先决条件

Question 1

我在 Ubuntu 服务器上遇到了几乎完全相同的问题，结果是两个问题：

（1）装甲

我不知道 Debian 是否也是如此，但在 Ubuntu 上bind9运行时启用了 apparmor。这意味着它只允许写入某些位置。这些位置列在中/etc/apparmor.d/usr.sbin.named，通常建议留在这些目录中。您可以安装软件包apparmor-utils并（暂时）禁用 apparmor 以查看这是否会导致您的问题：

sudo aa-status

应该会显示/usr/sbin/named在强制配置文件列表中。然后运行

sudo aa-complain /usr/sbin/named

使其进入抱怨模式。

（2）区域文件

几乎没有手册/教程提到这一点，但 bind9 需要 (预先) 存在的区域文件才能正常工作。错误end of file可能是由于区域文件尚不存在（在您的示例中）/etc/bind/primary/example.com而导致的/etc/bind/primary/sub.example.com。您可以像这样简单地创建一个：

echo "; DO NOT EDIT MANUALLY - use the \"nsupdate\" utility to prevent data loss
;
\$ORIGIN example.com.
\$TTL 86400  ; 1 day
@    IN SOA  ns1.example.com. hostmaster.example.com. (
       2009074711 ; serial
       7200       ; refresh (2 hours)
       300        ; retry (5 minutes)
       604800     ; expire (1 week)
       60         ; minimum (1 minute)
       )
   IN  NS  ns1.example.com.
ns1    IN  A  <IP of your bind server>" | sudo -u bind tee /etc/bind/primary/example.com

Answer

我在 Ubuntu 服务器上遇到了几乎完全相同的问题，结果是两个问题：

（1）装甲

我不知道 Debian 是否也是如此，但在 Ubuntu 上bind9运行时启用了 apparmor。这意味着它只允许写入某些位置。这些位置列在中/etc/apparmor.d/usr.sbin.named，通常建议留在这些目录中。您可以安装软件包apparmor-utils并（暂时）禁用 apparmor 以查看这是否会导致您的问题：

sudo aa-status

应该会显示/usr/sbin/named在强制配置文件列表中。然后运行

sudo aa-complain /usr/sbin/named

使其进入抱怨模式。

（2）区域文件

几乎没有手册/教程提到这一点，但 bind9 需要 (预先) 存在的区域文件才能正常工作。错误end of file可能是由于区域文件尚不存在（在您的示例中）/etc/bind/primary/example.com而导致的/etc/bind/primary/sub.example.com。您可以像这样简单地创建一个：

echo "; DO NOT EDIT MANUALLY - use the \"nsupdate\" utility to prevent data loss
;
\$ORIGIN example.com.
\$TTL 86400  ; 1 day
@    IN SOA  ns1.example.com. hostmaster.example.com. (
       2009074711 ; serial
       7200       ; refresh (2 hours)
       300        ; retry (5 minutes)
       604800     ; expire (1 week)
       60         ; minimum (1 minute)
       )
   IN  NS  ns1.example.com.
ns1    IN  A  <IP of your bind server>" | sudo -u bind tee /etc/bind/primary/example.com

Question 2

在我改变存储区域文件的位置之前，我遇到了非常类似的问题。

Bind 有权写入/var/cache/bind，但您的区域文件存储在中/etc/bind/...。Bind 目前无权写入中的文件/etc/bind/...，因此您需要更新 Bind 的权限或将区域文件存储在 Bind 具有适当权限的目录中。我将介绍将区域文件移动到动态区域推荐目录 ( /var/lib/bind/) 的简单步骤。

移动区域文件mv（可能需要以 root 身份执行）

mv /etc/bind/primary/example.com /var/lib/bind/primary/
mv /etc/bind/primary/sub.example.com /var/lib/bind/primary/

更新配置中的文件路径named.conf。对于你的情况，这意味着更新/etc/bind/named.conf.local

zone "example.com" {
  type master;
  file "/var/lib/bind/primary/example.com";  //this line changed
  //other stuff removed for clarity
};

zone "sub.example.com" {
  type master;
  file "/var/lib/bind/primary/sub.example.com";  //this line changed
  //other stuff removed for clarity
};

重启绑定service bind9 restart

Answer

在我改变存储区域文件的位置之前，我遇到了非常类似的问题。

Bind 有权写入/var/cache/bind，但您的区域文件存储在中/etc/bind/...。Bind 目前无权写入中的文件/etc/bind/...，因此您需要更新 Bind 的权限或将区域文件存储在 Bind 具有适当权限的目录中。我将介绍将区域文件移动到动态区域推荐目录 ( /var/lib/bind/) 的简单步骤。

移动区域文件mv（可能需要以 root 身份执行）

mv /etc/bind/primary/example.com /var/lib/bind/primary/
mv /etc/bind/primary/sub.example.com /var/lib/bind/primary/

更新配置中的文件路径named.conf。对于你的情况，这意味着更新/etc/bind/named.conf.local

zone "example.com" {
  type master;
  file "/var/lib/bind/primary/example.com";  //this line changed
  //other stuff removed for clarity
};

zone "sub.example.com" {
  type master;
  file "/var/lib/bind/primary/sub.example.com";  //this line changed
  //other stuff removed for clarity
};

重启绑定service bind9 restart

Question 3

请参阅 nsupdate 中的部分

   With the -k option, nsupdate reads the shared secret from the file
   keyfile. Keyfiles may be in two formats: a single file containing a
   named.conf-format key statement, which may be generated automatically
   by ddns-confgen, or a pair of files whose names are of the format
   K{name}.+157.+{random}.key and K{name}.+157.+{random}.private, which
   can be generated by dnssec-keygen. The -k may also be used to specify a
   SIG(0) key used to authenticate Dynamic DNS update requests. In this
   case, the key specified is not an HMAC-MD5 key.

因此，如果您要将其重新格式化为

key sub.example.com. {
        algorithm HMAC-MD5;
        secret "xxxx xxxx";
};

将其保存在文件中即可，或者-k K{name}.+157.+{random}.*

Answer

请参阅 nsupdate 中的部分

   With the -k option, nsupdate reads the shared secret from the file
   keyfile. Keyfiles may be in two formats: a single file containing a
   named.conf-format key statement, which may be generated automatically
   by ddns-confgen, or a pair of files whose names are of the format
   K{name}.+157.+{random}.key and K{name}.+157.+{random}.private, which
   can be generated by dnssec-keygen. The -k may also be used to specify a
   SIG(0) key used to authenticate Dynamic DNS update requests. In this
   case, the key specified is not an HMAC-MD5 key.

因此，如果您要将其重新格式化为

key sub.example.com. {
        algorithm HMAC-MD5;
        secret "xxxx xxxx";
};

将其保存在文件中即可，或者-k K{name}.+157.+{random}.*

Question 4

对于 dyndns 更新，BIND 必须能够写入区域使用的文件夹。在我看来，/etc 不是存储此类信息的合适位置，而且查看您的权限，bind 无法写入 etc。

我建议尝试 /var/bind 目录，以便 bind 可以写入它。

Answer

对于 dyndns 更新，BIND 必须能够写入区域使用的文件夹。在我看来，/etc 不是存储此类信息的合适位置，而且查看您的权限，bind 无法写入 etc。

我建议尝试 /var/bind 目录，以便 bind 可以写入它。

先决条件

先决条件

问题

答案1

答案2

答案3

答案4

相关内容