Linux系統(tǒng)下的動(dòng)態(tài)DNS服務(wù)配置方法詳解 （1）

在網(wǎng)絡(luò)管理中，對(duì)于DNS服務(wù)的管理是一項(xiàng)基礎(chǔ)性的工作。隨著用戶規(guī)模的擴(kuò)大，頻繁地手工修改DNS的區(qū)域數(shù)據(jù)庫(kù)文件不是一件輕松的工作。關(guān)于動(dòng)態(tài)DNS(DDNS)的研究逐漸引起了人們的關(guān)注，不同的平臺(tái)都推出了自己的解決方案。本文將詳細(xì)介紹Linux環(huán)境下DDNS的解決方案，即由Internet Software Consortium(ISC)開發(fā)的BIND-DNS和DHCP(Dynamic Host Configure Protocol，動(dòng)態(tài)主機(jī)配置協(xié)議)協(xié)同工作，進(jìn)而共同實(shí)現(xiàn)DDNS的方法。

在Linux下實(shí)現(xiàn)動(dòng)態(tài)DNS不僅需要Bind 8以上的DNS軟件，還要有DHCP Server v3.0以上版本，因?yàn)橹挥?.0以上的版本才完全實(shí)現(xiàn)了對(duì)DDNS的支持。因此，本文的實(shí)現(xiàn)環(huán)境采用Slackware Linux 9.0作為DDNS服務(wù)器，其上同時(shí)運(yùn)行DNS和DHCP服務(wù)，其中DNS Server采用Bind 9.2.2，DHCP Server采用DHCP Server v3.0pl2。

下面詳細(xì)介紹Linux環(huán)境下安全、動(dòng)態(tài)DNS的實(shí)現(xiàn)方法。

創(chuàng)建密鑰

要實(shí)現(xiàn)DNS的動(dòng)態(tài)更新，首先要考慮的是怎樣保證安全地實(shí)現(xiàn)DDNS。由ISC給出的方法是創(chuàng)建進(jìn)行動(dòng)態(tài)更新的密鑰，在進(jìn)行更新時(shí)通過(guò)該密鑰加以驗(yàn)證。為了實(shí)現(xiàn)這一功能，需要以root身份運(yùn)行以下命令：

root@slack9:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns

Kmyddns.+157+37662

上述dnssec-keygen命令的功能就是生成更新密鑰，其中參數(shù)-a HMAC-MD5是指密鑰的生成算法采用HMAC-MD5;參數(shù)-b 128是指密鑰的位數(shù)為128位;參數(shù)-n USER myddns是指密鑰的用戶為myddns。

該命令生成的一對(duì)密鑰文件如下：

-rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key

-rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private

可以查看剛生成的密鑰文件內(nèi)容：

root@slack9:/etc# cat Kmyddns.+157+37662.key

myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==

root@slack9:/etc# cat Kmyddns.+157+37662.private

Private-key-format: v1.2

Algorithm: 157 (HMAC_MD5)

Key: 4gEF1Mkmn5hrlwYUeGJV3g==

仔細(xì)閱讀該密鑰文件就會(huì)發(fā)現(xiàn)，這兩個(gè)文件中包含的密鑰是一樣的，該密鑰就是DHCP對(duì)DNS進(jìn)行安全動(dòng)態(tài)更新時(shí)的憑據(jù)。后面需要將該密鑰分別添加到DNS和DHCP的配置文件中。

修改DNS的主配置文件

密鑰生成后就要開始對(duì)/etc/named.conf文件進(jìn)行編輯修改，主要目的是將密鑰信息添加到DNS的主配置文件中。本文給出修改后的/etc/named.conf的一個(gè)實(shí)例：

options {

directory /var/named;

file://指定區(qū)域數(shù)據(jù)庫(kù)文件的存放目錄

};

zone . IN {

type hint;

file caching-example/named.ca;

};

zone localhost IN {

type master;

file caching-example/localhost.zone;

allow-update { none; };

};

zone 0.0.127.in-addr.arpa IN {

type master;

file caching-example/named.local;

allow-update { none; };

};

key myddns {

algorithm HMAC-MD5.SIG-ALG.REG.INT;

file://指明生成密鑰的算法

secret 4gEF1Mkmn5hrlwYUeGJV3g==;

file://指明密鑰

};

zone tcbuu.cn IN {

type master;

file tcbuu.cn;

file://正向區(qū)域文件名tcbuu.cn，后文會(huì)用到該文件

allow-update { key myddns; };

file://指明采用key myddns作為密鑰的用戶可以動(dòng)態(tài)更新該區(qū)域“tcbuu.cn”

};

zone 1.22.10.in-addr.arpa IN {

type master;

file tcbuu.cn.arpa;//反向區(qū)域文件名tcbuu.cn

allow-update { key myddns; };

file://指明采用key myddns作為密鑰的用戶可以動(dòng)態(tài)更新該區(qū)域“1.22.10.in-addr.arpa”

};

在/etc/named.conf中可以定義多個(gè)區(qū)域，只要在允許動(dòng)態(tài)更新的區(qū)域中增加allow-update { key myddns; }指令，即可實(shí)現(xiàn)動(dòng)態(tài)更新，并且只有擁有key myddns實(shí)體(在本文的實(shí)現(xiàn)中該實(shí)體就是擁有同樣密鑰的DHCP服務(wù)器)才能實(shí)現(xiàn)對(duì)該區(qū)域進(jìn)行安全地動(dòng)態(tài)更新。相比原來(lái)只限定IP地址的方法，該方法要安全得多。

至此完成對(duì)DNS服務(wù)器的配置，可以執(zhí)行#named運(yùn)行DNS服務(wù)。

修改DHCP的配置文件

DHCP的主要功能是為DHCP客戶動(dòng)態(tài)地分配IP地址、掩碼、網(wǎng)關(guān)等內(nèi)容。正是由于DHCP的動(dòng)態(tài)特性，在實(shí)現(xiàn)DDNS時(shí)，DHCP成為首選方案。

給出修改后的/etc/dhcpd.conf的一個(gè)實(shí)例：

# dhcpd.conf

# Sample configuration file for ISC dhcpd

# option definitions common to all supported networks...

option domain-name tcbuu.cn;

option domain-name-servers 10.22.1.123;

default-lease-time 600;

max-lease-time 800;

ddns-update-style interim;

file://指明實(shí)現(xiàn)動(dòng)態(tài)DNS的方法為interim

subnet 10.22.1.0 netmask 255.255.255.0 {

range 10.22.1.60 10.22.1.69;//地址池

option broadcast-address 10.22.1.255;

option routers 10.22.1.100;

}

key myddns {//指明密鑰生成的算法及密鑰

algorithm HMAC-MD5.SIG-ALG.REG.INT;

secret 4gEF1Mkmn5hrlwYUeGJV3g==;

}

zone tcbuu.cn. {

primary 10.22.1.123;

key myddns;//指明更新時(shí)采取的密鑰key myddns

}

zone 1.22.10.in-addr.arpa. {

primary 10.22.1.123;

key myddns;//指明更新時(shí)采取的密鑰key myddns

}

說(shuō)明：

1.ddns-update-style interim

由ISC開發(fā)的DHCP服務(wù)器目前主要支持interim方法來(lái)進(jìn)行DNS的動(dòng)態(tài)更新，另外一種稱為ad-hoc的方法基本上已經(jīng)不再采用。因此，實(shí)際上，interim方法是目前Linux環(huán)境下通過(guò)DHCP實(shí)現(xiàn)安全DDNS更新的惟一方法。