Linux系統 是我們不常接觸的系統,但他又有很多值得我們利用的功能,今天介紹一個在linux系統下配置動態DNS伺服器
在網路管理中,對於DNS服務的管理是一項基礎性的工作。隨著使用者規模的擴大,頻繁地手工修改DNS的區域資料庫檔案不是一件輕鬆的工作。關於動態DNS(DDNS)的研究逐漸引起了人們的關注,不同的平臺都推出了自己的解決方案。本文將詳細介紹Linux環境下DDNS的解決方案,即由Internet Software Consortium(ISC)開發的BIND-DNS和DHCP(Dynamic Host Configure Protocol,動態主機配置協議)協同工作,進而共同實現DDNS的方法。
工具/原料
在Linux下實現動態DNS不僅需要Bind 8以上的DNS軟體,還要有DHCP Server v3.0以上版本,因為只有3.0以上的版本才完全實現了對DDNS的支援。因此,本文的實現環境採用Slackware Linux 9.0作為DDNS伺服器,其上同時執行DNS和DHCP服務,其中DNS Server採用Bind 9.2.2,DHCP Server採用DHCP Server v3.0pl2。
步驟/方法
下面詳細介紹Linux環境下安全、動態DNS的實現方法。
建立金鑰
要實現DNS的動態更新,首先要考慮的是怎樣保證安全地實現DDNS。由ISC給出的方法是建立進行動態更新的金鑰,在進行更新時通過該金鑰加以驗證。為了實現這一功能,需要以root身份執行以下命令:
[email protected]:/etc# dnssec-keygen -a HMAC-MD5 -b 128 -n USER myddns
Kmyddns.+157+37662
上述dnssec-keygen命令的功能就是生成更新金鑰,其中引數-a HMAC-MD5是指金鑰的生成演算法採用HMAC-MD5;引數-b 128是指金鑰的位數為128位;引數-n USER myddns是指金鑰的使用者為myddns。
該命令生成的一對金鑰檔案如下:
-rw------- 1 root root 48 Jan 14 18:26 Kmyddns.+157+37662.key
-rw------- 1 root root 81 Jan 14 18:26 Kmyddns.+157+37662.private
可以檢視剛生成的金鑰檔案內容:
[email protected]:/etc# cat Kmyddns.+157+37662.key
myddns.INKEY02157 4gEF1Mkmn5hrlwYUeGJV3g==
[email protected]:/etc# cat Kmyddns.+157+37662.private
Private-key-format: v1.2
Algorithm: 157 (HMAC_MD5)
Key: 4gEF1Mkmn5hrlwYUeGJV3g==
仔細閱讀該金鑰檔案就會發現,這兩個檔案中包含的金鑰是一樣的,該金鑰就是DHCP對DNS進行安全動態更新時的憑據。後面需要將該金鑰分別新增到DNS和DHCP的配置檔案中。
修改DNS的主配置檔案
金鑰生成後就要開始對/etc/named.conf檔案進行編輯修改,主要目的是將金鑰資訊新增到DNS的主配置檔案中。本文給出修改後的/etc/named.conf的一個例項:
在/etc/named.conf中可以定義多個區域,只要在允許動態更新的區域中增加allow-update { key myddns; }指令,即可實現動態更新,並且只有擁有key myddns實體(在本文的實現中該實體就是擁有同樣金鑰的DHCP伺服器)才能實現對該區域進行安全地動態更新。相比原來只限定IP地址的方法,該方法要安全得多。
至此完成對DNS伺服器的配置,可以執行#named執行DNS服務。
修改DHCP的配置檔案
DHCP的主要功能是為DHCP客戶動態地分配IP地址、掩碼、閘道器等內容。正是由於DHCP的動態特性,在實現DDNS時,DHCP成為首選方案。
給出修改後的/etc/dhcpd.conf的一個例項:
# dhcpd.conf
# Sample configuration fileforISC dhcpd
# option definitions common to all supported networks...
option domain-name tcbuu.cn;
option domain-name-servers 10.22.1.123;
default-lease-time 600;
max-lease-time 800;
ddns-update-style interim;
file://指明實現動態DNS的方法為interim
subnet 10.22.1.0 netmask 255.255.255.0 {
range 10.22.1.60 10.22.1.69;//地址池
option broadcast-address 10.22.1.255;
option routers 10.22.1.100;
}
key myddns {//指明金鑰生成的演算法及金鑰
algorithm HMAC-MD5.SIG-ALG.REG.INT;
secret 4gEF1Mkmn5hrlwYUeGJV3g==;
}
zone tcbuu.cn. {
primary 10.22.1.123;
key myddns;//指明更新時採取的金鑰key myddns
}
zone 1.22.10.in-addr.arpa. {
primary 10.22.1.123;
key myddns;//指明更新時採取的金鑰key myddns
}
說明:
1.ddns-update-style interim
由ISC開發的DHCP伺服器目前主要支援interim方法來進行DNS的動態更新,另外一種稱為ad-hoc的方法基本上已經不再採用。因此,實際上,interim方法是目前Linux環境下通過DHCP實現安全DDNS更新的惟一方法。
2.key myddns {//指明金鑰生成的演算法及金鑰
algorithm HMAC-MD5.SIG-ALG.REG.INT;
secret 4gEF1Mkmn5hrlwYUeGJV3g==;
}
此段內容與/etc/named.conf中的完全一樣。需要注意的是,在編輯/etc/dhcpd.conf時,{}的末尾沒有“;”,這是與/etc/named.conf中不一樣的地方。
3.在/etc/dhcpd.conf中指明的區域名稱後面一定要以“.”結尾。因此zone tcbuu.cn.中的cn和zone 1.22.10.in-addr.arpa.中的arpa後面一定要有“.”。
/etc/dhcpd.conf配置完成,可以執行#dhcpd將DHCP服務執行起來。
測試DDNS
經過上述伺服器的配置,現在可以檢測一下DDNS的實現過程。
當DNS配置成支援動態更新後,在/var/named/目錄下會多出兩個以.jnl結尾的二進位制格式區域檔案。這兩個檔案是當前正在工作的區域檔案的執行時檔案,所有動態更新的紀錄都會最先反映到這兩個檔案中,然後經過大約15分鐘左右才將更新的內容反映到文字形式的區域檔案中,即以.jnl結尾的區域檔案中是最新的內容。
在本文所舉例項中,/var/named/目錄下的區域檔案為:
tcbuu.cn 正向區域檔案。
tcbuu.cn.arpa 反向區域檔案。
tcbuu.cn.arpa.jnl 臨時工作的二進位制正向區域檔案(新增)。
tcbuu.cn.jnl 臨時工作的二進位制反向區域檔案(新增)。
1.以Windows 2000作為DHCP客戶端測試
(1)設客戶機的主機名為kill-virus,執行ipconfig /all顯示所獲得的IP地址為10.22.1.69。
(2)在客戶端執行nslookup測試。
C:\Documents and Settings\Administrator>nslookup
Default Server: slack9.tcbuu.cn
Address: 10.22.1.123
> kill-virus.tcbuu.cn//測試客戶機FQDN在區域檔案中是否存在
Server: slack9.tcbuu.cn
Address: 10.22.1.123
Name: kill-virus.tcbuu.cn
Address: 10.22.1.69//測試結果,表明該資源紀錄存在
(3)在客戶機kill-virus上執行ipconfig /release釋放獲得的IP地址。
(4)在客戶機kill-virus上執行ipconfig /renew重新獲得IP地址。
(5)用nslookup顯示區域資料庫中的內容。
C:\Documents and Settings\Administrator>nslookup
Default Server: slack9.tcbuu.cn
Address: 10.22.1.123
> ls tcbuu.cn//顯示區域資料庫中的資源紀錄
[ftp.tcbuu.cn]
tcbuu.cn. NS server = slack9.tcbuu.cn
D2501 A 10.22.1.60
dellpc A 10.22.1.100
kill-virus A 10.22.1.61 file://IP地址發生變化
slack9 A 10.22.1.123
以上測試說明同一臺客戶機kill-virus通過DHCP服務可以先後獲得IP地址,並與動態DNS伺服器建立聯絡,使該客戶機的主機名與獲得的IP地址一同作為一條紀錄動態地更新到正向區域檔案中去。可以採用同樣的方法測試反向區域的更新,不再贅述。
2.用Linux DHCP客戶端測試
在Linux DHCP客戶端進行測試時,需要執行dhcpcd守護程序。如果要進行動態更新,還需要加上-h引數。執行的命令格式如下:
#dhcpcd -h MyLinux
其中-h後面跟的是本機的主機名,用來通過DHCP服務註冊到DDNS伺服器的區域檔案中,是進行動態更新必不可少的。
動態更新後的區域資料庫檔案
通過檢視正向區域資料庫檔案/var/named/tcbuu.cn和反向區域資料庫檔案/var/named/tcbuu.cn,可以瞭解區域資料庫檔案到底更新了哪些內容。
以上區域檔案的書寫格式與更新前相比變化較大,說明該檔案已被更新過了。這裡還要說明的是,在動態更新的客戶端kill-virus的A紀錄下多了一條同名的TXT型別的紀錄。TXT型別紀錄是BIND-DNS和DHCP專門用來實現DDNS的輔助性資源紀錄,它的值是雜湊標示符字串,該字串的值還可以在/var/state/dhcp/dhcpd.leases檔案中找到
注意事項
總的來說,在Linux下通過DHCP實現安全DDNS的過程可分為三步:第一,建立進行安全動態更新的金鑰;第二,修改DNS的主配置檔案/etc/named.conf,目的是定義採用動態更新的金鑰及指定可以動態更新的區域;第三,修改DHCP的配置檔案/etc/dhcpd.conf,目的是定義採用動態更新的金鑰及指定動態更新哪些區域。