Linux系統(tǒng)下的動態(tài)DNS服務配置方法詳解 （1）

在網絡管理中，對于DNS服務的管理是一項基礎性的工作。隨著用戶規(guī)模的擴大，頻繁地手工修改DNS的區(qū)域數據庫文件不是一件輕松的工作。關于動態(tài)DNS(DDNS)的研究逐漸引起了人們的關注，不同的平臺都推出了自己的解決方案。本文將詳細介紹Linux環(huán)境下DDNS的解決方案，即由Internet Software Consortium(ISC)開發(fā)的BIND-DNS和DHCP(Dynamic Host Configure Protocol，動態(tài)主機配置協(xié)議)協(xié)同工作，進而共同實現DDNS的方法。

在Linux下實現動態(tài)DNS不僅需要Bind 8以上的DNS軟件，還要有DHCP Server v3.0以上版本，因為只有3.0以上的版本才完全實現了對DDNS的支持。因此，本文的實現環(huán)境采用Slackware Linux 9.0作為DDNS服務器，其上同時運行DNS和DHCP服務，其中DNS Server采用Bind 9.2.2，DHCP Server采用DHCP Server v3.0pl2。

下面詳細介紹Linux環(huán)境下安全、動態(tài)DNS的實現方法。

創(chuàng)建密鑰

要實現DNS的動態(tài)更新，首先要考慮的是怎樣保證安全地實現DDNS。由ISC給出的方法是創(chuàng)建進行動態(tài)更新的密鑰，在進行更新時通過該密鑰加以驗證。為了實現這一功能，需要以root身份運行以下命令：

root@slack9:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns

Kmyddns.+157+37662

上述dnssec-keygen命令的功能就是生成更新密鑰，其中參數-a HMAC-MD5是指密鑰的生成算法采用HMAC-MD5;參數-b 128是指密鑰的位數為128位;參數-n USER myddns是指密鑰的用戶為myddns。

該命令生成的一對密鑰文件如下：

-rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key

-rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private

可以查看剛生成的密鑰文件內容：

root@slack9:/etc# cat Kmyddns.+157+37662.key

myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==

root@slack9:/etc# cat Kmyddns.+157+37662.private

Private-key-format: v1.2

Algorithm: 157 (HMAC_MD5)

Key: 4gEF1Mkmn5hrlwYUeGJV3g==

仔細閱讀該密鑰文件就會發(fā)現，這兩個文件中包含的密鑰是一樣的，該密鑰就是DHCP對DNS進行安全動態(tài)更新時的憑據。后面需要將該密鑰分別添加到DNS和DHCP的配置文件中。

修改DNS的主配置文件

密鑰生成后就要開始對/etc/named.conf文件進行編輯修改，主要目的是將密鑰信息添加到DNS的主配置文件中。本文給出修改后的/etc/named.conf的一個實例：

options {

directory "/var/named";

file://指定區(qū)域數據庫文件的存放目錄

};

zone "." IN {

type hint;

file "caching-example/named.ca";

};

zone "localhost" IN {

type master;

file "caching-example/localhost.zone";

allow-update { none; };

};

zone "0.0.127.in-addr.arpa" IN {

type master;

file "caching-example/named.local";

allow-update { none; };

};

key myddns {

algorithm HMAC-MD5.SIG-ALG.REG.INT;

file://指明生成密鑰的算法

secret 4gEF1Mkmn5hrlwYUeGJV3g==;

file://指明密鑰

};

zone "tcbuu.cn" IN {

type master;

file "tcbuu.cn";

file://正向區(qū)域文件名tcbuu.cn，后文會用到該文件

allow-update { key myddns; };

file://指明采用key myddns作為密鑰的用戶可以動態(tài)更新該區(qū)域“tcbuu.cn”

};

zone "1.22.10.in-addr.arpa" IN {

type master;

file "tcbuu.cn.arpa";//反向區(qū)域文件名tcbuu.cn

allow-update { key myddns; };

file://指明采用key myddns作為密鑰的用戶可以動態(tài)更新該區(qū)域“1.22.10.in-addr.arpa”

};

在/etc/named.conf中可以定義多個區(qū)域，只要在允許動態(tài)更新的區(qū)域中增加allow-update { key myddns; }指令，即可實現動態(tài)更新，并且只有擁有key myddns實體(在本文的實現中該實體就是擁有同樣密鑰的DHCP服務器)才能實現對該區(qū)域進行安全地動態(tài)更新。相比原來只限定IP地址的方法，該方法要安全得多。

至此完成對DNS服務器的配置，可以執(zhí)行#named運行DNS服務。

修改DHCP的配置文件

DHCP的主要功能是為DHCP客戶動態(tài)地分配IP地址、掩碼、網關等內容。正是由于DHCP的動態(tài)特性，在實現DDNS時，DHCP成為首選方案。

給出修改后的/etc/dhcpd.conf的一個實例：

# dhcpd.conf

# Sample configuration file for ISC dhcpd

# option definitions common to all supported networks...

option domain-name "tcbuu.cn";

option domain-name-servers 10.22.1.123;

default-lease-time 600;

max-lease-time 800;

ddns-update-style interim;

file://指明實現動態(tài)DNS的方法為interim

subnet 10.22.1.0 netmask 255.255.255.0 {

range 10.22.1.60 10.22.1.69;//地址池

option broadcast-address 10.22.1.255;

option routers 10.22.1.100;

}

key myddns {//指明密鑰生成的算法及密鑰

algorithm HMAC-MD5.SIG-ALG.REG.INT;

secret 4gEF1Mkmn5hrlwYUeGJV3g==;

}

zone tcbuu.cn. {

primary 10.22.1.123;

key myddns;//指明更新時采取的密鑰key myddns

}

zone 1.22.10.in-addr.arpa. {

primary 10.22.1.123;

key myddns;//指明更新時采取的密鑰key myddns

}

說明：

1.ddns-update-style interim

由ISC開發(fā)的DHCP服務器目前主要支持interim方法來進行DNS的動態(tài)更新，另外一種稱為ad-hoc的方法基本上已經不再采用。因此，實際上，interim方法是目前Linux環(huán)境下通過DHCP實現安全DDNS更新的惟一方法。[!--empirenews.page--]

2.key myddns {//指明密鑰生成的算法及密鑰

algorithm HMAC-MD5.SIG-ALG.REG.INT;

secret 4gEF1Mkmn5hrlwYUeGJV3g==;

}

此段內容與/etc/named.conf中的完全一樣。需要注意的是，在編輯/etc/dhcpd.conf時，{}的末尾沒有“;”，這是與/etc/named.conf中不一樣的地方。

3.在/etc/dhcpd.conf中指明的區(qū)域名稱后面一定要以“.”結尾。因此zone tcbuu.cn.中的cn和zone 1.22.10.in-addr.arpa.中的arpa后面一定要有“.”。

/etc/dhcpd.conf配置完成，可以執(zhí)行#dhcpd將DHCP服務運行起來。

測試DDNS

經過上述服務器的配置，現在可以檢測一下DDNS的實現過程。

當DNS配置成支持動態(tài)更新后，在/var/named/目錄下會多出兩個以.jnl結尾的二進制格式區(qū)域文件。這兩個文件是當前正在工作的區(qū)域文件的運行時文件，所有動態(tài)更新的紀錄都會最先反映到這兩個文件中，然后經過大約15分鐘左右才將更新的內容反映到文本形式的區(qū)域文件中，即以.jnl結尾的區(qū)域文件中是最新的內容。

在本文所舉實例中，/var/named/目錄下的區(qū)域文件為：

tcbuu.cn 正向區(qū)域文件。

tcbuu.cn.arpa 反向區(qū)域文件。

tcbuu.cn.arpa.jnl 臨時工作的二進制正向區(qū)域文件(新增)。

tcbuu.cn.jnl 臨時工作的二進制反向區(qū)域文件(新增)。

1.以Windows 2000作為DHCP客戶端測試

(1)設客戶機的主機名為kill-virus，執(zhí)行ipconfig /all顯示所獲得的IP地址為10.22.1.69。

(2)在客戶端執(zhí)行nslookup測試。

C:\Documents and Settings\Administrator>nslookup

Default Server: slack9.tcbuu.cn

Address: 10.22.1.123

> kill-virus.tcbuu.cn//測試客戶機FQDN在區(qū)域文件中是否存在

Server: slack9.tcbuu.cn

Address: 10.22.1.123

Name: kill-virus.tcbuu.cn

Address: 10.22.1.69//測試結果，表明該資源紀錄存在

(3)在客戶機kill-virus上執(zhí)行ipconfig /release釋放獲得的IP地址。

(4)在客戶機kill-virus上執(zhí)行ipconfig /renew重新獲得IP地址。

(5)用nslookup顯示區(qū)域數據庫中的內容。

C:\Documents and Settings\Administrator>nslookup

Default Server: slack9.tcbuu.cn

Address: 10.22.1.123

> ls tcbuu.cn//顯示區(qū)域數據庫中的資源紀錄

[ftp.tcbuu.cn]

tcbuu.cn. NS server = slack9.tcbuu.cn

D2501 A 10.22.1.60

dellpc A 10.22.1.100

kill-virus A 10.22.1.61 file://IP地址發(fā)生變化

slack9 A 10.22.1.123

以上測試說明同一臺客戶機kill-virus通過DHCP服務可以先后獲得IP地址，并與動態(tài)DNS服務器建立聯系，使該客戶機的主機名與獲得的IP地址一同作為一條紀錄動態(tài)地更新到正向區(qū)域文件中去?？梢圆捎猛瑯拥姆椒y試反向區(qū)域的更新，不再贅述。

2.用Linux DHCP客戶端測試

在Linux DHCP客戶端進行測試時，需要執(zhí)行dhcpcd守護進程。如果要進行動態(tài)更新，還需要加上-h參數。執(zhí)行的命令格式如下：

#dhcpcd -h MyLinux

其中-h后面跟的是本機的主機名，用來通過DHCP服務注冊到DDNS服務器的區(qū)域文件中，是進行動態(tài)更新必不可少的。

動態(tài)更新后的區(qū)域數據庫文件

通過查看正向區(qū)域數據庫文件/var/named/tcbuu.cn和反向區(qū)域數據庫文件/var/named/tcbuu.cn，可以了解區(qū)域數據庫文件到底更新了哪些內容。

#cat /var/named/tcbuu.cn

$ORIGIN .

$TTL 36000 ; 10 hours

tcbuu.cn IN SOA slack9.tcbuu.cn. root.slack9.tcbuu.cn. (

2004011402 ; serial

3600 ; refresh (1 hour)

1800 ; retry (30 minutes)

36000 ; expire (10 hours)

36000 ; minimum (10 hours)

)

NS slack9.tcbuu.cn.

$ORIGIN tcbuu.cn.

dellpc A 10.22.1.100

ftp CNAME slack9

$TTL 300 ; 5 minutes

kill-virus A 10.22.1.61

TXT "3156e87eb0180675cfb5e3e8ad026e78b3"

$TTL 36000 ; 10 hours

slack9 A 10.22.1.123

www CNAME slack9

以上區(qū)域文件的書寫格式與更新前相比變化較大，說明該文件已被更新過了。這里還要說明的是，在動態(tài)更新的客戶端kill-virus的A紀錄下多了一條同名的TXT類型的紀錄。TXT類型紀錄是BIND-DNS和DHCP專門用來實現DDNS的輔助性資源紀錄，它的值是哈希標示符字符串，該字符串的值還可以在/var/state/dhcp/dhcpd.leases文件中找到。

 

總的來說，在Linux下通過DHCP實現安全DDNS的過程可分為三步：第一，創(chuàng)建進行安全動態(tài)更新的密鑰;第二，修改DNS的主配置文件/etc/named.conf，目的是定義采用動態(tài)更新的密鑰及指定可以動態(tài)更新的區(qū)域;第三，修改DHCP的配置文件/etc/dhcpd.conf，目的是定義采用動態(tài)更新的密鑰及指定動態(tài)更新哪些區(qū)域。