Linux系統下的動態(tài)DNS服務配置方法詳解 （1）
加入技術交流群
在網絡管理中，對于DNS服務的管理是一項基礎性的工作。隨著用戶規(guī)模的擴大，頻繁地手工修改DNS的區(qū)域數據庫文件不是一件輕松的工作。關于動態(tài)DNS(DDNS)的研究逐漸引起了人們的關注，不同的平臺都推出了自己的解決方案。本文將詳細介紹Linux環(huán)境下DDNS的解決方案，即由Internet Software Consortium(ISC)開發(fā)的BIND-DNS和DHCP(Dynamic Host Configure Protocol，動態(tài)主機配置協議)協同工作，進而共同實現DDNS的方法。
本文引用地址：http://2s4d.com/article/201610/305454.htm在Linux下實現動態(tài)DNS不僅需要Bind 8以上的DNS軟件，還要有DHCP Server v3.0以上版本，因為只有3.0以上的版本才完全實現了對DDNS的支持。因此，本文的實現環(huán)境采用Slackware Linux 9.0作為DDNS服務器，其上同時運行DNS和DHCP服務，其中DNS Server采用Bind 9.2.2，DHCP Server采用DHCP Server v3.0pl2。
下面詳細介紹Linux環(huán)境下安全、動態(tài)DNS的實現方法。
創(chuàng)建密鑰
要實現DNS的動態(tài)更新，首先要考慮的是怎樣保證安全地實現DDNS。由ISC給出的方法是創(chuàng)建進行動態(tài)更新的密鑰，在進行更新時通過該密鑰加以驗證。為了實現這一功能，需要以root身份運行以下命令：
root@slack9:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns
Kmyddns.+157+37662
上述dnssec-keygen命令的功能就是生成更新密鑰，其中參數-a HMAC-MD5是指密鑰的生成算法采用HMAC-MD5;參數-b 128是指密鑰的位數為128位;參數-n USER myddns是指密鑰的用戶為myddns。
該命令生成的一對密鑰文件如下：
-rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key
-rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private
可以查看剛生成的密鑰文件內容：
root@slack9:/etc# cat Kmyddns.+157+37662.key
myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==
root@slack9:/etc# cat Kmyddns.+157+37662.private
Private-key-format: v1.2
Algorithm: 157 (HMAC_MD5)
Key: 4gEF1Mkmn5hrlwYUeGJV3g==
仔細閱讀該密鑰文件就會發(fā)現，這兩個文件中包含的密鑰是一樣的，該密鑰就是DHCP對DNS進行安全動態(tài)更新時的憑據。后面需要將該密鑰分別添加到DNS和DHCP的配置文件中。
修改DNS的主配置文件
密鑰生成后就要開始對/etc/named.conf文件進行編輯修改，主要目的是將密鑰信息添加到DNS的主配置文件中。本文給出修改后的/etc/named.conf的一個實例：
options {
directory /var/named;
file://指定區(qū)域數據庫文件的存放目錄
};
zone . IN {
type hint;
file caching-example/named.ca;
};
zone localhost IN {
type master;
file caching-example/localhost.zone;
allow-update { none; };
};
zone 0.0.127.in-addr.arpa IN {
type master;
file caching-example/named.local;
allow-update { none; };
};
key myddns {
algorithm HMAC-MD5.SIG-ALG.REG.INT;
file://指明生成密鑰的算法
secret 4gEF1Mkmn5hrlwYUeGJV3g==;
file://指明密鑰
};
zone tcbuu.cn IN {
type master;
file tcbuu.cn;
file://正向區(qū)域文件名tcbuu.cn，后文會用到該文件
allow-update { key myddns; };
file://指明采用key myddns作為密鑰的用戶可以動態(tài)更新該區(qū)域“tcbuu.cn”
};
zone 1.22.10.in-addr.arpa IN {
type master;
file tcbuu.cn.arpa;//反向區(qū)域文件名tcbuu.cn
allow-update { key myddns; };
file://指明采用key myddns作為密鑰的用戶可以動態(tài)更新該區(qū)域“1.22.10.in-addr.arpa”
};
在/etc/named.conf中可以定義多個區(qū)域，只要在允許動態(tài)更新的區(qū)域中增加allow-update { key myddns; }指令，即可實現動態(tài)更新，并且只有擁有key myddns實體(在本文的實現中該實體就是擁有同樣密鑰的DHCP服務器)才能實現對該區(qū)域進行安全地動態(tài)更新。相比原來只限定IP地址的方法，該方法要安全得多。
至此完成對DNS服務器的配置，可以執(zhí)行#named運行DNS服務。
修改DHCP的配置文件
DHCP的主要功能是為DHCP客戶動態(tài)地分配IP地址、掩碼、網關等內容。正是由于DHCP的動態(tài)特性，在實現DDNS時，DHCP成為首選方案。
給出修改后的/etc/dhcpd.conf的一個實例：
# dhcpd.conf
# Sample configuration file for ISC dhcpd
# option definitions common to all supported networks...
option domain-name tcbuu.cn;
option domain-name-servers 10.22.1.123;
default-lease-time 600;
max-lease-time 800;
ddns-update-style interim;
file://指明實現動態(tài)DNS的方法為interim
subnet 10.22.1.0 netmask 255.255.255.0 {
range 10.22.1.60 10.22.1.69;//地址池
option broadcast-address 10.22.1.255;
option routers 10.22.1.100;
}
key myddns {//指明密鑰生成的算法及密鑰
algorithm HMAC-MD5.SIG-ALG.REG.INT;
secret 4gEF1Mkmn5hrlwYUeGJV3g==;
}
zone tcbuu.cn. {
primary 10.22.1.123;
key myddns;//指明更新時采取的密鑰key myddns
}
zone 1.22.10.in-addr.arpa. {
primary 10.22.1.123;
key myddns;//指明更新時采取的密鑰key myddns
}
說明：
1.ddns-update-style interim
由ISC開發(fā)的DHCP服務器目前主要支持interim方法來進行DNS的動態(tài)更新，另外一種稱為ad-hoc的方法基本上已經不再采用。因此，實際上，interim方法是目前Linux環(huán)境下通過DHCP實現安全DDNS更新的惟一方法。
評論