BIND
| ||||||||||||||
BIND 9. Servicio de DNS, diseñado en la Universidad de California "Berkeley"; y que cuenta con varias versiones.
Sumario
Definición
BIND (Berkeley Internet Name Domain), anteriormente denominado Berkeley Internet Name Daemon; este sistema es el servicio de DNS (Domain Name System, en español Sistema de Nombres de Dominio) más usado en Internet, especialmente en sistemas Unix, en los cuales es un estándar de facto.
Historia
BIND fue diseñado originalmente a principios de los años 80 del siglo XX por cuatro estudiantes de grado de la Universidad de California "Berkeley" y liberado por primera vez en el 4.3 BSD (Berkeley Software Distribution). Inicialmente el proyecto estuvo patrocinado por la DARPA (Defense Advanced Research Projects Agency, en español Agencia de Investigación de Proyectos Avanzados de Defensa).
A mediados de la década de los años 80, el desarrollo del BIND quedó a cargo de empleados de DEC (Digital Equipment Corporation). Uno de estos empleados era Paul Vixie (Paul Vixie), quien continuó trabajando en BIND, luego de desvincularse de DEC. Más adelante Vixie ayudó a fundar la ISC (Internet Systems Consortium), quien asumió el patrocinio de este proyecto.
ISC fue fundada originalmente en 1994, para continuar el trabajo de mantenimiento y mejora de BIND, siguiendo los pasos de CSRG (Computer Systems Research Group) de la Universidad de California "Berkeley", DEC y las empresas Vixie.
BIND ha sido un componente esencial de la infraestructura de Internet, y los fundadores de ISC Paul Vixie, Malamud Carl, y Adams Rick tenían muy claro que el apoyo continuo de BIND y la mejora debe ser gestionada y financiada por una entidad independiente.
Con los años una serie de sistemas de software adicional o han encontrado refugio en el ISC (como es el caso de DCI, Lynx) o fueron creados por el ISC (por ejemplo DHCP, OpenReg) para apoyar mejor la infraestructura de Internet.
También se han ampliado las actividades operativas más allá del servicio de nombres raíz, para incluir las instalaciones de alojamiento en Internet para otros proyectos de código abierto (NetBSD, XFree86, Kernel), el servicio de nombres secundarios para más de 50 dominios de nivel superior, y un OARC DNS (Operaciones , Análisis y Centro de Investigación) para el seguimiento y la notificación de DNS.
Originalmente lanzado con una donación de UUNET Technologies, la financiación actual de ISC comprende la de fundaciones de los EE.UU, la National Science Foundation, los contratos de apoyo y los contratos de desarrollo.
En el 2004 el nombre de ISC cambió por el de Internet Systems Consortium, Inc.
Versiones
Como otras herramientas que estuvieron presentes desde los primeros días de Internet, BIND 4 y BIND 8 han tenido un gran número de vulnerabilidades de seguridad a lo largo del tiempo.
En cambio, BIND 9 fue concebida para superar las dificultades arquitectónicas en las versiones anteriores, para auditar el código en las primeras versiones de BIND y también para incorporar DNSSEC (DNS Security Extensions). BIND 9 tiene un historial mejor en cuanto al tema de la seguridad.
BIND 9
El desarrollo de BIND 9 fue realizado con el auspicio conjunto del área comercial y militar. La mayoría de las funcionalidades de BIND 9 fueron impulsadas por proveedores de UNIX, quienes querían asegurar que BIND se mantuviera competente con la oferta de Microsoft en el sector de soluciones DNS. Las funcionalidades relativas a DNSSEC fueron impulsadas por el ejército de Estados Unidos quien sintió que la seguridad en DNS era importante.
BIND 9 incluye entre otras características importantes: TSIG, notificación DNS, nsupdate, IPv6, rndc flush, vistas, procesamiento en paralelo y una arquitectura mejorada en cuanto a portabilidad. Es comúnmente usado en sistemas GNU/Linux.
Críticas
Las versiones anteriores de BIND no ofrecen ningún mecanismo para almacenar y recuperar datos del sitio en diferentes condiciones, en archivos de texto plano. Desde la versión 9.4 de BIND, DLZ ha estado disponible como una opción que permite tiempo de compilación para el almacenamiento del sitio en una gran variedad de formatos de bases de datos como por ejemplo: LDAP, Berkeley DB, PostgreSQL, MySQL u ODBC.
Características avanzadas de Bind
La mayoría de las implementaciones BIND solamente utilizan named para proporcionar servicios de resolución de nombres o para actuar como una autoridad para un dominio particular o sub-dominio. Sin embargo, la versión 9 de BIND tiene un número de características avanzadas que permiten un servicio DNS más seguro y avanzado.
Mejoras al protocolo
BIND soporta Transferencias de Zona Incremental (Incremental Zone Transfers, IXFR), donde un servidor de nombres esclavo sólo descargará las porciones actualizadas de una zona modificada en un servidor de nombres maestro. El proceso de transferencia estándar requiere que la zona completa sea transferida a cada servidor de nombres esclavo hasta por el cambio más pequeño. Para dominios muy populares con archivos de zona muy largos y muchos servidores de nombres esclavos, IXFR hace que la notificación y los procesos de actualización sean menos exigentes en recursos.
Vistas múltiples
A través del uso de la declaración view en named.conf, BIND puede presentar información diferente dependiendo de la red desde la cual se esté realizando la petición. Esta característica es básicamente utilizada para negar entradas DNS confidenciales a clientes fuera de la red local, mientras se permiten consultas desde clientes dentro de la red local.
La declaración view usa la opción match-clients para coincidir direcciones IP o redes completas y darles opciones especiales y datos de zona.
Seguridad
DNSSEC:abreviación de DNS SECurity, esta propiedad permite firmar criptográficamente las zonas con una clave de zona.La versión 9 de BIND también soporta el método SIG(0) de llave pública/privada de autenticación de mensajes.
TSIG:abreviación para Transaction SIGnatures, esta característica permite una transferencia desde el maestro al esclavo solamente después de verificar que una llave secreta compartida existe tanto en el servidor maestro como en el esclavo.
Esta característica fortalece el método estándar basado en direcciones IP de transferencia de autorización. Un intruso no solamente necesitará acceso a la dirección IP para transferir la zona, sino también necesitará conocer la clave secreta.
BIND versión 9 también soporta TKEY, el cual es otro método de autorización de zonas de transferencia basado en clave secreta compartida.
IP versión 6
BIND versión 9 puede proporcionar servicios de nombres en ambientes IP versión 6 (IPv6) a través del uso de registros de zona A6.Si el entorno de red incluye hosts IPv4 e IPv6, use el demonio ligero de resolución lwresd en todos los clientes de la red. Este demonio es muy eficiente, funciona solamente en caché y además entiende los nuevos registros A6 y DNAME usados bajo IPv6. Consulte la página de manual para lwresd para más información.
Véase también
Fuentes
- Paul Albitz, Cricket Liu. (2006). Disponible en OREILLY
- Artículo BIND. Disponible en "es.wikipedia.org". Consultado el 21 de febrero de 2011.
- Artículo Reedmedia. Disponible en "www.reedmedia.net". Consultado el 28 de febrero de 2011.
- Artículo ISC. Disponible en "www.isc.org". Consultado el 1 de marzo de 2011.
