☰

什么是正确的

tag-icon • tag-icon bind reverse-dns dynamic-dns named-conf
什么是正确的

我已经设置了 Bind 以允许主机仅更新其自己的 DNS 条目，但我对此的反向 DNS 部分遇到了问题。我的配置如下：

命名配置文件

options {
    listen-on port 53 { 127.0.0.1; 10.9.10.10; };
    directory       "/var/named";
    dump-file       "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    allow-query     { localhost; 10.0.0.0/8; };
    recursion yes;
    allow-recursion { 10.0.0.0/8; };

    dnssec-enable yes;
    dnssec-validation no;
    dnssec-lookaside auto;

    /* Path to ISC DLV key */
    bindkeys-file "/etc/named.iscdlv.key";

    managed-keys-directory "/var/named/dynamic";
};

logging {
    channel default_debug {
            file "data/named.run";
            severity dynamic;
    };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "mydomain.com.keys";
zone "mydomain.com" IN {
    type master;
    file "dynamic/forward.mydomain.com.zone";
    update-policy {
            grant *.mydomain.com self *.mydomain.com A TXT;
    };
};

zone "9.10.in-addr.arpa" IN {
    type master;
    file "dynamic/reverse.mydomain.com.zone";
    update-policy {
            grant * tcp-self * PTR;
    };
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

mydomain.com.keys

key myserver1.mydomain.com. {
    algorithm HMAC-SHA512;
    secret "blahblahblah";
};
key myserver2.mydomain.com. {
    algorithm HMAC-SHA512;
    secret "blahblahblah";
};

什么是正确的

区域配置mydomain.com正确地阻止服务器更新不属于它们的 DNS 条目：

[root@myserver1 ~]# nsupdate -v -k Kmyserver1.mydomain.com.+165+55228.key
> server dns1.mydomain.com
> zone mydomain.com
> update add myserver2.mydomain.com 86400 A 10.9.10.50
> show
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; ZONE SECTION:
;mydomain.com.                        IN      SOA

;; UPDATE SECTION:
myserver2.mydomain.com. 86400   IN      A       10.9.10.50

> send
update failed: REFUSED

此强制执行是通过命令中指定的密钥实现的nsupdate。Nsupdate 从Kmyserver1.mydomain.com.+165+55228.key文件中提取机密并将其发送给 Bind。Bind 在其中找到匹配的机密mydomain.com.keys并根据您尝试更新的域名验证密钥名称。

哪些地方出了问题

但是反向区域（）的设置9.10.in-addr.arpa似乎并没有根据用于进行反向 DNS 更新的密钥名称来限制更新。

[root@myserver1 ~]# nsupdate -v -k Kmyserver1.mydomain.com.+165+55228.key
> server dns1.mydomain.com
> zone 9.10.in-addr.arpa
> update add 50.10.9.10.in-addr.arpa 86400 IN PTR myserver2.mydomain.com
> show
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; ZONE SECTION:
;9.10.in-addr.arpa.             IN      SOA

;; UPDATE SECTION:
50.10.9.10.in-addr.arpa. 86400 IN     PTR     myserver2.mydomain.com.

> send
> ^C
[root@myserver1 ~]# nslookup 10.9.10.50
Server:         10.9.10.10
Address:        10.9.10.10#53

50.10.9.10.in-addr.arpa       name = myserver1.mydomain.com.
50.10.9.10.in-addr.arpa       name = myserver2.mydomain.com.

此外，我尝试配置反向区域更新策略以仅允许来自特定地址（而不是*）的更新，但这对问题没有影响。

我正在尝试做什么

我想配置9.10.in-addr.arpa区域的更新策略，以便拒绝上述示例。我只希望服务器能够更新其自身 IP 地址和域名的反向 DNS。我搜索了各种网站，似乎找不到任何有关如何（或者是否有可能）配置更新策略来实现此目的的信息。

我正在运行的 Bind 版本是BIND 9.8.2rc1-RedHat-9.8.2-0.30.rc1.el6

相关内容