-31].xx

* 10.xxx

* 127.xxx

* 169.254.xx

* 224.xxx

* 0.0.xx

Als een van de bovenstaande IP's wordt gedetecteerd in een DNS-antwoord en filter_rfc1918 de waarde 1 heeft,
Deadwood zal een synthetisch antwoord "deze host antwoordt niet" retourneren (een SOA-record in de
NS-sectie) in plaats van het A-record.

De reden hiervoor is het bieden van een "dnswall" die gebruikers voor bepaalde soorten bescherming beschermt
aanvallen, zoals beschreven op http://crypto.stanford.edu/dns/

Houd er rekening mee dat Deadwood alleen IPv4 "dnswall"-functionaliteit biedt en niet helpt
beschermen tegen IPv6-antwoorden. Als bescherming tegen bepaalde IPv6 AAAA-records nodig is,
schakel alle AAAA-antwoorden uit door verwerp_aaaa een waarde van 1 te geven, of gebruik een
extern programma om ongewenste IPv4-antwoorden te filteren (zoals het dnswall-programma).

De standaardwaarde hiervoor is 1

handle_noreply

Wanneer dit is ingesteld op 0, stuurt Deadwood geen antwoord terug naar de client (wanneer de client een
TCP-client, Deadwood sluit de TCP-verbinding) wanneer een UDP-query stroomopwaarts wordt verzonden en de
upstream DNS verzendt nooit een antwoord.

Wanneer dit is ingesteld op 1, stuurt Deadwood een SERVER FAIL terug naar de client wanneer er een UDP-query wordt uitgevoerd.
upstream verzonden en de upstream DNS verzendt nooit een antwoord.

De standaardwaarde hiervoor is 1

omgaan met overbelasting

Wanneer deze de waarde 0 heeft, stuurt Deadwood geen antwoord wanneer er een UDP-query wordt verzonden en de
server is overbelast (heeft te veel openstaande verbindingen); als het een waarde van 1 heeft,
Deadwood stuurt een SERVER FAIL-pakket terug naar de afzender van de UDP-query. De standaardwaarde
want dit is 1.

hash_magisch_nummer

Dit werd vroeger gebruikt voor de interne hasjgenerator van Deadwood om de hasjgenerator te behouden
enigszins willekeurig en immuun voor bepaalde soorten aanvallen. In Deadwood 3.0 is entropie voor de
hash-functie wordt gemaakt door te kijken naar de inhoud van /dev/urandom (secret.txt op Windows
machines) en de huidige tijdstempel. Deze parameter is alleen hier, dus oudere configuratie
bestanden breken niet in Deadwood 3.0.

ip_blacklist

Dit is een lijst met IP-adressen die we niet toestaan ​​in het antwoord op een DNS-verzoek. De
De reden hiervoor is om de praktijk tegen te gaan die sommige ISP's hebben om een ​​"deze site" te converteren
bestaat niet" DNS-antwoord op een pagina die wordt beheerd door de ISP; dit resulteert in mogelijk
Veiligheidsproblemen.

Deze parameter accepteert alleen individuele IP's en maakt geen gebruik van netmaskers.

maradns_uid

De gebruikers-ID Deadwood draait als. Dit kan elk getal tussen 10 en 65535 zijn; de standaard
waarde is 99 (niemand op van RedHat afgeleide Linux-distributies). Deze waarde wordt niet gebruikt
Windows-systemen.

maradns_gid

De groep-id Deadwood draait als. Dit kan elk getal tussen 10 en 65535 zijn; de standaard
waarde is 99. Deze waarde wordt niet gebruikt op Windows-systemen.

max_ar_chain

Of de rotatie van resourcerecords is ingeschakeld. Als deze de waarde 1 heeft, is er sprake van een resourcerecord
rotatie is ingeschakeld, anders is de rotatie van resourcerecords uitgeschakeld.

Het roteren van bronrecords is meestal wenselijk, omdat DNS daardoor als een ruwe versie kan fungeren
load-balancer. Op zwaarbelaste systemen kan het echter wenselijk zijn om dit uit te schakelen
CPU-gebruik verminderen.

De reden voor de ongebruikelijke naam voor deze variabele is om de compatibiliteit met MaraDNS te behouden
mararc-bestanden.

De standaardwaarde is 1: Rotatie van resourcerecords ingeschakeld.

max_inflights

Het maximale aantal gelijktijdige klanten dat we tegelijkertijd verwerken voor dezelfde zoekopdracht.

Als een andere DNS-client tijdens het verwerken van een zoekopdracht voor bijvoorbeeld "example.com." een bericht verzendt naar
Deadwood nog een query voor example.com, in plaats van een nieuwe query te maken om te verwerken
example.com, zal Deadwood de nieuwe client koppelen aan dezelfde zoekopdracht die al 'in' is
vlucht", en stuur een antwoord naar beide klanten zodra we een antwoord hebben voor example.com.

Dit is het aantal gelijktijdige clients dat een bepaalde zoekopdracht kan hebben. Als deze limiet dat is
overschreden, worden volgende klanten met dezelfde vraag geweigerd totdat er een antwoord is gevonden. Als
deze heeft de waarde 1, we voegen niet meerdere verzoeken voor dezelfde zoekopdracht samen, maar geven ze allemaal
vraagt ​​om een ​​eigen aansluiting.

De standaardwaarde is 8.

max_ttl

De maximale tijd dat we een item in de cache bewaren, in seconden (ook wel
"Maximale TTL").

Dit is de langste periode dat we een item in de cache bewaren. De standaardwaarde voor deze parameter is
86400 (één dag); de minimale waarde is 300 (5 minuten) en de maximale waarde die deze kan hebben
bedraagt ​​7776000 (90 dagen).

De reden waarom deze parameter hier is, is om Deadwood te beschermen tegen aanvallen waarbij misbruik wordt gemaakt
er bevinden zich verouderde gegevens in de cache, zoals de "Ghost Domain Names"-aanval.

maximale_cache_elementen

Het maximale aantal elementen dat onze cache mag bevatten. Dit is een getal tussen de 32
en 16,777,216; de standaardwaarde hiervoor is 1024. Houd er rekening mee dat als u naar de cache schrijft
schijf of het lezen van de cache vanaf schijf, hogere waarden hiervan zullen de cache vertragen
lezen schrijven.

De hoeveelheid geheugen die elk cache-item gebruikt, is variabel, afhankelijk van het besturingssysteem
gebruikt en de grootte van de toegewezen geheugentoewijzingspagina's. In Windows XP bijvoorbeeld elk
entry gebruikt ongeveer vier kilobyte geheugen en Deadwood heeft een overhead van
ongeveer 512 kilobytes. Dus als er 512 cache-elementen zijn, gebruikt Deadwood
ongeveer 2.5 megabyte geheugen, en als er 1024 cache-elementen zijn, gebruikt Deadwood
ongeveer 4.5 megabyte geheugen. Nogmaals, deze cijfers gelden voor Windows XP en andere
besturingssystemen hebben verschillende geheugentoewijzingsnummers.

Houd er rekening mee dat elke vermelding in root_servers en upstream_servers ruimte in beslag neemt in Deadwood's
cache en dat maximum_cache_elements moeten worden verhoogd om een ​​groot aantal op te slaan
deze vermeldingen.

maxprocs

Dit is het maximale aantal openstaande externe UDP-verbindingen die Deadwood kan hebben. De
standaardwaarde hiervoor is 1024.

max_tcp_procs

Dit is het aantal toegestane open TCP-verbindingen. Standaardwaarde: 8

aantal_pogingen

Het aantal keren dat we opnieuw proberen een zoekopdracht stroomopwaarts te verzenden voordat we het opgeven. Als dit 0 is, dan zijn wij
probeer het maar één keer; als dit 1 is, proberen we het twee keer, enzovoort, tot 32 nieuwe pogingen. Merk op dat elk
opnieuw proberen duurt timeout_seconden seconden voordat we het opnieuw proberen. Standaardwaarde: 5

ns_glueless_type

Het RR-type dat we verzenden om lijmloze records op te lossen. Bij hoofdzakelijk gebruik moet dit 1 (A) zijn
IPv4 om records op te lossen. Als lijmloze NS-records AAAA- maar geen A-records hebben, en IPv6 wel
ingeschakeld, kan het zinvol zijn om dit een waarde van 255 (ELK) te geven. Als IPv4 ooit ophoudt te bestaan
Als het op grote schaal wordt gebruikt, kan het uiteindelijk mogelijk worden om dit een waarde van 28 te geven
(AAAA).

De standaardwaarde is 1: Een A (IPv4 IP) record. Deze parameter heeft niet getest; gebruik bij
uw eigen risico.

willekeurig_seed_bestand

Dit is een bestand dat willekeurige getallen bevat en wordt gebruikt als zaad voor de
cryptografisch sterke generator voor willekeurige getallen. Deadwood zal proberen 256 bytes te lezen
uit dit bestand (de RNG Deadwood gebruikt kan een stream van elke willekeurige lengte accepteren).

Merk op dat de hash-compressiefunctie een deel van zijn entropie verkrijgt voordat de
mararc-bestand, en is hardgecodeerd om entropie te halen uit /dev/urandom (secret.txt op Windows
systemen). De meeste andere door Deadwood gebruikte entropie komt uit het bestand waarnaar wordt verwezen
willekeurig_seed_bestand.

recurse_min_bind_port

De laagst genummerde poort waar Deadwood aan mag binden; dit is een willekeurig poortnummer dat wordt gebruikt
voor de bronpoort van uitgaande zoekopdrachten, en is niet 53 (zie dns_port hierboven). Dit is een
nummer tussen 1025 en 32767, en heeft een standaardwaarde van 15000. Dit wordt gebruikt om DNS
spoofing-aanvallen moeilijker.

recurse_number_ports

Het aantal poorten waaraan Deadwood zich bindt voor de bronpoort voor uitgaande verbindingen; dit
is een macht van 2 tussen 256 en 32768. Dit wordt gebruikt om DNS-spoofing-aanvallen effectiever te maken
moeilijk. De standaardwaarde is 4096.

recursieve_acl

Dit is een lijst van wie Deadwood mag gebruiken om DNS-recursie uit te voeren, in "ip/mask"
formaat. Masker moet een getal tussen 0 en 32 zijn (voor IPv6, tussen 0 en 128). Bijvoorbeeld,
"127.0.0.1/8" maakt lokale verbindingen mogelijk.

afwijzen_aaaa

Als dit de waarde 1 heeft, wordt er een nep-SOA "niet daar"-antwoord verzonden wanneer er een AAAA-query is
naar Deadwood gestuurd. Met andere woorden, elke keer dat een programma Deadwood om een ​​IPv6 IP vraagt
adres, in plaats van te proberen het verzoek te verwerken, wanneer dit is ingesteld op 1, Deadwood
doet alsof de betreffende hostnaam geen IPv6-adres heeft.

Dit is handig voor mensen die geen IPv6 gebruiken maar wel applicaties gebruiken (meestal *NIX command
zoals toepassingen als "telnet") die het zoeken naar een IPv6-adres vertragen.

Dit heeft de standaardwaarde 0. Met andere woorden: AAAA-query's worden normaal verwerkt tenzij
dit is ingesteld.

afwijzen_mx

Wanneer dit de standaardwaarde 1 heeft, worden MX-query's stilzwijgend verwijderd met hun IP
ingelogd. Een MX-query is een query die alleen door een machine wordt uitgevoerd als deze zijn eigen machine wil zijn
mailserver die e-mail verzendt naar machines op internet. Dit is een vraag op een gemiddelde desktop
machine (waaronder een die Outlook of een andere e-mailgebruikersagent gebruikt om te lezen en te verzenden
e-mail) zal nooit lukken.

Als een machine een MX-query probeert uit te voeren, wordt de machine hoogstwaarschijnlijk bestuurd door
een externe bron om ongewenste "spam"-e-mail te verzenden. Dit in gedachten zal Deadwood niet toestaan
Er moeten MX-query's worden uitgevoerd, tenzij weiger_mx expliciet is ingesteld op de waarde 0.

Voordat u dit uitschakelt, moet u er rekening mee houden dat Deadwood is geoptimaliseerd voor gebruik op internet
surfen, niet als DNS-server voor een mailhub. Met name de IP's voor MX-records zijn dat wel
verwijderd uit de antwoorden van Deadwood en Deadwood moet aanvullende DNS-query's uitvoeren
krijg de IP's die overeenkomen met MX-records, en de tests van Deadwood zijn meer gericht op internet
surfen (bijna 100% A record opzoeken) en niet voor e-mailbezorging (uitgebreid MX-record
opzoeken).

afwijzen_ptr

Als dit de waarde 1 heeft, wordt er een nep-SOA "niet daar"-antwoord verzonden wanneer er een PTR-query is
naar Deadwood gestuurd. Met andere woorden: elke keer dat een programma Deadwood om "reverse DNS" vraagt
lookup" -- de hostnaam voor een bepaald IP-adres -- in plaats van te proberen het
request, wanneer deze op 1 staat, doet Deadwood alsof het betreffende IP-adres niet bestaat
een hostnaam.

Dit is handig voor mensen die langzame DNS-time-outs krijgen bij het uitvoeren van een
omgekeerde DNS-lookups op IP's.

Dit heeft de standaardwaarde 0. Met andere woorden: PTR-query's worden normaal verwerkt, tenzij
dit is ingesteld.

opstandingen

Als dit is ingesteld op 1, zal Deadwood proberen een verlopen record naar de gebruiker te sturen voordat het wordt gegeven
omhoog. Als het 0 is, doen we dat niet. Standaardwaarde: 1

root_servers

Dit is een lijst met rootservers; de syntaxis is identiek aan upstream_servers (zie hieronder).
Dit is het type DNS-service dat bijvoorbeeld ICANN draait. Dit zijn gebruikte servers die dat wel doen
geef ons geen volledige antwoorden op DNS-vragen, maar vertel ons alleen welke DNS-servers we moeten gebruiken
verbinding maken met om een ​​antwoord dichter bij ons gewenste antwoord te krijgen.

Houd er rekening mee dat elke root_servers-vermelding ruimte in beslag neemt in de cache van Deadwood en zo
maximum_cache_elements moeten worden vergroot om een ​​groot aantal van deze vermeldingen op te slaan.

tcp_luister

Om DNS-over-TCP in te schakelen, moet deze variabele worden ingesteld en de waarde 1 hebben. Standaard
waarde: 0

time-out_seconden

Dit is hoe lang Deadwood zal wachten voordat hij het opgeeft en een in behandeling zijnde UDP DNS weggooit
antwoord. De standaardwaarde hiervoor is 1, zoals in 1 seconde, tenzij Deadwood is gecompileerd
FALLBACK_TIME ingeschakeld.

time-out_seconden_tcp

Hoe lang u moet wachten op een inactieve TCP-verbinding voordat deze wordt verbroken. De standaardwaarde hiervoor
is 4, zoals in 4 seconden.

ttl_leeftijd

Of TTL-veroudering is ingeschakeld; of de TTL's van items in de cache zijn ingesteld op de
hoeveelheid tijd die de vermeldingen nog in de cache hebben.

Als deze de waarde 1 heeft, zijn TTL-vermeldingen verouderd. Anders zijn ze dat niet. De standaard
waarde hiervoor is 1.

stroomopwaartse_poort

Dit is de poort die Deadwood gebruikt om verbinding te maken met of pakketten te verzenden naar de upstream-servers. De
standaardwaarde hiervoor is 53; de standaard DNS-poort.

stroomopwaartse_servers

Dit is een lijst met DNS-servers waarmee de load balancer contact zal proberen te maken. Dit is een
woordenboek variabele (array geïndexeerd door een string in plaats van door een getal) in plaats van een simpel
variabel. Omdat upstream_servers een woordenboekvariabele is, moet deze worden geïnitialiseerd
alvorens te worden gebruikt.

Deadwood kijkt naar de naam van de host die de upstream-server probeert te vinden
for, en komt overeen met het langste achtervoegsel dat het kan vinden.

Als iemand bijvoorbeeld een zoekopdracht voor 'www.foo.example.com' naar Deadwood stuurt, zal Deadwood
kijk eerst of er een upstream_servers variabele is voor "www.foo.example.com." en kijk dan
zoek naar "foo.example.com.", zoek dan naar "example.com.", dan naar "com." en ten slotte naar ".".

Hier is een voorbeeld van upstream_servers:

upstream_servers = {} # Initialiseer woordenboekvariabele
upstream_servers["foo.example.com."] = "192.168.42.1"
upstream_servers["voorbeeld.com."] = "192.168.99.254"
upstream_servers["."] = "10.1.2.3, 10.1.2.4"

In dit voorbeeld wordt alles dat eindigt op "foo.example.com" opgelost door de DNS-server op
192.168.42.1; al het andere dat eindigt op "example.com" wordt opgelost door 192.168.99.254; En
alles wat niet eindigt op "example.com" wordt opgelost door 10.1.2.3 of 10.1.2.4.

Belangrijk: de domeinnaam upstream_servers waarnaar verwijst moet eindigen op een "." karakter. Dit is
OK:

upstream_servers["voorbeeld.com."] = "192.168.42.1"

Maar dit is niet OK:

upstream_servers["example.com"] = "192.168.42.1"

De reden hiervoor is dat BIND onverwacht gedrag vertoont wanneer een hostnaam wordt gebruikt
eindigt niet op een punt, en door een punt aan het einde van een hostnaam te forceren, heeft Deadwood geen
om te raden of de gebruiker het gedrag van BIND of het "normale" gedrag wil.

Als noch root_servers, noch upstream_servers zijn ingesteld, stelt Deadwood root_servers in om te gebruiken
de standaard ICANN-rootservers, als volgt:

198.41.0.4 a.root-servers.net (VeriSign)
192.228.79.201 b.root-servers.net (ISI)
192.33.4.12 c.root-servers.net (Cogent)
199.7.91.13 d.root-servers.net (UMaryland)
192.203.230.10 e.root-servers.net (NASA Ames)
192.5.5.241 f.root-servers.net (ISC)
192.112.36.4 g.root-servers.net (DOD NIC)
128.63.2.53 h.root-servers.net (ArmyRU)
192.36.148.17 i.root-servers.net (NORDUnet)
192.58.128.30 j.root-servers.net (VeriSign)
193.0.14.129 k.root-servers.net (Reseaux)
199.7.83.42 l.root-servers.net (IANA)
202.12.27.33 m.root-servers.net (BREED)

Deze lijst is actueel vanaf 9 februari 2015 en is voor het laatst gewijzigd op 3 januari 2013.

Houd er rekening mee dat elke upstream_servers-vermelding ruimte in beslag neemt in de cache van Deadwood en zo
maximum_cache_elements moeten worden vergroot om een ​​groot aantal van deze vermeldingen op te slaan.

uitgebreid_niveau

Dit bepaalt hoeveel berichten er in de standaarduitvoer worden geregistreerd; grotere waarden registreren meer
berichten. De standaardwaarde hiervoor is 3.

ip/masker formaat of IPs

Deadwood gebruikt een standaard ip/netmask-formaat om IP's te specificeren. Een ip wordt weergegeven in decimale getallen
formaat, bijvoorbeeld "10.1.2.3" (of in IPv6-formaat als IPv6-ondersteuning is gecompileerd).

Het netmasker wordt gebruikt om een ​​reeks IP's op te geven. Het netmasker is een enkel getal tussen 1
en 32 (128 wanneer IPv6-ondersteuning is gecompileerd), wat het aantal leidende "1" aangeeft
bits in het netmasker.

10.1.1.1/24 geeft aan dat elk IP-adres van 10.1.1.0 tot 10.1.1.255 overeenkomt.

10.2.3.4/16 geeft aan dat elk IP-adres van 10.2.0.0 tot 10.2.255.255 overeenkomt.

127.0.0.0/8 geeft aan dat elk ip-adres met "127" als het eerste octet (nummer) overeenkomt.

Het netmasker is optioneel en geeft, als het niet aanwezig is, aan dat slechts één IP-adres overeenkomt.

DNS over TCP

DNS-over-TCP moet expliciet worden ingeschakeld door tcp_listen in te stellen op 1.

Deadwood haalt nuttige informatie uit UDP DNS-pakketten die als afgekort zijn gemarkeerd, wat bijna het geval is
verwijdert altijd de noodzaak om DNS-over-TCP te hebben. Deadwood slaat DNS-pakketten echter niet in de cache op
groter dan 512 bytes groot die via TCP moeten worden verzonden. Daarnaast DNS-over-TCP
pakketten die "onvolledige" DNS-antwoorden zijn (antwoorden die een stub-resolver niet kan gebruiken,
(dit kan een NS-verwijzing zijn of een onvolledig CNAME-antwoord) worden niet correct afgehandeld
van Deadwood.

Deadwood biedt ondersteuning voor zowel DNS-over-UDP als DNS-over-TCP; dezelfde daemon luistert mee
zowel de UDP- als de TCP DNS-poort.

Alleen UDP DNS-query's worden in de cache opgeslagen. Deadwood ondersteunt geen caching via TCP; het handelt
TCP om het zeldzame ingekorte antwoord op te lossen zonder enige nuttige informatie of om mee te werken
zeer ongebruikelijke niet-RFC-compatibele DNS-resolvers die alleen TCP gebruiken. In de echte wereld is DNS-over-TCP dat wel
bijna nooit gebruikt.

Parsing anders bestanden

Het is mogelijk om Deadwood tijdens het parseren van het dwood3rc-bestand andere bestanden te laten lezen en
parseer ze alsof het dwood3rc-bestanden zijn.

Dit gebeurt met behulp van execbestand. Om het execbestand te gebruiken, plaatst u een regel als deze in het bestand dwood3rc
file:

execfile("pad/naar/bestandsnaam")

Waar pad/naar/bestandsnaam het pad is naar het bestand dat moet worden geparseerd, zoals een dwood3rc-bestand.

Alle bestanden moeten zich in of onder de map /etc/maradns/deadwood/execfile bevinden. Bestandsnamen kunnen
bevatten alleen kleine letters en het onderstrepingsteken ("_"). Absolute paden zijn dat niet
toegestaan ​​als argument voor execfile; de bestandsnaam mag niet beginnen met een schuine streep ("/")
karakter.

Als er een parseerfout is in het bestand waarnaar wordt verwezen door execfile, zal Deadwood het
fout omdat deze op de regel staat met de opdracht execfile in het hoofdbestand dwood3rc. Vinden
als er een parseerfout in het subbestand zit, gebruik dan iets als "Deadwood -f
/etc/maradns/deadwood/execfile/filename" om de parseerfout in het overtredende bestand te vinden,
waarbij "bestandsnaam" het bestand is waarnaar moet worden geparseerd via execfile.

IPV6 ondersteuning

Deze server kan optioneel ook worden samengesteld om IPv6-ondersteuning te hebben. Om IPv6 in te schakelen
ondersteuning, voeg '-DIPV6' toe aan de compileervlaggen. Om dit bijvoorbeeld te compileren om een
klein binair bestand, en om IPv6-ondersteuning te hebben:

export FLAGS='-Os -DIPV6'
maken

VEILIGHEID

Deadwood is een programma geschreven met veiligheid in gedachten.

Gebruik daarnaast een buffer-overflow-bestendige tekenreeksbibliotheek en een codeerstijl en SQA
proces dat controleert op bufferoverflows en geheugenlekken, gebruikt Deadwood een strong
pseudo-willekeurige nummergenerator (de 32-bits versie van RadioGatun) om zowel de
query-ID en bronpoort. Om de generator voor willekeurige getallen veilig te maken, heeft Deadwood een
goede bron van entropie; standaard zal Deadwood /dev/urandom gebruiken om deze entropie te verkrijgen. Als
u zich op een systeem bevindt zonder ondersteuning voor /dev/urandom, het is belangrijk om daar zeker van te zijn
Deadwood heeft een goede bron van entropie, zodat de query-ID en bronpoort moeilijk te achterhalen zijn
raden (anders is het mogelijk DNS-pakketten te vervalsen).

De Windows-poort van Deadwood bevat een programma genaamd "mkSecretTxt.exe" dat een
64-byte (512 bit) willekeurig bestand met de naam "secret.txt" dat door Deadwood kan worden gebruikt (via de
"random_seed_file"-parameter); Deadwood krijgt ook entropie van de tijdstempel wanneer Deadwood
is gestart en het proces-ID-nummer van Deadwood, dus het is hetzelfde om dezelfde statische gegevens te gebruiken
secret.txt-bestand als het willekeurige_seed_bestand voor meerdere aanroepingen van Deadwood.

Houd er rekening mee dat Deadwood niet beschermd is tegen het feit dat iemand op hetzelfde netwerk de verzonden pakketten bekijkt
door Deadwood en vervalste pakketten als antwoord sturen.

Om Deadwood te beschermen tegen bepaalde mogelijke denial-of-service-aanvallen is het het beste als
Het priemgetal van Deadwood dat wordt gebruikt voor het hashen van elementen in de cache is een willekeurig 31-bits priemgetal
nummer. Het programma RandomPrime.c genereert een willekeurig priemgetal dat in het bestand wordt geplaatst
DwRandPrime.h die opnieuw wordt gegenereerd wanneer het programma wordt gecompileerd of wanneer dingen worden gecompileerd
opgeschoond met make clean. Dit programma gebruikt /dev/urandom vanwege zijn entropie; het bestand
DwRandPrime.h wordt niet opnieuw gegenereerd op systemen zonder /dev/urandom.

Op systemen zonder directe ondersteuning voor /dev/urandom wordt aangeraden om te kijken of er een
mogelijke manier om het systeem een ​​werkende /dev/urandom te geven. Deze kant op, als Deadwood er is
gecompileerd, zal het magische hash-nummer op geschikte wijze willekeurig zijn.

Als u een vooraf gecompileerd binair bestand van Deadwood gebruikt, zorg er dan voor dat het systeem /dev/urandom heeft
support (op een Windows-systeem, zorg ervoor dat het bestand met de naam secret.txt is
gegenereerd door het meegeleverde programma mkSecretTxt.exe); Deadwood gebruikt tijdens runtime
/dev/urandom (secret.txt in Windows) als een hardgecodeerd pad om entropie te verkrijgen (samen met de
tijdstempel) voor het hash-algoritme.

DAEMONISATIE

Deadwood heeft geen ingebouwde daemonisatiefaciliteiten; Dit wordt afgehandeld door de
extern programma Duende of een andere daemonizer.

Voorbeeld configuratie filet

Hier is een voorbeeld van een dwood3rc-configuratiebestand:

# Dit is een voorbeeld van een deadwood rc-bestand
# Houd er rekening mee dat opmerkingen worden gestart met het hekje-symbool

bind_address="127.0.0.1" # IP waaraan we binden

# De volgende regel is uitgeschakeld omdat deze is uitgeschakeld
#bind_address="::1" # We hebben optionele IPv6-ondersteuning

# Directory waaruit we het programma uitvoeren (niet gebruikt in Win32)
chroot_dir = "/etc/maradns/deadwood"

# De volgende upstream DNS-servers zijn van Google
# (vanaf december 2009) openbare DNS-servers. Voor
# meer informatie, zie de pagina op
# http://code.google.com/speed/public-dns/
#
# Als noch root_servers, noch upstream_servers zijn ingesteld,
# Deadwood zal de standaard ICANN-rootservers gebruiken.
#upstream_servers = {}
#upstream_servers["."]="8.8.8.8, 8.8.4.4"

# Wie mag de cache gebruiken. Deze lijn
# staat iedereen toe met "127.0" als de eerste twee
# cijfers van hun IP-adres om Deadwood te gebruiken
recursieve_acl = "127.0.0.1/16"

# Maximaal aantal openstaande verzoeken
maxprocs = 2048

# Stuur SERVER FAIL bij overbelasting
omgaan met overbelasting = 1

maradns_uid = 99 # UID Deadwood draait als
maradns_gid = 99 # GID Deadwood draait als

maximale_cache_elements = 60000

# Als u de cache vanaf schijf wilt lezen en schrijven,
# zorg ervoor dat chroot_dir hierboven leesbaar en beschrijfbaar is
# door de maradns_uid/gid hierboven, en verwijder het commentaar
# volgende regel.
#cache_file = "dw_cache"

# Als uw upstream DNS-server "niet daar" DNS-antwoorden converteert
# in IP's, met deze parameter kan Deadwood elk antwoord converteren
# met een bepaald IP-adres terug naar een "niet daar"-IP. Als een van de IP's
# hieronder vermeld staan ​​in een DNS-antwoord, Deadwood converteert het antwoord
# in naar een "niet daar"
#ip_blacklist = "10.222.33.44, 10.222.3.55"

# Om veiligheidsredenen staat Deadwood standaard geen IP's toe
# de 192.168.xx, 172.[16-31].xx, 10.xxx, 127.xxx,
# 169.254.xx, 224.xxx of 0.0.xx bereik. Als u Deadwood gebruikt
# om namen op een intern netwerk op te lossen, verwijdert u het commentaar
# volgende regel:
#filter_rfc1918 = 0

Gebruik deadwood online met behulp van onworks.net-services