bind9在view情况下通过TSIG key实现nsupdate功能
1、使用dnssec-keygen -a HMAC-MD5 -b 128 -n USER testkey命令来生成密钥。
dnssec-keygen：用来生成更新密钥。
-a HMAC-MD5：采用HMAC-MD5加密算法。
-b 128：生成的密钥长度为128位。
-n USER testkey：密钥的用户名为testkey。
2、密钥生成后，会在当前目录下自动生成两个密钥文件***.+157+xxx.key和***.+157+xxx.private。
3、查看两个密钥文件的内容：
cat ***.+157+xxx.key
cat ***.+157+xxx.private
4、通过同样的方法生成test2key。
5、添加密钥信息到DNS主配置文件中
vi /etc/named.conf
key testkey {
algorithm hmac-md5; //algorithm：指明生成密钥的算法。
secret J+mC6Q29xiOtNEBySR4O1g==; //secret：指明密钥串。
};
key test2key {
algorithm hmac-md5;
secret PpRyh6fU1ejnutT+jafXag==;
};
key testkey {
algorithm hmac-md5; //algorithm：指明生成密钥的算法。
secret J+mC6Q29xiOtNEBySR4O1g==; //secret：指明密钥串。
};
key test2key {
algorithm hmac-md5;
secret PpRyh6fU1ejnutT+jafXag==;
};
6、将test.com区域中的allow-update { none; }中的“none”改成“key testkey”;
将“none”改成“key testkey”的意思是指明采用“key testkey”作为密钥的用户可以动态更新“test.com”区域。
示例如下：
key "testkey" {
algorithm hmac-md5;
secret "3UHeiKTGzDv+hBpS0A9trg==";
};
algorithm hmac-md5;
secret "3UHeiKTGzDv+hBpS0A9trg==";
};
key "test2key" {
algorithm hmac-md5;
secret "PpRyh6fU1ejnutT+jafXag==";
};
algorithm hmac-md5;
secret "PpRyh6fU1ejnutT+jafXag==";
};
view "external-test" in {
match-clients { key testkey; acl1; }; //key testkey; 以及acl1;
zone "test.com" {
type master;
file "test.zone";
allow-update { key testkey; };
type master;
file "test.zone";
allow-update { key testkey; };
//allow-transfer { key testkey; };
};
};
};
view "external-test2" in {
match-clients { key test2key; acl2; };
zone "test.com" {
type master;
file "test2.zone";
allow-update { key test2key; };
type master;
file "test2.zone";
allow-update { key test2key; };
//allow-transfer { key testkey; };
};
};
};
7、总结
以上示例可以实现通过正确的key和acl对两个view进行nsupdate。但bind的acl匹配原则是："由上而下，匹配即退出"，并且match-clients{}中的参数是"or"的关系。当执行nsupdate命令时，执行端（一般都是主dns或管理机）所用的ip地址不应该包含在acl1或者acl2中(最后一个view的match-clients{aclx}可包含也可不包含)，否则按照以上原则，执行端主机只能访问包含其ip的view了，其它view的访问都将被拒绝。
按照以上配置运行bind，在bind主机上执行nsupdate，
命令是：nsupdate -y test2key:PpRyh6fU1ejnutT+jafXag==
>zone test.com
>update add www123.test.com 86400 A 192.168.99.100
>send
返回错误结果：update failed: REFUSED
错误分析：执行nsupdate的主机地址包含在acl1中， 进入了view "external-test"执行更新，显然key不匹配，被拒绝。
解决办法：在view "external-test"的match-clients{}中将执行nsupdate主机的地址（bind主机地址）排除掉，
命令：match-clients{ key testkey; !127.0.0.1; !x.x.x.x; acl1;} //x.x.x.x填写bind主机真实ip地址
