1. 第一个解决方案

Question 1

终于搞明白了。感谢@Håkan Lindqvist寻找灵感。

这些解决方案可能是 Debian/Ubuntu 特有的，并且尚未在其他发行版中测试过。

1. 第一个解决方案

（使用update-policy local;）。

您实际上可以在每个区域声明update-policy local;中使用指令/etc/bind/named.conf.local，以限制来自互联网或 LAN 的更新请求，从而提高安全性。在这种情况下，密钥会自动生成，nsupdate如果使用选项运行，则会使用它-l。

server X.X.X.X应该使用而不是命令local X.X.X.X。如果它是系统本地的，甚至接受公共 IP 作为参数！

注意：该密钥不是全世界可读的，因此请使用sudo。

例子：

me@somehost:~$ sudo nsupdate -l
> local 1.2.3.4
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

2. 第二种解决方案

（使用ddns-confgen）。

我有很多视图（localhost_view等global_view），其中一些具有共同点区域（somehost.tld在我的示例中）。如果我想动态更新它们，我应该server X.X.X.X在 do 时使用命令nsupdate。因此nsupdate将向适当的接口发送更新请求，适当的视图将处理它。

update-policy local;不适合此配置，因为它禁止使用server中的命令nsupdate。因此需要生成一个 DDNS 密钥并在所有区域声明中指定它，这些区域声明应由动态更新nsupdate。在 Debian 世界中，有一个ddns-confgen命令可以大大简化此任务：

me@somehost:~$ ddns-confgen
# To activate this key, place the following in named.conf, and
# in a separate keyfile on the system or systems from which nsupdate
# will be run:
key "ddns-key" {
        algorithm hmac-sha256;
        secret "pXohPnPR7dyri9ADfDLtSz+lHw/QliISyiEe0wg0a14=";
};

# Then, in the "zone" statement for each zone you wish to dynamically
# update, place an "update-policy" statement granting update permission
# to this key.  For example, the following statement grants this key
# permission to update any name within the zone:
update-policy {
        grant ddns-key zonesub ANY;
};

# After the keyfile has been placed, the following command will
# execute nsupdate using this key:
nsupdate -k <keyfile>

此命令的输出非常直观。需要将key...代码片段添加到/etc/bind/named.conf 和以任意名称分隔文件，并将update-policy...代码片段放入每个zone声明中，这些声明将由进行管理nsupdate。

为了在多视图 BIND 环境中正确使用nsupdate工具，需要server在执行任何其他命令之前明确指定指令。因此，要更新localhost_view的somehost.tld区域（考虑到key...代码片段已保存到/etc/bind/ddns-key.key），命令如下（请注意server 127.0.0.1）：

me@somehost:~$ nsupdate -k /etc/bind/ddns-key.key
> server 127.0.0.1
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

而要操作global_view的somehost.tld区域，命令基本相同，但不同server。在这种情况下，需要使用公共 IP（1.2.3.4在我的示例中）：

me@somehost:~$ nsupdate -k /etc/bind/ddns-key.key
> server 1.2.3.4
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

因此，nsupdate向适当的接口（可能是也可能不是本地的）发送请求并且特定的视图起作用。

Answer

终于搞明白了。感谢@Håkan Lindqvist寻找灵感。

这些解决方案可能是 Debian/Ubuntu 特有的，并且尚未在其他发行版中测试过。

1. 第一个解决方案

（使用update-policy local;）。

您实际上可以在每个区域声明update-policy local;中使用指令/etc/bind/named.conf.local，以限制来自互联网或 LAN 的更新请求，从而提高安全性。在这种情况下，密钥会自动生成，nsupdate如果使用选项运行，则会使用它-l。

server X.X.X.X应该使用而不是命令local X.X.X.X。如果它是系统本地的，甚至接受公共 IP 作为参数！

注意：该密钥不是全世界可读的，因此请使用sudo。

例子：

me@somehost:~$ sudo nsupdate -l
> local 1.2.3.4
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

2. 第二种解决方案

（使用ddns-confgen）。

我有很多视图（localhost_view等global_view），其中一些具有共同点区域（somehost.tld在我的示例中）。如果我想动态更新它们，我应该server X.X.X.X在 do 时使用命令nsupdate。因此nsupdate将向适当的接口发送更新请求，适当的视图将处理它。

update-policy local;不适合此配置，因为它禁止使用server中的命令nsupdate。因此需要生成一个 DDNS 密钥并在所有区域声明中指定它，这些区域声明应由动态更新nsupdate。在 Debian 世界中，有一个ddns-confgen命令可以大大简化此任务：

me@somehost:~$ ddns-confgen
# To activate this key, place the following in named.conf, and
# in a separate keyfile on the system or systems from which nsupdate
# will be run:
key "ddns-key" {
        algorithm hmac-sha256;
        secret "pXohPnPR7dyri9ADfDLtSz+lHw/QliISyiEe0wg0a14=";
};

# Then, in the "zone" statement for each zone you wish to dynamically
# update, place an "update-policy" statement granting update permission
# to this key.  For example, the following statement grants this key
# permission to update any name within the zone:
update-policy {
        grant ddns-key zonesub ANY;
};

# After the keyfile has been placed, the following command will
# execute nsupdate using this key:
nsupdate -k <keyfile>

此命令的输出非常直观。需要将key...代码片段添加到/etc/bind/named.conf 和以任意名称分隔文件，并将update-policy...代码片段放入每个zone声明中，这些声明将由进行管理nsupdate。

为了在多视图 BIND 环境中正确使用nsupdate工具，需要server在执行任何其他命令之前明确指定指令。因此，要更新localhost_view的somehost.tld区域（考虑到key...代码片段已保存到/etc/bind/ddns-key.key），命令如下（请注意server 127.0.0.1）：

me@somehost:~$ nsupdate -k /etc/bind/ddns-key.key
> server 127.0.0.1
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

而要操作global_view的somehost.tld区域，命令基本相同，但不同server。在这种情况下，需要使用公共 IP（1.2.3.4在我的示例中）：

me@somehost:~$ nsupdate -k /etc/bind/ddns-key.key
> server 1.2.3.4
> zone somehost.tld
> update add something.somehost.tld. 86400 A 1.1.1.1
> send
> quit

因此，nsupdate向适当的接口（可能是也可能不是本地的）发送请求并且特定的视图起作用。

Question 2

您正在使用nsupdate -l它将更新消息发送到localhost（详细输出确认它使用了环回地址，正如预期的那样Sending update to 127.0.0.1#53）。

但是，您尝试更新的区域不在该更新消息将到达的视图中。您的第一个视图 ( localhost_view) 有match-clients { localhost_acl; };。

acl localhost_acl {
        127.0.0.0/8;
};

您尝试更新的区域位于global_view稍后在配置中定义的视图中。

如果您检查日志，我会认为失败已被记录，并且日志消息可能会包含有关它命中哪个视图的信息（应该是localhost_view，根据您的配置）。

值得注意的是，视图是有序的，第一个匹配的视图将接收任何给定的消息。

来自节视图在手册中：

每个视图语句都定义一个 DNS 命名空间视图，该视图将由客户端子集看到。如果客户端的源 IP 地址与视图的 match-clients 子句的 address_match_list 匹配，并且其目标 IP 地址与视图的 match-destinations 子句的 address_match_list 匹配，则该客户端与视图匹配。如果未指定，match-clients 和 match-destinations 都默认匹配所有地址。除了检查 IP 地址之外，match-clients 和 match-destinations 还可以采用键，为客户端提供一种选择视图的机制。视图还可以指定为 match-recursive-only，这意味着只有来自匹配客户端的递归请求才会与该视图匹配。视图语句的顺序很重要 — 客户端请求将在其匹配的第一个视图的上下文中得到解析。

正如引用的解释中所提到的，如果有帮助的话，您可以通过 TSIG 密钥而不是 IP 进行匹配（通过调整match-client）。

值得注意的是address_match_list（例如的参数类型match-client）接受 IP 地址和密钥。此外，它与视图非常相似，按排序，并且第一个匹配的元素决定结果。将放在第一位会使any列表中的任何其他元素变得毫无意义。

Answer

您正在使用nsupdate -l它将更新消息发送到localhost（详细输出确认它使用了环回地址，正如预期的那样Sending update to 127.0.0.1#53）。

但是，您尝试更新的区域不在该更新消息将到达的视图中。您的第一个视图 ( localhost_view) 有match-clients { localhost_acl; };。

acl localhost_acl {
        127.0.0.0/8;
};

您尝试更新的区域位于global_view稍后在配置中定义的视图中。

如果您检查日志，我会认为失败已被记录，并且日志消息可能会包含有关它命中哪个视图的信息（应该是localhost_view，根据您的配置）。

值得注意的是，视图是有序的，第一个匹配的视图将接收任何给定的消息。

来自节视图在手册中：

每个视图语句都定义一个 DNS 命名空间视图，该视图将由客户端子集看到。如果客户端的源 IP 地址与视图的 match-clients 子句的 address_match_list 匹配，并且其目标 IP 地址与视图的 match-destinations 子句的 address_match_list 匹配，则该客户端与视图匹配。如果未指定，match-clients 和 match-destinations 都默认匹配所有地址。除了检查 IP 地址之外，match-clients 和 match-destinations 还可以采用键，为客户端提供一种选择视图的机制。视图还可以指定为 match-recursive-only，这意味着只有来自匹配客户端的递归请求才会与该视图匹配。视图语句的顺序很重要 — 客户端请求将在其匹配的第一个视图的上下文中得到解析。

正如引用的解释中所提到的，如果有帮助的话，您可以通过 TSIG 密钥而不是 IP 进行匹配（通过调整match-client）。

值得注意的是address_match_list（例如的参数类型match-client）接受 IP 地址和密钥。此外，它与视图非常相似，按排序，并且第一个匹配的元素决定结果。将放在第一位会使any列表中的任何其他元素变得毫无意义。

1. 第一个解决方案

答案1

1. 第一个解决方案

2. 第二种解决方案

答案2

相关内容