contrib/bind9/README

   1 BIND 9
   2
   3         BIND version 9 is a major rewrite of nearly all aspects of the
   4         underlying BIND architecture.  Some of the important features of
   5         BIND 9 are:
   6
   7                 - DNS Security
   8                         DNSSEC (signed zones)
   9                         TSIG (signed DNS requests)
  10
  11                 - IP version 6
  12                         Answers DNS queries on IPv6 sockets
  13                         IPv6 resource records (AAAA)
  14                         Experimental IPv6 Resolver Library
  15
  16                 - DNS Protocol Enhancements
  17                         IXFR, DDNS, Notify, EDNS0
  18                         Improved standards conformance
  19
  20                 - Views
  21                         One server process can provide multiple "views" of
  22                         the DNS namespace, e.g. an "inside" view to certain
  23                         clients, and an "outside" view to others.
  24
  25                 - Multiprocessor Support
  26
  27                 - Improved Portability Architecture
  28
  29
  30         BIND version 9 development has been underwritten by the following
  31         organizations:
  32
  33                 Sun Microsystems, Inc.
  34                 Hewlett Packard
  35                 Compaq Computer Corporation
  36                 IBM
  37                 Process Software Corporation
  38                 Silicon Graphics, Inc.
  39                 Network Associates, Inc.
  40                 U.S. Defense Information Systems Agency
  41                 USENIX Association
  42                 Stichting NLnet - NLnet Foundation
  43                 Nominum, Inc.
  44
  45         For a summary of functional enhancements in previous
  46         releases, see the HISTORY file.
  47
  48         For a detailed list of user-visible changes from
  49         previous releases, see the CHANGES file.
  50
  51         For up-to-date release notes and errata, see
  52         http://www.isc.org/software/bind9/releasenotes
  53
  54 BIND 9.9.8-P3
  55
  56       BIND 9.9.8-P3 is a security release addressing the flaw described in
  57       CVE-2015-8704. It also fixes a serious regression in authoritative
  58       server selection that was introduced in 9.9.8.
  59
  60 BIND 9.9.8-P2
  61
  62         BIND 9.9.8-P2 is a security release addressing the flaws
  63         described in CVE-2015-3193 (OpenSSL), CVE-2015-8000 and
  64         CVE-2015-8461.
  65
  66 BIND 9.9.8-P1
  67
  68         BIND 9.9.8-P1 was incomplete and was withdrawn prior to
  69         publication.
  70
  71 BIND 9.9.8
  72
  73         BIND 9.9.8 is a maintenance release and addresses bugs
  74         found in BIND 9.9.7 and earlier, as well as the security
  75         flaws described in CVE-2015-4620, CVE-2015-5477,
  76         CVE-2015-5722, and CVE-2015-5986.
  77
  78         It also makes the following new features available via a
  79         compile-time option:
  80
  81         - New "fetchlimit" quotas are now available for the use of
  82           recursive resolvers that are are under high query load for
  83           domains whose authoritative servers are nonresponsive or are
  84           experiencing a denial of service attack.
  85
  86           + "fetches-per-server" limits the number of simultaneous queries
  87             that can be sent to any single authoritative server.  The
  88             configured value is a starting point; it is automatically
  89             adjusted downward if the server is partially or completely
  90             non-responsive. The algorithm used to adjust the quota can be
  91             configured via the "fetch-quota-params" option.
  92           + "fetches-per-zone" limits the number of simultaneous queries
  93             that can be sent for names within a single domain.  (Note:
  94             Unlike "fetches-per-server", this value is not self-tuning.)
  95           + New stats counters have been added to count
  96             queries spilled due to these quotas.
  97
  98           NOTE: These options are NOT built in by default; use
  99           "configure --enable-fetchlimit" to enable them.
 100
 101 BIND 9.9.7
 102
 103         BIND 9.9.7 is a maintenance release and addresses bugs
 104         found in BIND 9.9.6 and earlier, as well as the security
 105         flaws described in CVE-2014-8500 and CVE-2015-1349.
 106
 107 BIND 9.9.6
 108
 109         BIND 9.9.6 is a maintenance release, and also includes
 110         the following new functionality.
 111
 112          - The former behavior with respect to capitalization of names
 113            (prior to BIND 9.9.5) can be restored for specific clients via
 114            the new "no-case-compress" ACL.
 115
 116 BIND 9.9.5
 117
 118         BIND 9.9.5 is a maintenance release, and patches the security
 119         flaws described in CVE-2013-6320 and CVE-2014-0591.  It also
 120         includes the following functional enhancements:
 121
 122          - "named" now preserves the capitalization of names when
 123            responding to queries.
 124          - new "dnssec-importkey" command allows the use of offline
 125            DNSSEC keys with automatic DNSKEY management.
 126          - When re-signing a zone, the new "dnssec-signzone -Q" option
 127            drops signatures from keys that are still published but are
 128            no longer active.
 129          - "named-checkconf -px" will print the contents of configuration
 130            files with the shared secrets obscured, making it easier to
 131            share configuration (e.g. when submitting a bug report)
 132            without revealing private information.
 133
 134 BIND 9.9.4
 135
 136         BIND 9.9.4 is a maintenance release, and patches the security
 137         flaws described in CVE-2013-3919 and CVE-2013-4854. It also
 138         introduces DNS Response Rate Limiting (DNS RRL) as a
 139         compile-time option. To use this feature, configure with
 140         the "--enable-rrl" option.
 141
 142 BIND 9.9.3
 143
 144         BIND 9.9.3 is a maintenance release and patches the security
 145         flaws described in CVE-2012-5688, CVE-2012-5689 and CVE-2013-2266.
 146
 147 BIND 9.9.2
 148
 149         BIND 9.9.2 is a maintenance release and patches the security
 150         flaw described in CVE-2012-4244.
 151
 152 BIND 9.9.1
 153
 154         BIND 9.9.1 is a maintenance release.
 155
 156 BIND 9.9.0
 157
 158         BIND 9.9.0 includes a number of changes from BIND 9.8 and earlier
 159         releases.  New features include:
 160
 161         - Inline signing, allowing automatic DNSSEC signing of
 162           master zones without modification of the zonefile, or
 163           "bump in the wire" signing in slaves.
 164         - NXDOMAIN redirection.
 165         - New 'rndc flushtree' command clears all data under a given
 166           name from the DNS cache.
 167         - New 'rndc sync' command dumps pending changes in a dynamic
 168           zone to disk without a freeze/thaw cycle.
 169         - New 'rndc signing' command displays or clears signing status
 170           records in 'auto-dnssec' zones.
 171         - NSEC3 parameters for 'auto-dnssec' zones can now be set prior
 172           to signing, eliminating the need to initially sign with NSEC.
 173         - Startup time improvements on large authoritative servers.
 174         - Slave zones are now saved in raw format by default.
 175         - Several improvements to response policy zones (RPZ).
 176         - Improved hardware scalability by using multiple threads
 177           to listen for queries and using finer-grained client locking
 178         - The 'also-notify' option now takes the same syntax as
 179           'masters', so it can used named masterlists and TSIG keys.
 180         - 'dnssec-signzone -D' writes an output file containing only DNSSEC
 181           data, which can be included by the primary zone file.
 182         - 'dnssec-signzone -R' forces removal of signatures that are
 183           not expired but were created by a key which no longer exists.
 184         - 'dnssec-signzone -X' allows a separate expiration date to
 185           be specified for DNSKEY signatures from other signatures.
 186         - New '-L' option to dnssec-keygen, dnssec-settime, and
 187           dnssec-keyfromlabel sets the default TTL for the key.
 188         - dnssec-dsfromkey now supports reading from standard input,
 189           to make it easier to convert DNSKEY to DS.
 190         - RFC 1918 reverse zones have been added to the empty-zones
 191           table per RFC 6303.
 192         - Dynamic updates can now optionally set the zone's SOA serial
 193           number to the current UNIX time.
 194         - DLZ modules can now retrieve the source IP address of
 195           the querying client.
 196         - 'request-ixfr' option can now be set at the per-zone level.
 197         - 'dig +rrcomments' turns on comments about DNSKEY records,
 198           indicating their key ID, algorithm and function
 199         - Simplified nsupdate syntax and added readline support
 200
 201 Building
 202
 203         BIND 9 currently requires a UNIX system with an ANSI C compiler,
 204         basic POSIX support, and a 64 bit integer type.
 205
 206         We've had successful builds and tests on the following systems:
 207
 208                 COMPAQ Tru64 UNIX 5.1B
 209                 Fedora Core 6
 210                 FreeBSD 4.10, 5.2.1, 6.2
 211                 HP-UX 11.11
 212                 Mac OS X 10.5
 213                 NetBSD 3.x, 4.0-beta, 5.0-beta
 214                 OpenBSD 3.3 and up
 215                 Solaris 8, 9, 9 (x86), 10
 216                 Ubuntu 7.04, 7.10
 217                 Windows XP/2003/2008
 218
 219         NOTE:  As of BIND 9.5.1, 9.4.3, and 9.3.6, older versions of
 220         Windows, including Windows NT and Windows 2000, are no longer
 221         supported.
 222
 223         We have recent reports from the user community that a supported
 224         version of BIND will build and run on the following systems:
 225
 226                 AIX 4.3, 5L
 227                 CentOS 4, 4.5, 5
 228                 Darwin 9.0.0d1/ARM
 229                 Debian 4, 5, 6
 230                 Fedora Core 5, 7, 8
 231                 FreeBSD 6, 7, 8
 232                 HP-UX 11.23 PA
 233                 MacOS X 10.5, 10.6, 10.7
 234                 Red Hat Enterprise Linux 4, 5, 6
 235                 SCO OpenServer 5.0.6
 236                 Slackware 9, 10
 237                 SuSE 9, 10
 238
 239         To build, just
 240
 241                 ./configure
 242                 make
 243
 244         Do not use a parallel "make".
 245
 246         Several environment variables that can be set before running
 247         configure will affect compilation:
 248
 249             CC
 250                 The C compiler to use.  configure tries to figure
 251                 out the right one for supported systems.
 252
 253             CFLAGS
 254                 C compiler flags.  Defaults to include -g and/or -O2
 255                 as supported by the compiler.  Please include '-g'
 256                 if you need to set CFLAGS.
 257
 258             STD_CINCLUDES
 259                 System header file directories.  Can be used to specify
 260                 where add-on thread or IPv6 support is, for example.
 261                 Defaults to empty string.
 262
 263             STD_CDEFINES
 264                 Any additional preprocessor symbols you want defined.
 265                 Defaults to empty string.
 266
 267                 Possible settings:
 268                 Change the default syslog facility of named/lwresd.
 269                   -DISC_FACILITY=LOG_LOCAL0
 270                 Enable DNSSEC signature chasing support in dig.
 271                   -DDIG_SIGCHASE=1 (sets -DDIG_SIGCHASE_TD=1 and
 272                                     -DDIG_SIGCHASE_BU=1)
 273                 Disable dropping queries from particular well known ports.
 274                   -DNS_CLIENT_DROPPORT=0
 275                 Sibling glue checking in named-checkzone is enabled by default.
 276                 To disable the default check set.  -DCHECK_SIBLING=0
 277                 named-checkzone checks out-of-zone addresses by default.
 278                 To disable this default set.  -DCHECK_LOCAL=0
 279                 To create the default pid files in ${localstatedir}/run rather
 280                 than ${localstatedir}/run/{named,lwresd}/ set.
 281                   -DNS_RUN_PID_DIR=0
 282                 Enable workaround for Solaris kernel bug about /dev/poll
 283                   -DISC_SOCKET_USE_POLLWATCH=1
 284                   The watch timeout is also configurable, e.g.,
 285                   -DISC_SOCKET_POLLWATCH_TIMEOUT=20
 286
 287             LDFLAGS
 288                 Linker flags. Defaults to empty string.
 289
 290         The following need to be set when cross compiling.
 291
 292             BUILD_CC
 293                 The native C compiler.
 294             BUILD_CFLAGS (optional)
 295             BUILD_CPPFLAGS (optional)
 296                 Possible Settings:
 297                 -DNEED_OPTARG=1         (optarg is not declared in <unistd.h>)
 298             BUILD_LDFLAGS (optional)
 299             BUILD_LIBS (optional)
 300
 301         To build shared libraries, specify "--with-libtool" on the
 302         configure command line.
 303
 304         For the server to support DNSSEC, you need to build it
 305         with crypto support.  You must have OpenSSL 0.9.5a
 306         or newer installed and specify "--with-openssl" on the
 307         configure command line.  If OpenSSL is installed under
 308         a nonstandard prefix, you can tell configure where to
 309         look for it using "--with-openssl=/prefix".
 310
 311         On some platforms it is necessary to explictly request large
 312         file support to handle files bigger than 2GB.  This can be
 313         done by "--enable-largefile" on the configure command line.
 314
 315         On some platforms, BIND 9 can be built with multithreading
 316         support, allowing it to take advantage of multiple CPUs.
 317         You can specify whether to build a multithreaded BIND 9
 318         by specifying "--enable-threads" or "--disable-threads"
 319         on the configure command line.  The default is operating
 320         system dependent.
 321
 322         Support for the "fixed" rrset-order option can be enabled
 323         or disabled by specifying "--enable-fixed-rrset" or
 324         "--disable-fixed-rrset" on the configure command line.
 325         The default is "disabled", to reduce memory footprint.
 326
 327         If your operating system has integrated support for IPv6, it
 328         will be used automatically.  If you have installed KAME IPv6
 329         separately, use "--with-kame[=PATH]" to specify its location.
 330
 331         "make install" will install "named" and the various BIND 9 libraries.
 332         By default, installation is into /usr/local, but this can be changed
 333         with the "--prefix" option when running "configure".
 334
 335         You may specify the option "--sysconfdir" to set the directory
 336         where configuration files like "named.conf" go by default,
 337         and "--localstatedir" to set the default parent directory
 338         of "run/named.pid".   For backwards compatibility with BIND 8,
 339         --sysconfdir defaults to "/etc" and --localstatedir defaults to
 340         "/var" if no --prefix option is given.  If there is a --prefix
 341         option, sysconfdir defaults to "$prefix/etc" and localstatedir
 342         defaults to "$prefix/var".
 343
 344         To see additional configure options, run "configure --help".
 345         Note that the help message does not reflect the BIND 8
 346         compatibility defaults for sysconfdir and localstatedir.
 347
 348         If you're planning on making changes to the BIND 9 source, you
 349         should also "make depend".  If you're using Emacs, you might find
 350         "make tags" helpful.
 351
 352         If you need to re-run configure please run "make distclean" first.
 353         This will ensure that all the option changes take.
 354
 355         Building with gcc is not supported, unless gcc is the vendor's usual
 356         compiler (e.g. the various BSD systems, Linux).
 357
 358         Known compiler issues:
 359         * gcc-3.2.1 and gcc-3.1.1 is known to cause problems with solaris-x86.
 360         * gcc prior to gcc-3.2.3 ultrasparc generates incorrect code at -02.
 361         * gcc-3.3.5 powerpc generates incorrect code at -02.
 362         * Irix, MipsPRO 7.4.1m is known to cause problems.
 363
 364         A limited test suite can be run with "make test".  Many of
 365         the tests require you to configure a set of virtual IP addresses
 366         on your system, and some require Perl; see bin/tests/system/README
 367         for details.
 368
 369         SunOS 4 requires "printf" to be installed to make the shared
 370         libraries.  sh-utils-1.16 provides a "printf" which compiles
 371         on SunOS 4.
 372
 373 Known limitations
 374
 375         Linux requires kernel build 2.6.39 or later to get the
 376         performance benefits from using multiple sockets.
 377
 378 Documentation
 379
 380         The BIND 9 Administrator Reference Manual is included with the
 381         source distribution in DocBook XML and HTML format, in the
 382         doc/arm directory.
 383
 384         Some of the programs in the BIND 9 distribution have man pages
 385         in their directories.  In particular, the command line
 386         options of "named" are documented in /bin/named/named.8.
 387         There is now also a set of man pages for the lwres library.
 388
 389         If you are upgrading from BIND 8, please read the migration
 390         notes in doc/misc/migration.  If you are upgrading from
 391         BIND 4, read doc/misc/migration-4to9.
 392
 393         Frequently asked questions and their answers can be found in
 394         FAQ.
 395
 396         Additional information on various subjects can be found
 397         in the other README files.
 398
 399
 400 Change Log
 401
 402         A detailed list of all changes to BIND 9 is included in the
 403         file CHANGES, with the most recent changes listed first.
 404         Change notes include tags indicating the category of the
 405         change that was made; these categories are:
 406
 407            [func]         New feature
 408
 409            [bug]          General bug fix
 410
 411            [security]     Fix for a significant security flaw
 412
 413            [experimental] Used for new features when the syntax
 414                           or other aspects of the design are still
 415                           in flux and may change
 416
 417            [port]         Portability enhancement
 418
 419            [maint]        Updates to built-in data such as root
 420                           server addresses and keys
 421
 422            [tuning]       Changes to built-in configuration defaults
 423                           and constants to improve performanceo
 424
 425            [protocol]     Updates to the DNS protocol such as new
 426                           RR types
 427
 428            [test]         Changes to the automatic tests, not
 429                           affecting server functionality
 430
 431            [cleanup]      Minor corrections and refactoring
 432
 433            [doc]          Documentation
 434
 435            [contrib]      Changes to the contributed tools and
 436                           libraries in the 'contrib' subdirectory
 437
 438            [placeholder]  Used in the master development branch to
 439                           reserve change numbers for use in other
 440                           branches, e.g. when fixing a bug that only
 441                           exists in older releases
 442
 443         In general, [func] and [experimental] tags will only appear
 444         in new-feature releases (i.e., those with version numbers
 445         ending in zero).  Some new functionality may be backported to
 446         older releases on a case-by-case basis.  All other change
 447         types may be applied to all currently-supported releases.
 448
 449
 450 Bug Reports and Mailing Lists
 451
 452         Bug reports should be sent to:
 453
 454                 bind9-bugs@isc.org
 455
 456         Feature requests can be sent to:
 457
 458                 bind-suggest@isc.org
 459
 460         To join or view the archives of the BIND Users mailing list,
 461         visit:
 462
 463                 https://lists.isc.org/mailman/listinfo/bind-users
 464
 465         If you're planning on making changes to the BIND 9 source
 466         code, you may also want to join the BIND Workers mailing
 467         list:
 468
 469                 https://lists.isc.org/mailman/listinfo/bind-workers
 470
 471         Information on read-only Git access, coding style and developer
 472         guidelines can be found at:
 473
 474                 http://www.isc.org/git/
 475
 476