deadwood - ออนไลน์ในคลาวด์

โครงการ:

ชื่อ

deadwood - ตัวแก้ไข DNS แคชแบบเรียกซ้ำทั้งหมด

DESCRIPTION

Deadwood เป็นแคช DNS แบบเรียกซ้ำทั้งหมด นี่คือเซิร์ฟเวอร์ DNS ที่มีคุณสมบัติดังต่อไปนี้:

* รองรับทั้งการเรียกซ้ำ DNS และแคชการส่งต่อ DNS อย่างเต็มที่

* ขนาดและหน่วยความจำขนาดเล็กเหมาะสำหรับระบบฝังตัว

* codebase ที่เรียบง่ายและสะอาด

* การออกแบบที่ปลอดภัย

* การป้องกันการปลอมแปลง: การเข้ารหัสที่รัดกุมที่ใช้ในการกำหนดรหัสการสืบค้นและพอร์ตต้นทาง

* ความสามารถในการอ่านและเขียนแคชไปยังไฟล์

* ไดนามิกแคชที่ลบรายการที่ไม่ได้ใช้ล่าสุด

* ความสามารถในการใช้รายการที่หมดอายุในแคชเมื่อไม่สามารถติดต่อกับต้นน้ำได้
เซิร์ฟเวอร์ DNS

* รองรับ IPv6 สามารถคอมไพล์ได้หากต้องการ

* ทั้ง DNS-over-UDP และ DNS-over-TCP ได้รับการจัดการโดย daemon . เดียวกัน

* ฟังก์ชั่น dnswall ในตัว

คำสั่ง สาย อาร์กิวเมนต์

Deadwood มีอาร์กิวเมนต์บรรทัดคำสั่งทางเลือกเดียว: ตำแหน่งของการกำหนดค่า
ไฟล์ที่ Deadwood ใช้ โดยระบุด้วยแฟล็ก "-f" หากสิ่งนี้ไม่ได้กำหนดไว้ Deadwood
ใช้ไฟล์ "/etc/maradns/deadwood/dwood3rc" เป็นไฟล์กำหนดค่า

กล่าวอีกนัยหนึ่งเรียก Deadwood as คนรกโลก จะทำให้ Deadwood ใช้
/etc/maradns/deadwood/dwood3rc เป็นไฟล์กำหนดค่า; เรียก Deadwood เป็น คนรกโลก -f
ฟูบาร์ จะทำให้ Deadwood ใช้ไฟล์ "foobar" ในไดเร็กทอรีการทำงานปัจจุบัน (the
ไดเรกทอรีหนึ่งอยู่ในเมื่อเริ่ม Deadwood) เป็นไฟล์กำหนดค่า

การกำหนดค่า ไฟล์ FORMAT

ไฟล์คอนฟิกูเรชันของ Deadwood สร้างโมเดลตามรูปแบบไวยากรณ์ของ Python 2 Deadwood ที่ถูกต้องใดๆ
ไฟล์การกำหนดค่าควรแยกวิเคราะห์อย่างถูกต้องทั้งใน Python 2.4.3 และ Python 2.6.6 ถ้า
ไฟล์การกำหนดค่าใด ๆ แยกวิเคราะห์อย่างถูกต้องใน Deadwood แต่ทำให้เกิดข้อผิดพลาดทางไวยากรณ์ใน
Python นี่เป็นจุดบกพร่องที่ควรแก้ไข

ในความคิดนี้ ช่องว่างมีความสำคัญ พารามิเตอร์ Deadwood ต้องอยู่ทางซ้ายสุด
คอลัมน์ที่ไม่มีช่องว่างนำหน้า นี่เป็นบรรทัดที่ถูกต้อง (ตราบใดที่ไม่มีช่องว่างถึง
ซ้าย):

recursive_acl = "127.0.0.1/16"

อย่างไรก็ตาม บรรทัดต่อไปนี้จะทำให้เกิดข้อผิดพลาดในการแยกวิเคราะห์:

recursive_acl = "127.0.0.1/16"

สังเกตช่องว่างทางด้านซ้ายของสตริง "recusive_acl" ในรูปแบบที่ไม่ถูกต้อง
เส้น

พารามิเตอร์ ประเภท

Deadwood มีพารามิเตอร์สามประเภทที่แตกต่างกัน:

* พารามิเตอร์ตัวเลข พารามิเตอร์ตัวเลขต้องไม่ล้อมรอบด้วยเครื่องหมายคำพูด เช่น this
ตัวอย่าง:

filter_rfc1918 = 0

หากพารามิเตอร์ตัวเลขล้อมรอบด้วยเครื่องหมายคำพูด ข้อความแสดงข้อผิดพลาด "Unknown dwood3rc
พารามิเตอร์สตริง" จะปรากฏขึ้น

* พารามิเตอร์สตริง พารามิเตอร์สตริงต้องล้อมรอบด้วยเครื่องหมายคำพูด เช่น this
ตัวอย่าง:

bind_address = "127.0.0.1"

* พารามิเตอร์พจนานุกรม พารามิเตอร์พจนานุกรมทั้งหมดต้องเริ่มต้นก่อนใช้งานและ
พารามิเตอร์พจนานุกรมต้องมีทั้งดัชนีพจนานุกรมและค่าสำหรับดัชนีดังกล่าว
ล้อมรอบด้วยคำพูดเช่นในตัวอย่างนี้:

อัพสตรีม_เซิร์ฟเวอร์ = {}
upstream_servers["."]="8.8.8.8, 8.8.4.4"

พารามิเตอร์ dwood3rc ทั้งหมด ยกเว้น ต่อไปนี้เป็นพารามิเตอร์ตัวเลข:

* bind_address (สตริง)

* cache_file (สตริง)

* chroot_dir (สตริง)

* ip_blacklist (สตริง)

* ipv4_bind_addresses (สตริง)

* random_seed_file (สตริง)

* recursive_acl (สตริง)

* root_servers (พจนานุกรม)

* upstream_servers (พจนานุกรม)

ได้รับการสนับสนุน พารามิเตอร์

ไฟล์การกำหนดค่า Deadwood รองรับพารามิเตอร์ต่อไปนี้:

bind_address

นี่คือที่อยู่ IP (หรืออาจเป็น IPv6) ที่เราผูกไว้

cache_file

นี่คือชื่อไฟล์ของไฟล์ที่ใช้สำหรับอ่านและเขียนแคชไปยังดิสก์ นี้
สตริงสามารถมีอักษรตัวพิมพ์เล็ก สัญลักษณ์ '-' สัญลักษณ์ '_' และสัญลักษณ์ '/' (สำหรับ
วางแคชในไดเร็กทอรีย่อย) สัญลักษณ์อื่นๆ ทั้งหมดจะกลายเป็นสัญลักษณ์ '_'

ไฟล์นี้อ่านและเขียนเมื่อผู้ใช้ Deadwood ทำงานเป็น

chroot_dir

นี่คือไดเร็กทอรีที่โปรแกรมจะเรียกใช้

delivery_all

สิ่งนี้ส่งผลต่อพฤติกรรมใน Deadwood 2.3 แต่ไม่มีผลใน Deadwood 3 ตัวแปรนี้คือ
เฉพาะที่นี่เพื่อให้ไฟล์ Deadwood 2 rc สามารถทำงานใน Deadwood 3 ได้

dns_พอร์ต

นี่คือพอร์ตที่ Deadwood เชื่อมโยงและรับฟังสำหรับการเชื่อมต่อที่เข้ามา ค่าเริ่มต้น
ค่านี้คือพอร์ต DNS มาตรฐาน: พอร์ต 53

filter_rfc1918

เมื่อมีค่าเป็น 1 จะไม่อนุญาตให้ช่วง IP ต่างๆ จำนวนหนึ่งอยู่ใน DNS A
ตอบกลับ:

* 192.168.xx

* 172.[16-31].xx

* 10.xxx

* 127.xxx

* 169.254.xx

* 224.xxx

* 0.0.xx

หากตรวจพบหนึ่งใน IP ข้างต้นในการตอบกลับ DNS และ filter_rfc1918 มีค่าเป็น 1
Deadwood จะส่งคืนการตอบสนอง "โฮสต์นี้ไม่ตอบกลับ" สังเคราะห์ (บันทึก SOA ใน
ส่วน NS) แทนระเบียน A

เหตุผลนี้คือการจัดหา "dnswall" ที่ปกป้องผู้ใช้สำหรับ .บางประเภท
การโจมตีตามที่อธิบายไว้ใน http://crypto.stanford.edu/dns/

โปรดทราบว่า Deadwood มีฟังก์ชัน "dnswall" ของ IPv4 เท่านั้นและไม่ช่วย
ป้องกันคำตอบ IPv6 หากจำเป็นต้องมีการป้องกันบันทึก IPv6 AAAA บางรายการ
ปิดการใช้งานคำตอบ AAAA ทั้งหมดโดยตั้งค่าปฏิเสธ_aaaa ให้มีค่าเป็น 1 หรือใช้ an
โปรแกรมภายนอกเพื่อกรองคำตอบ IPv4 ที่ไม่ต้องการ (เช่น โปรแกรม dnswall)

ค่าเริ่มต้นสำหรับสิ่งนี้คือ1

handle_noreply

เมื่อตั้งค่านี้เป็น 0 Deadwood จะไม่ส่งการตอบกลับไปยังไคลเอนต์ (เมื่อไคลเอนต์คือ a
ไคลเอนต์ TCP, Deadwood ปิดการเชื่อมต่อ TCP) เมื่อมีการส่งแบบสอบถาม UDP ต้นน้ำและ
DNS ต้นน้ำไม่เคยส่งการตอบกลับ

เมื่อตั้งค่านี้เป็น 1 Deadwood จะส่ง SERVER FAIL กลับไปยังไคลเอนต์เมื่อข้อความค้นหา UDP เป็น
ส่งต้นน้ำและ DNS ต้นน้ำไม่ส่งการตอบกลับ

ค่าเริ่มต้นสำหรับสิ่งนี้คือ1

จัดการ_โอเวอร์โหลด

เมื่อสิ่งนี้มีค่าเป็น 0 Deadwood จะไม่ตอบกลับเมื่อมีการส่งแบบสอบถาม UDP และ
เซิร์ฟเวอร์ทำงานหนักเกินไป (มีการเชื่อมต่อที่รอดำเนินการมากเกินไป) เมื่อมีค่าเท่ากับ 1
Deadwood ส่งแพ็กเก็ต SERVER FAIL กลับไปยังผู้ส่งแบบสอบถาม UDP ค่าเริ่มต้น
สำหรับนี่คือ 1

hash_magic_number

สิ่งนี้เคยใช้สำหรับตัวสร้างแฮชภายในของ Deadwood เพื่อเก็บตัวสร้างแฮช
ค่อนข้างสุ่มและมีภูมิคุ้มกันต่อการโจมตีบางประเภท ใน Deadwood 3.0 เอนโทรปีสำหรับ
ฟังก์ชันแฮชถูกสร้างขึ้นโดยดูที่เนื้อหาของ /dev/urandom (secret.txt บน Windows
เครื่อง) และการประทับเวลาปัจจุบัน พารามิเตอร์นี้อยู่ที่นี่เท่านั้นดังนั้นการกำหนดค่าที่เก่ากว่า
ไฟล์ไม่แตกใน Deadwood 3.0

ip_blacklist

นี่คือรายการ IP ที่เราไม่อนุญาตให้อยู่ในคำตอบของคำขอ DNS ดิ
เหตุผลนี้คือเพื่อต่อต้านการปฏิบัติที่ ISP บางรายมีในการแปลง "ไซต์นี้
ไม่มี" DNS ตอบในหน้าที่ควบคุมโดย ISP ผลลัพธ์นี้เป็นไปได้
ปัญหาด้านความปลอดภัย.

พารามิเตอร์นี้ยอมรับเฉพาะ IP แต่ละรายการและไม่ใช้เน็ตมาสก์

maradns_uid

ID ผู้ใช้ Deadwood ทำงานเป็น ตัวเลขนี้สามารถเป็นตัวเลขใดก็ได้ระหว่าง 10 ถึง 65535 ค่าเริ่มต้น
ค่าคือ 99 (ไม่มีใครอยู่บนลีนุกซ์ที่ได้มาจาก RedHat) ค่านี้ไม่ได้ใช้กับ
ระบบวินโดวส์

maradns_gid

รหัสกลุ่ม Deadwood ทำงานเป็น ตัวเลขนี้สามารถเป็นตัวเลขใดก็ได้ระหว่าง 10 ถึง 65535 ค่าเริ่มต้น
ค่าคือ 99 ค่านี้ไม่ได้ใช้กับระบบ Windows

max_ar_chain

เปิดใช้งานการหมุนเรกคอร์ดทรัพยากรหรือไม่ หากมีค่าเท่ากับ 1 บันทึกทรัพยากร
เปิดใช้งานการหมุน มิฉะนั้น การหมุนเรกคอร์ดทรัพยากรจะถูกปิดใช้งาน

การหมุนเรคคอร์ดทรัพยากรมักจะเป็นสิ่งที่พึงปรารถนา เนื่องจากมันทำให้ DNS ทำหน้าที่เหมือนข้อมูลดิบ
โหลดบาลานเซอร์ อย่างไรก็ตาม สำหรับระบบที่มีภาระงานมาก ขอแนะนำให้ปิดการใช้งานไปที่
ลดการใช้ CPU

สาเหตุของชื่อที่ผิดปกติสำหรับตัวแปรนี้คือการรักษาความเข้ากันได้กับ MaraDNS
ไฟล์ mararc

ค่าเริ่มต้นคือ 1: เปิดใช้งานการหมุนเรกคอร์ดทรัพยากร

max_inflights

จำนวนไคลเอ็นต์สูงสุดที่เราดำเนินการพร้อมกันสำหรับข้อความค้นหาเดียวกัน

หากในขณะที่ประมวลผลการสืบค้น เช่น "example.com" ไคลเอ็นต์ DNS อื่นส่งไปที่
Deadwood แบบสอบถามอื่นสำหรับ example.com แทนที่จะสร้างแบบสอบถามใหม่เพื่อดำเนินการ
example.com Deadwood จะแนบไคลเอนต์ใหม่กับข้อความค้นหาเดียวกันกับที่มีอยู่แล้ว "ใน
เที่ยวบิน" และส่งคำตอบไปยังทั้งสองลูกค้าเมื่อเรามีคำตอบสำหรับ example.com

นี่คือจำนวนไคลเอนต์พร้อมกันที่สามารถมีข้อความค้นหาหนึ่งๆ ได้ หากขีดจำกัดนี้คือ
เกินไคลเอ็นต์ที่ตามมาด้วยคำถามเดียวกันจะถูกปฏิเสธจนกว่าจะพบคำตอบ ถ้า
มีค่าเท่ากับ 1 เราไม่ได้รวมคำขอหลายรายการสำหรับข้อความค้นหาเดียวกัน แต่ให้แต่ละคำขอ
ขอการเชื่อมต่อของตัวเอง

ค่าเริ่มต้นคือ 8

max_ttl

ระยะเวลาสูงสุดที่เราจะเก็บรายการไว้ในแคช หน่วยเป็นวินาที (เรียกอีกอย่างว่า
"TTL สูงสุด")

นี่เป็นเวลาที่ยาวที่สุดที่เราจะเก็บรายการแคชไว้ ค่าเริ่มต้นสำหรับพารามิเตอร์นี้คือ
86400 (หนึ่งวัน); ค่าต่ำสุดคือ 300 (5 นาที) และค่าสูงสุดที่สามารถมีได้
คือ 7776000 (90 วัน)

เหตุผลที่พารามิเตอร์นี้อยู่ที่นี่เพื่อปกป้อง Deadwood จากการโจมตีที่หาประโยชน์
มีข้อมูลเก่าในแคช เช่น การโจมตี "Ghost Domain Names"

สูงสุด_cache_elements

จำนวนองค์ประกอบสูงสุดที่แคชของเราได้รับอนุญาตให้มี นี่คือตัวเลขระหว่าง 32
และ 16,777,216; ค่าเริ่มต้นสำหรับสิ่งนี้คือ 1024 โปรดทราบว่าหากเขียนแคชไปที่
ดิสก์หรืออ่านแคชจากดิสก์ ค่าที่สูงกว่านี้จะทำให้แคชช้าลง
อ่าน/เขียน.

จำนวนหน่วยความจำที่รายการแคชแต่ละรายการใช้นั้นแปรผันขึ้นอยู่กับระบบปฏิบัติการ
ที่ใช้และขนาดของหน้าการจัดสรรหน่วยความจำที่กำหนด ใน Windows XP ตัวอย่างเช่น แต่ละ
รายการใช้หน่วยความจำประมาณสี่กิโลไบต์และ Deadwood มีค่าใช้จ่าย
ประมาณ 512 กิโลไบต์ ดังนั้น หากมีองค์ประกอบแคช 512 รายการ Deadwood จะใช้
หน่วยความจำประมาณ 2.5 เมกะไบต์ และหากมีองค์ประกอบแคช 1024 รายการ Deadwood จะใช้
หน่วยความจำประมาณ 4.5 เมกะไบต์ อีกครั้ง ตัวเลขเหล่านี้มีไว้สำหรับ Windows XP และอื่นๆ
ระบบปฏิบัติการจะมีหมายเลขการจัดสรรหน่วยความจำต่างกัน

โปรดทราบว่ารายการ root_servers และ upstream_servers แต่ละรายการใช้พื้นที่ใน Deadwood's
แคชและ maximum_cache_elements นั้นจะต้องเพิ่มขึ้นเพื่อเก็บ .จำนวนมาก
รายการเหล่านี้

แม็กซ์โปร

นี่คือจำนวนสูงสุดของการเชื่อมต่อ UDP ระยะไกลที่รอดำเนินการที่ Deadwood สามารถมีได้ ดิ
ค่าเริ่มต้นสำหรับสิ่งนี้คือ 1024

max_tcp_procs

นี่คือจำนวนการเชื่อมต่อ TCP แบบเปิดที่อนุญาต ค่าเริ่มต้น: 8

num_retry

จำนวนครั้งที่เราลองส่งคำถามต้นน้ำอีกครั้งก่อนที่จะยกเลิก ถ้านี่คือ 0 เรา
ลองเพียงครั้งเดียว หากเป็น 1 เราจะลองสองครั้ง และต่อเนื่อง สูงสุด 32 ครั้ง โปรดทราบว่าแต่ละ
การลองใหม่จะใช้เวลา timeout_seconds วินาทีก่อนที่เราจะลองอีกครั้ง ค่าเริ่มต้น: 5

ns_glueless_type

ประเภท RR ที่เราส่งเพื่อแก้ไขบันทึกแบบไม่มีกาว นี่ควรเป็น 1 (A) เมื่อใช้เป็นหลัก
IPv4 เพื่อแก้ไขบันทึก หากระเบียน NS ที่ไม่มีกาวมีระเบียน AAAA แต่ไม่มีระเบียน A และ IPv6 คือ
เปิดใช้งาน อาจเป็นการดีที่จะให้ค่านี้เป็น 255 (ใดๆ) ถ้า IPv4 หยุดนิ่ง
ใช้ในปริมาณมากในที่สุดอาจทำให้ได้ค่า 28
(AAAA)

ค่าเริ่มต้นคือ 1: ระเบียน A (IPv4 IP) พารามิเตอร์นี้มี ไม่ ได้รับการทดสอบ; ใช้ที่
ความเสี่ยงของคุณเอง

Random_seed_file

ไฟล์นี้เป็นไฟล์ที่มีตัวเลขสุ่ม และใช้เป็นเมล็ดพันธุ์สำหรับ
เครื่องกำเนิดตัวเลขสุ่มที่แข็งแกร่งในการเข้ารหัส Deadwood จะพยายามอ่าน 256 ไบต์
จากไฟล์นี้ (การใช้ RNG Deadwood สามารถยอมรับสตรีมที่มีความยาวใดก็ได้)

โปรดทราบว่าฟังก์ชันการบีบอัดแฮชรับเอนโทรปีบางส่วนก่อนที่จะแยกวิเคราะห์
mararc และฮาร์ดโค้ดเพื่อรับเอนโทรปีจาก /dev/urandom (secret.txt บน Windows
ระบบ) เอนโทรปีอื่นๆ ส่วนใหญ่ที่ Deadwood ใช้นั้นมาจากไฟล์ที่ชี้ไปที่โดย
random_seed_file

recurse_min_bind_port

พอร์ตที่มีหมายเลขต่ำสุดของ Deadwood ได้รับอนุญาตให้ผูกไว้ นี่คือหมายเลขพอร์ตสุ่มที่ใช้
สำหรับพอร์ตต้นทางของการสืบค้นข้อมูลขาออก และไม่ใช่ 53 (ดู dns_port ด้านบน) มันคือ
ตัวเลขระหว่าง 1025 ถึง 32767 และมีค่าเริ่มต้น 15000 ซึ่งใช้เพื่อสร้าง DNS
การปลอมแปลงการโจมตียากขึ้น

recurse_number_ports

จำนวนพอร์ตที่ Deadwood เชื่อมโยงกับพอร์ตต้นทางสำหรับการเชื่อมต่อขาออก นี้
เป็นกำลัง 2 ระหว่าง 256 ถึง 32768 ซึ่งใช้เพื่อทำให้การโจมตี DNS spoofing เพิ่มมากขึ้น
ยาก. ค่าเริ่มต้นคือ 4096

ซ้ำ_acl

นี่คือรายชื่อผู้ที่ได้รับอนุญาตให้ใช้ Deadwood เพื่อทำการเรียกซ้ำ DNS ใน "ip/mask"
รูปแบบ. มาสก์ต้องเป็นตัวเลขระหว่าง 0 ถึง 32 (สำหรับ IPv6 ระหว่าง 0 ถึง 128) ตัวอย่างเช่น,
"127.0.0.1/8" อนุญาตการเชื่อมต่อภายในเครื่อง

ปฏิเสธ_aaaa

หากมีค่าเป็น 1 จะมีการตอบกลับ SOA "ไม่มี" ปลอมทุกครั้งที่มีการสืบค้น AAAA
ส่งไปยังเดดวูด กล่าวอีกนัยหนึ่ง ทุกครั้งที่โปรแกรมขอ Deadwood สำหรับ IPv6 IP
ที่อยู่แทนที่จะพยายามประมวลผลคำขอเมื่อตั้งค่านี้เป็น 1 Deadwood
แสร้งทำเป็นว่าชื่อโฮสต์ที่เป็นปัญหาไม่มีที่อยู่ IPv6

สิ่งนี้มีประโยชน์สำหรับผู้ที่ไม่ได้ใช้ IPv6 แต่ใช้แอปพลิเคชัน (โดยปกติคือ *NIX command
เช่นแอปพลิเคชันเช่น "telnet") ซึ่งทำให้การค้นหาที่อยู่ IPv6 ช้าลง

ซึ่งมีค่าเริ่มต้นเป็น 0 กล่าวอีกนัยหนึ่ง แบบสอบถาม AAAA จะได้รับการประมวลผลตามปกติเว้นแต่
นี่คือการตั้งค่า

ปฏิเสธ_mx

เมื่อค่านี้มีค่าเริ่มต้นเป็น 1 การสืบค้น MX จะถูกละเว้นด้วย IP
เข้าสู่ระบบ แบบสอบถาม MX เป็นแบบสอบถามที่เครื่องจะทำเท่านั้นหากต้องการให้เป็นของตัวเอง
เมลเซิร์ฟเวอร์ส่งเมลไปยังเครื่องบนอินเทอร์เน็ต นี่คือการค้นหาเดสก์ท็อปโดยเฉลี่ย
เครื่อง (รวมถึงเครื่องที่ใช้ Outlook หรือตัวแทนผู้ใช้อีเมลอื่นในการอ่านและส่ง
อีเมล) จะไม่ทำให้

เป็นไปได้มากว่าหากเครื่องพยายามทำการสืบค้น MX เครื่องจะถูกควบคุมโดย
แหล่งระยะไกลเพื่อส่งอีเมล "สแปม" ที่ไม่ต้องการ ในใจนี้ Deadwood จะไม่ยอมให้
จะต้องทำการสืบค้นข้อมูล MX เว้นแต่ Reject_mx จะถูกตั้งค่าอย่างชัดแจ้งด้วยค่า 0

ก่อนที่จะปิดการใช้งานนี้ โปรดจำไว้ว่า Deadwood ได้รับการปรับให้เหมาะสำหรับเว็บ
ท่องเว็บ ไม่ใช่เป็นเซิร์ฟเวอร์ DNS สำหรับฮับเมล โดยเฉพาะอย่างยิ่ง IP สำหรับระเบียน MX คือ
ถูกลบออกจากการตอบกลับของ Deadwood และ Deadwood จำเป็นต้องดำเนินการค้นหา DNS เพิ่มเติมเพื่อ
รับ IP ที่สอดคล้องกับระเบียน MX และการทดสอบของ Deadwood นั้นเหมาะสำหรับเว็บมากขึ้น
ท่องเว็บ (ค้นหาระเบียน A เกือบ 100%) และไม่ใช่สำหรับการส่งจดหมาย (ระเบียน MX ที่กว้างขวาง
ค้นหา)

ปฏิเสธ_ptr

หากมีค่าเป็น 1 การตอบกลับ "ไม่มี" ของ SOA ปลอมจะถูกส่งทุกครั้งที่มีข้อความค้นหา PTR
ส่งไปยังเดดวูด พูดอีกอย่างก็คือ ทุกครั้งที่โปรแกรมถาม Deadwood ว่า "reverse DNS
ค้นหา" -- ชื่อโฮสต์สำหรับที่อยู่ IP ที่กำหนด -- แทนที่จะพยายามประมวลผล
คำขอเมื่อตั้งค่าเป็น 1 Deadwood จะแสร้งทำเป็นว่าไม่มีที่อยู่ IP ที่เป็นปัญหา
ชื่อโฮสต์

สิ่งนี้มีประโยชน์สำหรับผู้ที่ได้รับ DNS หมดเวลาช้าเมื่อพยายามดำเนินการ a
ย้อนกลับการค้นหา DNS บน IP

โดยมีค่าเริ่มต้นเป็น 0 กล่าวอีกนัยหนึ่ง ข้อความค้นหา PTR จะได้รับการประมวลผลตามปกติ เว้นแต่
นี่คือการตั้งค่า

การฟื้นคืนชีพ

หากตั้งค่าเป็น 1 Deadwood จะพยายามส่งบันทึกที่หมดอายุไปยังผู้ใช้ก่อนที่จะให้
ขึ้น. ถ้าเป็น 0 เราไม่ทำ ค่าเริ่มต้น: 1

เซิร์ฟเวอร์รูท

นี่คือรายการของเซิร์ฟเวอร์รูท ไวยากรณ์เหมือนกับ upstream_servers (ดูด้านล่าง)
นี่คือประเภทของบริการ DNS ICANN เช่น ทำงาน เหล่านี้เป็นเซิร์ฟเวอร์ที่ใช้ทำ
ไม่ให้คำตอบทั้งหมดแก่เราสำหรับคำถาม DNS แต่เพียงบอกเราว่าเซิร์ฟเวอร์ DNS ใดที่ต้องการ
เชื่อมต่อเพื่อรับคำตอบที่ใกล้เคียงกับคำตอบที่เราต้องการ

โปรดทราบว่าแต่ละรายการ root_servers ใช้พื้นที่ในแคชของ Deadwood และนั้น
max_cache_elements จะต้องเพิ่มขึ้นเพื่อเก็บรายการเหล่านี้จำนวนมาก

tcp_listen

ในการเปิดใช้งาน DNS-over-TCP ตัวแปรนี้ต้องได้รับการตั้งค่าและมีค่าเป็น 1 Default
มูลค่า: 0

หมดเวลา_วินาที

นี่คือระยะเวลาที่ Deadwood จะรอก่อนที่จะยกเลิกและทิ้ง UDP DNS ที่รอดำเนินการ
ตอบ. ค่าเริ่มต้นสำหรับสิ่งนี้คือ 1 เช่นเดียวกับใน 1 วินาที เว้นแต่ว่า Deadwood จะถูกคอมไพล์ด้วย
เปิดใช้งาน FALLBACK_TIME

หมดเวลา_วินาที_tcp

นานแค่ไหนที่จะรอการเชื่อมต่อ TCP ที่ไม่ได้ใช้งานก่อนที่จะวาง ค่าเริ่มต้นสำหรับสิ่งนี้
คือ 4 เช่นเดียวกับใน 4 วินาที

ttl_age

เปิดใช้งานการกำหนดอายุ TTL หรือไม่ รายการในแคชมีการตั้งค่า TTL เป็น .หรือไม่
ระยะเวลาที่รายการเหลืออยู่ในแคช

หากมีค่าเป็น 1 รายการ TTL จะมีอายุ มิฉะนั้นพวกเขาจะไม่ได้ ค่าเริ่มต้น
ค่าสำหรับสิ่งนี้คือ 1

ต้นน้ำ_พอร์ต

นี่คือพอร์ตที่ Deadwood ใช้ในการเชื่อมต่อหรือส่งแพ็กเก็ตไปยังเซิร์ฟเวอร์ต้นน้ำ ดิ
ค่าเริ่มต้นสำหรับสิ่งนี้คือ 53; พอร์ต DNS มาตรฐาน

upstream_servers

นี่คือรายการเซิร์ฟเวอร์ DNS ที่ตัวโหลดบาลานซ์จะพยายามติดต่อ มันคือ
พจนานุกรม ตัวแปร (อาร์เรย์ที่จัดทำดัชนีโดยสตริงแทนที่จะเป็นตัวเลข) แทนที่จะเป็นแบบง่าย
ตัวแปร. เนื่องจาก upstream_servers เป็นตัวแปรพจนานุกรม จึงจำเป็นต้องเริ่มต้น
ก่อนนำไปใช้

Deadwood จะดูชื่อโฮสต์ที่พยายามค้นหาเซิร์ฟเวอร์ต้นน้ำ
สำหรับ และจะจับคู่กับคำต่อท้ายที่ยาวที่สุดที่สามารถหาได้

ตัวอย่างเช่น หากมีผู้ส่งข้อความค้นหา "www.foo.example.com" ไปยัง Deadwood Deadwood จะ
ก่อนอื่นให้ดูว่ามีตัวแปร upstream_servers สำหรับ "www.foo.example.com" หรือไม่ จากนั้นดู
สำหรับ "foo.example.com" จากนั้นมองหา "example.com" ตามด้วย "com" และสุดท้ายคือ "."

นี่คือตัวอย่างของ upstream_servers:

upstream_servers = {} # เริ่มต้นตัวแปรพจนานุกรม
upstream_servers["foo.example.com."] = "192.168.42.1"
upstream_servers["example.com."] = "192.168.99.254"
upstream_servers["."] = "10.1.2.3, 10.1.2.4"

ในตัวอย่างนี้ สิ่งที่ลงท้ายด้วย "foo.example.com" จะได้รับการแก้ไขโดยเซิร์ฟเวอร์ DNS ที่
192.168.42.1; สิ่งอื่นที่ลงท้ายด้วย "example.com" จะได้รับการแก้ไขโดย 192.168.99.254; และ
สิ่งใดก็ตามที่ไม่ลงท้ายด้วย "example.com" จะได้รับการแก้ไขโดย 10.1.2.3 หรือ 10.1.2.4

สำคัญ: ชื่อโดเมน upstream_servers ชี้ต้องลงท้ายด้วย "." อักขระ. นี่คือ
ตกลง:

upstream_servers["example.com."] = "192.168.42.1"

แต่นี่คือ ไม่ ตกลง:

upstream_servers["example.com"] = "192.168.42.1"

สาเหตุเป็นเพราะ BIND ทำงานผิดปกติเมื่อชื่อโฮสต์
ไม่ได้ลงท้ายด้วยจุด และการบังคับจุดต่อท้ายชื่อโฮสต์ Deadwood ไม่มี
เพื่อเดาว่าผู้ใช้ต้องการพฤติกรรมของ BIND หรือพฤติกรรม "ปกติ"

หากไม่ได้ตั้งค่า root_servers หรือ upstream_servers Deadwood จะตั้งค่า root_servers ให้ใช้
เซิร์ฟเวอร์รากของ ICANN เริ่มต้นดังนี้:

198.41.0.4 a.root-servers.net (VeriSign)
192.228.79.201 b.root-servers.net (ISI)
192.33.4.12 c.root-servers.net (โคเจนต์)
199.7.91.13 d.root-servers.net (ยูมารีแลนด์)
192.203.230.10 e.root-servers.net (NASA เอมส์)
192.5.5.241 f.root-servers.net (ISC)
192.112.36.4 g.root-servers.net (DOD NIC)
128.63.2.53 h.root-servers.net (ArmyRU)
192.36.148.17 i.root-servers.net (NORDUNet)
192.58.128.30 j.root-servers.net (VeriSign)
193.0.14.129 k.root-servers.net (วิจัย)
199.7.83.42 l.root-servers.net (IANA)
202.12.27.33 m.root-servers.net (กว้าง)

รายการนี้เป็นข้อมูลล่าสุด ณ วันที่ 9 กุมภาพันธ์ 2015 และมีการเปลี่ยนแปลงล่าสุดเมื่อวันที่ 3 มกราคม 2013

โปรดทราบว่าแต่ละรายการ upstream_servers ใช้พื้นที่ในแคชของ Deadwood และนั้น
max_cache_elements จะต้องเพิ่มขึ้นเพื่อเก็บรายการเหล่านี้จำนวนมาก

verbose_level

สิ่งนี้กำหนดจำนวนข้อความที่บันทึกในเอาต์พุตมาตรฐาน บันทึกค่าที่มากขึ้น
ข้อความ ค่าเริ่มต้นสำหรับสิ่งนี้คือ 3

ip/หน้ากาก รูป of IPs

Deadwood ใช้รูปแบบ ip/netmask มาตรฐานเพื่อระบุ IP ip อยู่ในจุดจุดทศนิยม
รูปแบบ เช่น "10.1.2.3" (หรือในรูปแบบ IPv6 เมื่อรวบรวมการสนับสนุน IPv6)

netmask ใช้เพื่อระบุช่วงของ IP netmask เป็นตัวเลขเดียวระหว่าง 1
และ 32 (128 เมื่อคอมไพล์รองรับ IPv6) ซึ่งระบุจำนวนนำหน้า "1"
บิตในเน็ตมาสก์

10.1.1.1/24 ระบุว่า IP ใด ๆ จาก 10.1.1.0 ถึง 10.1.1.255 จะตรงกัน

10.2.3.4/16 ระบุว่า IP ใด ๆ จาก 10.2.0.0 ถึง 10.2.255.255 จะตรงกัน

127.0.0.0/8 ระบุว่า IP ใดๆ ที่มี "127" เป็นออคเต็ตแรก (ตัวเลข) จะตรงกัน

netmask เป็นทางเลือก และหากไม่มีอยู่ แสดงว่ามีเพียง IP เดียวเท่านั้นที่จะจับคู่

DNS เกิน TCP

ต้องเปิดใช้งาน DNS-over-TCP อย่างชัดเจนโดยตั้งค่า tcp_listen เป็น 1

Deadwood ดึงข้อมูลที่เป็นประโยชน์จากแพ็กเก็ต UDP DNS ที่ทำเครื่องหมายว่าถูกตัดทอนซึ่งเกือบ
ไม่จำเป็นต้องมี DNS-over-TCP เสมอ อย่างไรก็ตาม Deadwood ไม่ได้แคชแพ็กเก็ต DNS
ขนาดใหญ่กว่า 512 ไบต์ที่ต้องส่งโดยใช้ TCP นอกจากนี้ DNS-over-TCP
แพ็กเก็ตที่ "ไม่สมบูรณ์" การตอบกลับ DNS (การตอบกลับที่ตัวแก้ไขต้นขั้วไม่สามารถใช้ได้
ซึ่งสามารถเป็นได้ทั้งการอ้างอิง NS หรือการตอบกลับ CNAME ที่ไม่สมบูรณ์) ไม่ได้รับการจัดการอย่างถูกต้อง
โดย เดดวูด.

Deadwood รองรับทั้ง DNS-over-UDP และ DNS-over-TCP; ภูตตัวเดียวกันฟังอยู่
ทั้งพอร์ต UDP และ TCP DNS

เฉพาะการสืบค้น UDP DNS เท่านั้นที่ถูกแคช Deadwood ไม่รองรับการแคชผ่าน TCP; มันจัดการ
TCP เพื่อแก้ไขการตอบกลับที่ถูกตัดทอนที่หายากโดยไม่มีข้อมูลที่เป็นประโยชน์หรือทำงานด้วย
ตัวแก้ไข DNS เฉพาะ TCP เท่านั้นที่ไม่เป็นไปตาม RFC ที่ไม่เป็นไปตาม RFC ในโลกแห่งความเป็นจริง DNS-over-TCP คือ
แทบไม่เคยใช้

วจีวิภาค อื่น ๆ ไฟล์

เป็นไปได้ที่จะมี Deadwood ในขณะที่แยกวิเคราะห์ไฟล์ dwood3rc อ่านไฟล์อื่นและ
แยกวิเคราะห์ราวกับว่าเป็นไฟล์ dwood3rc

ทำได้โดยใช้ ไฟล์ exec. ในการใช้ execfile ให้วางบรรทัดแบบนี้ใน dwood3rc
ไฟล์:

execfile("เส้นทาง/ไปยัง/ชื่อไฟล์")

โดยที่ path/to/filename เป็นพาธไปยังไฟล์ที่จะแยกวิเคราะห์เหมือนไฟล์ dwood3rc

ไฟล์ทั้งหมดต้องอยู่ในหรือใต้ไดเร็กทอรี /etc/maradns/deadwood/execfile ชื่อไฟล์สามารถ
มีเฉพาะตัวอักษรพิมพ์เล็กและขีดล่าง ("_") ทางสัมบูรณ์ไม่ใช่
อนุญาตให้เป็นอาร์กิวเมนต์ของ execfile; ชื่อไฟล์ไม่สามารถเริ่มต้นด้วยเครื่องหมายทับ ("/")
ตัวอักษร

หากมีข้อผิดพลาดในการแยกวิเคราะห์ในไฟล์ที่ execfile ชี้ไป Deadwood จะรายงาน
ข้อผิดพลาดที่อยู่บนบรรทัดด้วยคำสั่ง execfile ในไฟล์ dwood3rc หลัก การค้นหา
โดยที่ข้อผิดพลาดในการแยกวิเคราะห์อยู่ในไฟล์ย่อย ให้ใช้บางอย่างเช่น "Deadwood -f
/etc/maradns/deadwood/execfile/filename" เพื่อค้นหาข้อผิดพลาดในการแยกวิเคราะห์ในไฟล์ที่ละเมิด
โดยที่ "filename" เป็นไฟล์ที่จะแยกวิเคราะห์ผ่าน execfile

IPV6 สนับสนุน

เซิร์ฟเวอร์นี้สามารถเลือกคอมไพล์เพื่อให้รองรับ IPv6 ได้ เพื่อเปิดใช้งาน IPv6
สนับสนุน เพิ่ม '-DIPV6' ให้กับแฟล็กเวลาคอมไพล์ ตัวอย่างเช่น ในการรวบรวมสิ่งนี้เพื่อทำให้ a
ไบนารีขนาดเล็กและรองรับ IPv6:

ส่งออก FLAGS='-Os -DIPV6'
ทำ

การรักษาความปลอดภัย

Deadwood เป็นโปรแกรมที่เขียนขึ้นโดยคำนึงถึงความปลอดภัย

นอกเหนือจากการใช้ไลบรารีสตริงที่ป้องกันบัฟเฟอร์ล้นและรูปแบบการเข้ารหัสและ SQA
กระบวนการที่ตรวจสอบบัฟเฟอร์ล้นและการรั่วไหลของหน่วยความจำ Deadwood ใช้ความแข็งแกร่ง
ตัวสร้างตัวเลขสุ่มหลอก (RadioGatun รุ่น 32 บิต) เพื่อสร้างทั้ง
รหัสแบบสอบถามและพอร์ตต้นทาง เพื่อให้ตัวสร้างตัวเลขสุ่มปลอดภัย Deadwood ต้องการ
แหล่งที่ดีของเอนโทรปี; โดยค่าเริ่มต้น Deadwood จะใช้ /dev/urandom เพื่อรับเอนโทรปีนี้ ถ้า
คุณอยู่ในระบบที่ไม่มี /dev/urandom รองรับ สิ่งสำคัญคือต้องแน่ใจว่า
Deadwood มีแหล่งเอนโทรปีที่ดี ดังนั้นรหัสการสืบค้นและพอร์ตต้นทางจึงยาก
เดา (มิฉะนั้น เป็นไปได้ที่จะปลอมแปลงแพ็กเก็ต DNS)

พอร์ต Windows ของ Deadwood มีโปรแกรมชื่อ "mkSecretTxt.exe" ซึ่งสร้าง a
ไฟล์สุ่ม 64 ไบต์ (512 บิต) ชื่อ "secret.txt" ที่ Deadwood ใช้ได้ (ผ่านไฟล์
พารามิเตอร์ "random_seed_file"); Deadwood ยังได้รับเอนโทรปีจากการประทับเวลาเมื่อ Deadwood
เริ่มต้นและหมายเลข ID กระบวนการของ Deadwood ดังนั้นจึงใช้ static . เดียวกันได้
secret.txt เป็นไฟล์ random_seed_file สำหรับการเรียกใช้ Deadwood หลายครั้ง

โปรดทราบว่า Deadwood ไม่ได้รับการปกป้องจากใครบางคนในแพ็กเก็ตการดูเครือข่ายเดียวกันที่ส่ง
โดย Deadwood และส่งแพ็คเก็ตปลอมเป็นคำตอบ

เพื่อป้องกัน Deadwood จากการโจมตีแบบปฏิเสธการให้บริการที่เป็นไปได้ เป็นการดีที่สุดถ้า
จำนวนเฉพาะของ Deadwood ที่ใช้สำหรับองค์ประกอบการแฮชในแคชคือจำนวนเฉพาะ 31 บิตแบบสุ่ม
ตัวเลข. โปรแกรม RandomPrime.c สร้างไพรม์สุ่มที่วางอยู่ในไฟล์
DwRandPrime.h ที่สร้างขึ้นใหม่เมื่อใดก็ตามที่โปรแกรมถูกคอมไพล์หรือสิ่งต่าง ๆ
ทำความสะอาดด้วย make clean. โปรแกรมนี้ใช้ /dev/urandom สำหรับเอนโทรปีของมัน ไฟล์
DwRandPrime.h จะไม่ถูกสร้างขึ้นใหม่บนระบบที่ไม่มี /dev/urandom

บนระบบที่ไม่มีการสนับสนุนโดยตรง /dev/urandom ขอแนะนำให้ดูว่ามี a . หรือไม่
วิธีที่เป็นไปได้เพื่อให้ระบบทำงาน /dev/urandom ด้วยวิธีนี้ เมื่อ Deadwood เป็น
รวบรวมหมายเลขเวทย์มนตร์แฮชจะสุ่มอย่างเหมาะสม

หากใช้ไบนารี Deadwood ที่คอมไพล์ล่วงหน้า โปรดตรวจสอบให้แน่ใจว่าระบบมี /dev/urandom
สนับสนุน (บนระบบ Windows โปรดตรวจสอบให้แน่ใจว่าไฟล์ที่มีชื่อ secret.txt เป็น
สร้างโดยโปรแกรม mkSecretTxt.exe ที่รวมอยู่); Deadwood ที่รันไทม์ใช้
/dev/urandom (secret.txt ใน Windows) เป็นพาธฮาร์ดโค้ดเพื่อรับเอนโทรปี (พร้อมกับ
เวลา) สำหรับอัลกอริทึมแฮช

เดโมไนเซชั่น

Deadwood ไม่มีสิ่งอำนวยความสะดวกในการสร้างภูตผีปีศาจในตัว สิ่งนี้ถูกจัดการโดย
โปรแกรมภายนอก Duende หรือ daemonizer อื่น ๆ

ตัวอย่าง องค์ประกอบ ไฟล์

นี่คือตัวอย่างไฟล์กำหนดค่า dwood3rc:

# นี่คือตัวอย่างไฟล์ deadwood rc
# โปรดทราบว่าความคิดเห็นเริ่มต้นโดยสัญลักษณ์แฮช

bind_address="127.0.0.1" # IP ที่เราผูกกับ

# บรรทัดต่อไปนี้ถูกปิดการใช้งานโดยการแสดงความคิดเห็น
#bind_address="::1" # เรามีการสนับสนุน IPv6 เสริม

# ไดเร็กทอรีที่เราเรียกใช้โปรแกรมจาก (ไม่ได้ใช้ใน Win32)
chroot_dir = "/etc/maradns/deadwood"

# เซิร์ฟเวอร์ DNS ต้นน้ำต่อไปนี้คือ .ของ Google
# (ณ เดือนธันวาคม 2009) เซิร์ฟเวอร์ DNS สาธารณะ สำหรับ
#ข้อมูลเพิ่มเติมดูเพจได้ที่
# http://code.google.com/speed/public-dns/
#
# หากไม่ได้ตั้งค่า root_servers หรือ upstream_servers
# Deadwood จะใช้เซิร์ฟเวอร์รากของ ICANN เริ่มต้น
#upstream_servers = {}
#upstream_servers["."]="8.8.8.8, 8.8.4.4"

#ใครได้รับอนุญาตให้ใช้แคช สายนี้
#อนุญาตให้ทุกคนที่มี "127.0" เป็นสองตัวแรก
# หลัก IP ของพวกเขาเพื่อใช้ Deadwood
recursive_acl = "127.0.0.1/16"

# จำนวนคำขอที่รอดำเนินการสูงสุด
แม็กซ์โปรคส์ = 2048

# ส่งเซิร์ฟเวอร์ล้มเหลวเมื่อโอเวอร์โหลด
แฮนเดิล_โอเวอร์โหลด = 1

maradns_uid = 99 # UID Deadwood ทำงานเป็น
maradns_gid = 99 # GID Deadwood ทำงานเป็น

maximum_cache_elements = 60000

# หากคุณต้องการอ่านและเขียนแคชจากดิสก์
# ตรวจสอบให้แน่ใจว่า chroot_dir ด้านบนอ่านและเขียนได้
# โดย maradns_uid/gid ด้านบน และ uncomment the
#บรรทัดต่อไป.
#cache_file = "dw_cache"

# หากเซิร์ฟเวอร์ DNS ต้นน้ำของคุณแปลง "ไม่มี" การตอบกลับ DNS
# ใน IP พารามิเตอร์นี้อนุญาตให้ Deadwood แปลงการตอบกลับใด ๆ
# ด้วย IP ที่กำหนดกลับไปเป็น IP "ไม่มี" หากมี IPs ใด ๆ
# รายการด้านล่างอยู่ในคำตอบ DNS Deadwood แปลงคำตอบ
#อยู่ในที่"ไม่มี"
#ip_blacklist = "10.222.33.44, 10.222.3.55"

# โดยค่าเริ่มต้น Deadwood ไม่อนุญาตให้ใช้ IP ด้วยเหตุผลด้านความปลอดภัย
# เดอะ 192.168.xx, 172.[16-31].xx, 10.xxx, 127.xxx,
# 169.254.xx, 224.xxx หรือ 0.0.xx ช่วง ถ้าใช้ Deadwood
# หากต้องการแก้ไขชื่อบนเครือข่ายภายใน ให้ยกเลิกการใส่เครื่องหมาย
#บรรทัดต่อไปนี้:
#filter_rfc1918 = 0

ใช้เดดวูดออนไลน์โดยใช้บริการ onworks.net