歡迎來到Linux教程網
Linux教程網
Linux教程網
Linux教程網
您现在的位置: Linux教程網 >> UnixLinux >  >> Linux綜合 >> Linux資訊 >> 更多Linux

Linux系統下的動態DNS服務配置方法詳解

  在網絡管理中,對於DNS服務的管理是一項基礎性的工作。隨著用戶規模的擴大,頻繁地手工修改DNS的區域數據庫文件不是一件輕松的工作。關於動態DNS(DDNS)的研究逐漸引起了人們的關注,不同的平台都推出了自己的解決方案。本文將詳細介紹Linux環境下DDNS的解決方案,即由Internet Software Consortium(ISC)開發的BIND-DNS和DHCP(Dynamic Host Configure Protocol,動態主機配置協議)協同工作,進而共同實現DDNS的方法。

  在Linux下實現動態DNS不僅需要Bind 8以上的DNS軟件,還要有DHCP Server v3.0以上版本,因為只有3.0以上的版本才完全實現了對DDNS的支持。因此,本文的實現環境采用Slackware Linux 9.0作為DDNS服務器,其上同時運行DNS和DHCP服務,其中DNS Server采用Bind 9.2.2,DHCP Server采用DHCP Server v3.0pl2。

  下面詳細介紹Linux環境下安全、動態DNS的實現方法。

  創建密鑰

  要實現DNS的動態更新,首先要考慮的是怎樣保證安全地實現DDNS。由ISC給出的方法是創建進行動態更新的密鑰,在進行更新時通過該密鑰加以驗證。為了實現這一功能,需要以root身份運行以下命令:

  root@slack9:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns
  Kmyddns.+157+37662

  上述dnssec-keygen命令的功能就是生成更新密鑰,其中參數-a HMAC-MD5是指密鑰的生成算法采用HMAC-MD5;參數-b 128是指密鑰的位數為128位;參數-n USER myddns是指密鑰的用戶為myddns。

  該命令生成的一對密鑰文件如下:

  -rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key
  -rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private

  可以查看剛生成的密鑰文件內容:

  root@slack9:/etc# cat Kmyddns.+157+37662.key
  myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==
  root@slack9:/etc# cat Kmyddns.+157+37662.private
  Private-key-format: v1.2
  Algorithm: 157 (HMAC_MD5)
  Key: 4gEF1Mkmn5hrlwYUeGJV3g==

  仔細閱讀該密鑰文件就會發現,這兩個文件中包含的密鑰是一樣的,該密鑰就是DHCP對DNS進行安全動態更新時的憑據。後面需要將該密鑰分別添加到DNS和DHCP的配置文件中。

  修改DNS的主配置文件

  密鑰生成後就要開始對/etc/named.conf文件進行編輯修改,主要目的是將密鑰信息添加到DNS的主配置文件中。本文給出修改後的/etc/named.conf的一個實例:

options {
   Directory "/var/named";
   file://指定區域數據庫文件的存放目錄
  };
  zone "." IN {
   type hint;
   file "caching-example/named.ca";
  };
  zone "localhost" IN {
   type master;
   file "caching-example/localhost.zone";
   allow-update { none; };
  };
  zone "0.0.127.in-addr.arpa" IN {
   type master;
   file "caching-example/named.local";
   allow-update { none; };
  };
  key myddns {
   algorithm HMAC-MD5.SIG-ALG.REG.INT;
   file://指明生成密鑰的算法
   secret 4gEF1Mkmn5hrlwYUeGJV3g==;
   file://指明密鑰
  };
  zone "tcbuu.cn" IN {
   type master;
   file "tcbuu.cn";
   file://正向區域文件名tcbuu.cn,後文會用到該文件
   allow-update { key myddns; };
   file://指明采用key myddns作為密鑰的用戶可以動態更新該區域“tcbuu.cn”
  };
  zone "1.22.10.in-addr.arpa" IN {



   type master;
   file "tcbuu.cn.arpa";//反向區域文件名tcbuu.cn
   allow-update { key myddns; };
   file://指明采用key myddns作為密鑰的用戶可以動態更新該區域“1.22.10.in-addr.arpa”
  };

  在/etc/named.conf中可以定義多個區域,只要在允許動態更新的區域中增加allow-update { key myddns; }指令,即可實現動態更新,並且只有擁有key myddns實體(在本文的實現中該實體就是擁有同樣密鑰的DHCP服務器)才能實現對該區域進行安全地動態更新。相比原來只限定IP地址的方法,該方法要安全得多。  

  至此完成對DNS服務器的配置,可以執行#named運行DNS服務。

  修改DHCP的配置文件

  DHCP的主要功能是為DHCP客戶動態地分配IP地址、掩碼、網關等內容。正是由於DHCP的動態特性,在實現DDNS時,DHCP成為首選方案。

  給出修改後的/etc/dhcpd.conf的一個實例:

# dhcpd.conf
  # Sample configuration file for ISC dhcpd
  # option definitions common to all supported networks...
  option domain-name "tcbuu.cn";
  option domain-name-servers 10.22.1.123;
  default-lease-time 600;
  max-lease-time 800;
  ddns-update-style interim;
  file://指明實現動態DNS的方法為interim
  subnet 10.22.1.0 netmask 255.255.255.0 {
   range 10.22.1.60 10.22.1.69;//地址池
   option broadcast-address 10.22.1.255;
   option routers 10.22.1.100;
  }
  key myddns {//指明密鑰生成的算法及密鑰
   algorithm HMAC-MD5.SIG-ALG.REG.INT;
   secret 4gEF1Mkmn5hrlwYUeGJV3g==;
  }
  zone tcbuu.cn. {
   primary 10.22.1.123;
   key myddns;//指明更新時采取的密鑰key myddns
  }
  zone 1.22.10.in-addr.arpa. {
   primary 10.22.1.123;
 key myddns;//指明更新時采取的密鑰key myddns
  }

  說明:

  1.ddns-update-style interim

  由ISC開發的DHCP服務器目前主要支持interim方法來進行DNS的動態更新,另外一種稱為ad-hoc的方法基本上已經不再采用。因此,實際上,interim方法是目前Linux環境下通過DHCP實現安全DDNS更新的惟一方法。

  2.key myddns {//指明密鑰生成的算法及密鑰

  algorithm HMAC-MD5.SIG-ALG.REG.INT;
  secret 4gEF1Mkmn5hrlwYUeGJV3g==;
  }

  此段內容與/etc/named.conf中的完全一樣。需要注意的是,在編輯/etc/dhcpd.conf時,{}的末尾沒有“;”,這是與/etc/named.conf中不一樣的地方。

  3.在/etc/dhcpd.conf中指明的區域名稱後面一定要以“.”結尾。因此zone tcbuu.cn.中的cn和zone 1.22.10.in-addr.arpa.中的arpa後面一定要有“.”。

  /etc/dhcpd.conf配置完成,可以執行#dhcpd將DHCP服務運行起來。
 
測試DDNS

  經過上述服務器的配置,現在可以檢測一下DDNS的實現過程。

  當DNS配置成支持動態更新後,在/var/named/目錄下會多出兩個以.jnl結尾的二進制格式區域文件。這兩個文件是當前正在工作的區域文件的運行時文件,所有動態更新的紀錄都會最先反映到這兩個文件中,然後經過大約15分鐘左右才將更新的內容反映到文本形式的區域文件中,即以.jnl結尾的區域文件中是最新的內容。

  在本文所舉實例中,/var/named/目錄下的區域文件為:

  tcbuu.cn 正向區域文件。

  tcbuu.cn.arpa 反向區域文件。

  tcbuu.cn.arpa.jnl 臨時工作的二進制正向區域文件(新增)。

  tcbuu.cn.jnl 臨時工作的二進制反向區域文件(新增)。

  1.以windows 2000作為DHCP客戶端測試

  (1)設客戶機的主機名為kill-virus,執行ipconfig /all顯示所獲得的IP地址為10.22.1.69。

  (2)在客戶端執行nslookup測試。

  C:\Documents and Settings\Administrator>nslookup
  Default Server: slack9.tcbuu.cn
  Address: 10.22.1.123
  > kill-virus.tcbuu.cn//測試客戶機FQDN在區域文件中是否存在
  Server: slack9.tcbuu.cn
  Address: 10.22.1.123


  Name: kill-virus.tcbuu.cn
  Address: 10.22.1.69//測試結果,表明該資源紀錄存在

  (3)在客戶機kill-virus上執行ipconfig /release釋放獲得的IP地址。

  (4)在客戶機kill-virus上執行ipconfig /renew重新獲得IP地址。

  (5)用nslookup顯示區域數據庫中的內容。

  C:\Documents and Settings\Administrator>nslookup
  Default Server: slack9.tcbuu.cn
  Address: 10.22.1.123
  > ls tcbuu.cn//顯示區域數據庫中的資源紀錄
  [FTP.tcbuu.cn]
   tcbuu.cn. NS server = slack9.tcbuu.cn
   D2501 A 10.22.1.60
   dellpc A 10.22.1.100
   kill-virus A 10.22.1.61 file://IP地址發生變化
   slack9 A 10.22.1.123

  以上測試說明同一台客戶機kill-virus通過DHCP服務可以先後獲得IP地址,並與動態DNS服務器建立聯系,使該客戶機的主機名與獲得的IP地址一同作為一條紀錄動態地更新到正向區域文件中去。可以采用同樣的方法測試反向區域的更新,不再贅述。

  2.用Linux DHCP客戶端測試

  在Linux DHCP客戶端進行測試時,需要執行dhcpcd守護進程。如果要進行動態更新,還需要加上-h參數。執行的命令格式如下:

  #dhcpcd -h MyLinux

  其中-h後面跟的是本機的主機名,用來通過DHCP服務注冊到DDNS服務器的區域文件中,是進行動態更新必不可少的。

  動態更新後的區域數據庫文件

  通過查看正向區域數據庫文件/var/named/tcbuu.cn和反向區域數據庫文件/var/named/tcbuu.cn,可以了解區域數據庫文件到底更新了哪些內容。

  #cat /var/named/tcbuu.cn
  $ORIGIN .
  $TTL 36000 ; 10 hours
  tcbuu.cn IN SOA slack9.tcbuu.cn. root.slack9.tcbuu.cn. (
   2004011402 ; serial
   3600 ; refresh (1 hour)
   1800 ; retry (30 minutes)
   36000 ; eXPire (10 hours)
   36000 ; minimum (10 hours)
   )
   NS slack9.tcbuu.cn.
  $ORIGIN tcbuu.cn.
  dellpc A 10.22.1.100
  ftp CNAME slack9
  $TTL 300 ; 5 minutes
  kill-virus A 10.22.1.61
   TXT "3156e87eb0180675cfb5e3e8ad026e78b3"
  $TTL 36000 ; 10 hours
  slack9 A 10.22.1.123
  www CNAME slack9

  以上區域文件的書寫格式與更新前相比變化較大,說明該文件已被更新過了。這裡還要說明的是,在動態更新的客戶端kill-virus的A紀錄下多了一條同名的TXT類型的紀錄。TXT類型紀錄是BIND-DNS和DHCP專門用來實現DDNS的輔助性資源紀錄,它的值是哈希標示符字符串,該字符串的值還可以在/var/state/dhcp/dhcpd.leases文件中找到。

  總的來說,在Linux下通過DHCP實現安全DDNS的過程可分為三步:第一,創建進行安全動態更新的密鑰;第二,修改DNS的主配置文件/etc/named.conf,目的是定義采用動態更新的密鑰及指定可以動態更新的區域;第三,修改DHCP的配置文件/etc/dhcpd.conf,目的是定義采用動態更新的密鑰及指定動態更新哪些區域。



Copyright © Linux教程網 All Rights Reserved