☰

绑定并打开端口

tag-icon • tag-icon centos bind
绑定并打开端口

我最近在 CentOS 机器上安装了 Bind。一切似乎都正常工作，只需打开端口 53。但是，我注意到配置文件中的 rndc.conf 中有一行写着“默认端口 953；”。我没有打开端口 953，但 Bind 似乎正常工作。我可以保持 953 关闭吗？RNDC 监听 953 有什么意义？

答案1

这打印了什么？

$ sudo netstat -ntlp | grep ':953\>'

它应该打印类似这样的内容：

tcp        0      0 127.0.0.1:953           0.0.0.0:*               LISTEN      1234/named

或者如果你启用了 IPv6：

tcp        0      0 127.0.0.1:953           0.0.0.0:*               LISTEN      1234/named
tcp        0      0 ::1:953                 :::*                    LISTEN      1234/named

因为它只使用环回地址，所以只有登录到服务器本身的用户才能访问该端口，而不能从网络上的其他地方访问。

rndc 用于管理名称服务器，例如“rndc reload”是告诉 BIND 您更改了区域文件并且应该重新加载它们的首选方法。

在我的 Debian 服务器上（不确定 CentOS 是否如此），/etc/init.d/bind9 也需要它来启动和停止服务。我认为 CentOS 会调用该文件 /etc/init.d/named。我不会在不先检查该脚本如何工作的情况下禁用或阻止它。

您可以运行的完整命令列表位于BIND 9 管理员参考手册 - 管理工具。

至于为什么它使用TCP端口，请运行“man rndc”查看详细信息：

   rndc communicates with the name server over a TCP connection, sending
   commands authenticated with digital signatures. In the current versions
   of rndc and named, the only supported authentication algorithm is
   HMAC-MD5, which uses a shared secret on each end of the connection.
   This provides TSIG-style authentication for the command request and the
   name server’s response. All commands sent over the channel must be
   signed by a key_id known to the server.

   rndc reads a configuration file to determine how to contact the name
   server and decide what algorithm and key it should use.

因此，如果您希望确保其安全，请查看密钥和密钥文件的详细信息。例如，/etc/bind/rndc.key（或 /etc/named/rndc.key）应具有受限权限。

答案2

RNDC 是远程管理端口。请勿将其向外界开放。除非您使用 rndc 实用程序，否则根本不需要打开此端口，您可以安全地将其防火墙关闭。

Bind 需要 UDP 53 来处理正常请求。如果（且仅当）此服务器是区域的主服务器并且辅助服务器需要从其传输，您还应该打开 TCP 53。

答案3

在 /etc/named.conf 末尾添加以下内容（RedHat 兼容，Debian？？）

控制 { };

禁用它。我认为在从属 DNS 服务器上打开它毫无意义。

来源：https://www.linuxquestions.org/questions/linux-server-73/bind-and-rndc-problems-how-do-i-remove-rndc-597478/#post2949852

答案4

实际上，BIND 监听环回接口的 TCP 端口 953。RNDC 是一个可用于控制 BIND 的客户端实用程序。RNDC 通过 TCP 端口 953 与 BIND 通信。将其保持打开状态是完全安全的。

相关内容