windows 7: «разрешение имени локального хоста обрабатывается в самом dns». почему?

<p>после 18 лет работы с хост-файлами в windows я с удивлением увидел это в windows 7 build 7100:</p><pre><code># localhost name resolution is handled within dns itself. # 127.0.0.1 localhost # ::1 localhost </code></pre><p>кто-нибудь знает <strong>, почему </strong> это изменение было введено? я уверен, что должна быть какая-то аргументация.</p><p>и, возможно, более уместно, есть ли <strong> другие </strong> важные изменения, связанные с dns в windows 7? меня немного пугает мысль о том, что что-то столь же фундаментальное, как разрешение имен локальных хостов, изменилось ... заставляет меня думать, что есть и другие тонкие, но важные изменения в стеке dns в win7.</p>

<p>я проверил с разработчиком в команде windows, и фактический ответ гораздо более безобиден, чем другие ответы на этот пост :)</p><p>в какой-то момент в будущем, когда мир перейдет от ipv4 к ipv6, ipv4 в конечном итоге будет отключен/удален компаниями, которые хотят упростить управление сетью в своих средах.</p><p>в windows vista, когда ipv4 был удален, а ipv6 был включен, запрос dns для адреса a (ipv4) привел к возникновению обратной петли ipv4 (полученной из файла hosts). это, конечно, вызывало проблемы, когда ipv4 не был установлен. исправление состояло в том, чтобы переместить всегда присутствующие записи обратной петли ipv4 и ipv6 с хоста в распознаватель dns, где они могли быть независимо отключены.</p><p>-sean</p>

<p>в windows 7 добавлена (необязательно) поддержка <a href="http://www.dnssec-deployment.org/aboutdnssec.htm"> dnssec </a> проверки. элементы управления можно найти в разделе "политика разрешения имен" в плагине "локальная групповая политика" (<code>c:\windows\system32\gpedit.msc</code>)</p><p>к сожалению, он не поддерживает (afaik) <a href="http://tools.ietf.org/html/rfc5155">rfc 5155</a> <code>nsec3</code> записей, которые многие операторы крупных зон (в том числе <code>.com</code>) будет использоваться, когда они начнут работать с dnssec в течение следующих нескольких лет.</p>

<p>учитывая, что все больше и больше приложений в windows используют ip для связи с самим собой, вероятно, включая несколько служб windows, я мог видеть, что кто-то изменяет localhost, чтобы указать куда-то еще, как на интересный вектор атаки. я думаю, что это было изменено как часть microsoft <a href="http://msdn.microsoft.com/en-us/security/cc448177.aspx"> sdl </a> .</p>

<p>я также вижу, что это попытка укрепить их безопасность. путем "исправления" localhost, чтобы он всегда указывал на обратную петлю, они могут избежать атак отравления dns, которые начинают появляться в дикой природе.</p><p>я согласен, хотя, это немного беспокоит на некоторых уровнях ...</p>

<p>мне было бы любопытно узнать, можно ли переопределить localhost в самой dns, хотя. использование открытых текстовых файлов для управления этими настройками никогда не считалось лучшей практикой безопасности. мне кажется, что новые меры безопасности microsoft выходят за рамки предотвращения корневого доступа и углубляются в нюансы уязвимостей. я не уверен, насколько можно оставаться на шаг впереди мотивированных черных шляп, несмотря ни на что.</p>

<p>я думаю, что это как-то связано с тем, что microsoft реализует rfc 3484 для выбора ip-адреса назначения. это функция ipv6, перенесенная обратно на ipv4, и влияет на vista/server 2008 и выше. это изменение нарушает порядок использования dns, поэтому даже если это не отвечает на ваш вопрос, это определенно является важным изменением dns, о котором нужно знать.</p><p>дополнительная информация в блоге <a href="http://blogs.technet.com/networking/archive/2009/04/17/dns-round-robin-and-destination-ip-address-selection.aspx">microsoft enterprise networking</a> .</p>