视图之间共享的 BIND 动态区域的更新延迟

Question 1

不同的视图独立运行，这本质上比运行单独的命名实例更方便。如果不同视图中有同名的区域，这只是巧合，它们仍然是完全独立的区域，与其他区域没有更多关联。

在 bind 自行更新区域内容的情况下（从属区域、具有动态更新的区域等），让多个独立区域使用相同的区域文件是行不通的。我不确定是否存在损坏区域文件本身的风险。

您可能能够设置一些类似于您想要做的事情，即让一个视图中的区域成为另一个视图中同名区域的从属。这显然是一个有点复杂的配置，但使用匹配客户端的 TSIG 密钥以及通知/传输，我相信这应该是可行的。

编辑：ISC 已针对此场景发布了一篇知识库文章，如何在多个视图之间共享动态区域？，建议采用上面提到的相同类型的配置。

这是他们的配置示例，格式有所改进：

key "external" {
    algorithm hmac-md5;
    secret "xxxxxxxx";
};

key "mykey" {
    algorithm hmac-md5;
    secret "yyyyyyyy";
};

view "internal" {
    match-clients { !key external; 10.0.1/24; };

    server 10.0.1.1 {
        /* Deliver notify messages to external view. */
        keys { external; };
    };

    zone "example.com" {
        type master;
        file "internal/example.db";
        allow-update { key mykey; };
        also-notify { 10.0.1.1; };
    };
};

view "external" {
    match-clients { key external; any; };

    zone "example.com" {
        type slave;
        file "external/example.db";
        masters { 10.0.1.1; };
        transfer-source { 10.0.1.1; };
        // allow-update-forwarding { any; };
        // allow-notify { ... };
    };
};

Answer

不同的视图独立运行，这本质上比运行单独的命名实例更方便。如果不同视图中有同名的区域，这只是巧合，它们仍然是完全独立的区域，与其他区域没有更多关联。

在 bind 自行更新区域内容的情况下（从属区域、具有动态更新的区域等），让多个独立区域使用相同的区域文件是行不通的。我不确定是否存在损坏区域文件本身的风险。

您可能能够设置一些类似于您想要做的事情，即让一个视图中的区域成为另一个视图中同名区域的从属。这显然是一个有点复杂的配置，但使用匹配客户端的 TSIG 密钥以及通知/传输，我相信这应该是可行的。

编辑：ISC 已针对此场景发布了一篇知识库文章，如何在多个视图之间共享动态区域？，建议采用上面提到的相同类型的配置。

这是他们的配置示例，格式有所改进：

key "external" {
    algorithm hmac-md5;
    secret "xxxxxxxx";
};

key "mykey" {
    algorithm hmac-md5;
    secret "yyyyyyyy";
};

view "internal" {
    match-clients { !key external; 10.0.1/24; };

    server 10.0.1.1 {
        /* Deliver notify messages to external view. */
        keys { external; };
    };

    zone "example.com" {
        type master;
        file "internal/example.db";
        allow-update { key mykey; };
        also-notify { 10.0.1.1; };
    };
};

view "external" {
    match-clients { key external; any; };

    zone "example.com" {
        type slave;
        file "external/example.db";
        masters { 10.0.1.1; };
        transfer-source { 10.0.1.1; };
        // allow-update-forwarding { any; };
        // allow-notify { ... };
    };
};

Question 2

由于视图存在类似的问题，我决定摆脱它们并将授权转移到区域中。

您可以通过简单包含两个区域文件来替换问题中的视图，让当前共享的区域不受影响，并将 allow-query{} 添加到“dynamic-zone.db”定义中，如下所示：

    zone "dynamic.zone" {
            allow-query { 10.1.1.0/24; 10.1.2.0/24; };
            type master;
            file "/etc/bind/zones/master/dynamic.zone";
            update-policy { .... };
    };

通过这种方式，您可以实现您的预期目标，即使得 dynamic.zone 只能从指定网络访问，并将其他区域公开。

Answer

由于视图存在类似的问题，我决定摆脱它们并将授权转移到区域中。

您可以通过简单包含两个区域文件来替换问题中的视图，让当前共享的区域不受影响，并将 allow-query{} 添加到“dynamic-zone.db”定义中，如下所示：

    zone "dynamic.zone" {
            allow-query { 10.1.1.0/24; 10.1.2.0/24; };
            type master;
            file "/etc/bind/zones/master/dynamic.zone";
            update-policy { .... };
    };

通过这种方式，您可以实现您的预期目标，即使得 dynamic.zone 只能从指定网络访问，并将其他区域公开。

Question 3

目前这是一个相当老的问题。但我最近尝试解决同样的问题，并找到了一个优雅而简单的解决方案。从 isc bind 版本 9.10.0 开始，有一个简单的方法可以做到这一点。

具有“视图内”区域配置选项。所有视图共享相同的内存结构，并且应保持同步。您可以从任何视图进行更新。

https://kb.isc.org/docs/aa-00295

手册链接：ftp://ftp.isc.org/isc/bind9/9.11.4-P2/doc/arm/Bv9ARM.pdf

具体应该怎么做：

配置中的第一个视图应为“主”视图，且具有唯一的区域文件（将被共享）
具有相同区域的所有其他视图应该只有一行：in-view“first-view-name”

    key "mykey" {
        algorithm hmac-md5;
        secret "yyyyyyyy";
    };
    
    view "internal" {
        match-clients { 10.0.1/24; };
        
        zone "example.com" {
            type master;
            file "example.db";
            allow-update { key mykey; };
        };
    };
    
    view "external" {
        match-clients { any; };
    
        zone "example.com" {
           in-view "internal";
        };
    };

但这仅当所有视图中都有相同的区域文件时才有效。

Answer