7_DNS 服务器部署 - 实践 (七) - 基于 Key 更新

7_DNS 服务器部署 - 实践 (七) - 基于 Key 更新

---

基于 Key 更新

• 基于 Key 更新：只有指定的密钥才可以更改记录
• 注意
  当做 nsupdate 的操作,则原来 directory 所指的目录将会产生一些日志文件,这个日志文件就是 zone_name.jnl。重启服务并不会消失，重启服务时，出现以下情况，删除该文件就好。
  

---

实验

主机	IP	role
server1	172.25.9.1/24 , 172.25.254.1/24	DNS 主服务器
server2	172.25.9.2/24	client
server3	172.25.254.3/24	DNS 辅服务器

---

server1 配置

# 生成 key
dnssec-keygen -a HMAC-SHA256 -b 128 -n HOST westos

cat Kwestos.+163+26818.key
cp -p /etc/rndc.key /etc/westos.key
vim /etc/westos.key
key "westos" {
	algorithm hmac-sha256;
	# secret 参数后内容，来源于生成的key(Kwestos.+163+26818.key)
	secret "ehJRKa689rRnmBxAef30mw==";
};

# 拷贝 key 到远程主机
scp Kwestos.+163+26818.* root@server2:/mnt

# 更改配置文件，指定key 文件
vim /etc/named.conf
……
include "/etc/westos.key";
……

# ，更改区域配置文件，通过指定 key 更新
vim /etc/named.rfc1912.zones
……
zone "westos.com" IN {
        type master;
        file "westos.com.zone";
        # 更改允许模式为 key 更新。
        allow-update { key westos; };
        also-notify { 172.25.9.3; };
};
……

# 重启服务
systemctl restart named

---

测试

# cli(server2),通过 key 更新域名记录。 
nsupdate -k /mnt/Kwestos.+163+26818.private
> server 172.25.9.1
> update add hello.westos.com 86400 A 172.25.9.100
> send

# 测试，可以解析到正确的记录
host hello.westos.com

---

实验截图

• server1 配置
  
• 测试指定 key 更新域名记录
  

---

---

---