bind9在多view情况下通过TSIG key实现主dns和多个辅DNS的同步传输

Master dns 192.168.8.1

slave dns 192.168.8.2，192.168.8.3，192.168.8.4

//-------------------------------------------------------------

提示：TSIG key的使用详见“bind9在view情况下通过TSIG key实现nsupdate功能”

Master dns named.conf配置如下：

   key  
  " 
  rndc-key 
  " { algorithm hmac-md5; secret  
  " 
  PpRyh6fU1ejnutT+jafXag== 
  "; }; 
  
controls { inet  
  127.0. 
  0.1 port  
  953 allow {  
  127.0. 
  0.1; } keys {  
  " 
  rndc-key 
  "; }; }; 
  
 
  
acl  
  " 
  trusted 
  " {  
  192.168. 
  0.0/ 
  16; localhost; }; 
  
acl  
  " 
  xfer 
  " {  
  192.168. 
  8.1; 192.168.8.2; 192.168.8.3; 192.168.8.4; };  
  // 
  主辅dns-ip地址 
  
acl  
  " 
  nic 
  " { 
  172.16. 
  0.0/ 
  27; };  
  // 
  用于管理dns的地址 
  
 
  
logging { ... }; 
  
 
  
options { ... 
  
    allow-transfer { xfer; nic; };   
  // 
  全局允许读取zone数据的ip 
  
    }; 
  
 
  
include  
  " 
  isp/cernet.conf 
  "; 
  
include  
  " 
  isp/chinanet.conf 
  "; 
  
key  
  " 
  cernet-key 
  " { algorithm hmac-md5; secret  
  " 
  ALiFYsMuRdD03+V5qiNxnA== 
  "; }; 
  
key  
  " 
  chinanet-key 
  " { algorithm hmac-md5; secret  
  " 
  dMZeJ1vhhjjoig+sFYjZvg== 
  "; }; 
  
key  
  " 
  defaultisp-key 
  " { algorithm hmac-md5; secret  
  " 
  dkMHny2EEQSmvfiGKeL9YA== 
  "; }; 
  
 
  
view  
  " 
  internal-in 
  "  
  in {          
  // 
   定义一个名为 internal-in 的 view 
  
    match-clients { key rndc-key; !xfer; trusted; };  
  // 
   范围是匹配那些用 rndc-key 加密的，以及 trusted, 另外: 
  主辅dns-ip包含在trusted中，"!xfer"排除主dns-ip是为了主dns在执行nsupdate时使用key匹配所有的view; 排除辅dns-ip是为了辅dns能够在同步zone时通过key匹配所有的view 
  
    allow-transfer { key rndc-key; nic; };  
  // 只允许用 rndc-key 加密过的 zone transfer 请求 
    server  
  192.168. 
  8.2 { keys rndc-key; };  
  // 向从服务器发送消息时，用 rndc-key 加密 
  
    server  
  192.168. 
  8.3 { keys rndc-key; };  
  // 
  配置多个slave的ip 
  
    server  
  192.168. 
  8.4 { keys rndc-key; }; 
  
    recursion yes;    
  // 
   允许处理来自 internal-in 的主机的递归请求 
  
    additional- 
  from-auth yes;  
  
    additional- 
  from-cache yes; 
  
 
  
zone  
  " 
  . 
  " { type hint; file  
  " 
  named.root 
  "; }; 
  
zone  
  " 
  0.0.127.in-addr.arpa 
  " { type master; file  
  " 
  local/localhost.rev 
  "; };  
  
zone  
  " 
  localhost 
  " { type master; file  
  " 
  local/localhost.zone 
  "; };  
  
zone  
  " 
  8.168.192.in-addr.arpa 
  " { type master; file  
  " 
  master/8.168.192.in-addr.arpa.zone 
  "; }; 
  
zone  
  "test.com 
  " { type master; file  
  " 
  master/test.com.in.zone 
  "; allow-update { key rndc-key; }; }; 
  
}; 
  
 
  
view  
  " 
  external-cernet 
  "  
  in {  
  
    match-clients { key cernet-key; cernet; };  
  
    allow-transfer { key cernet-key; }; 
  
    server  
  192.168. 
  8.2 { keys cernet-key; }; 
  
    server  
  192.168. 
  8.3 { keys cernet-key; }; 
  
    server  
  192.168. 
  8.4 { keys cernet-key; }; 
  
    recursion no;  
  // 
   禁止所有人向从服务器请求 zone transfer  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no; 
  
 
  
zone  
  " 
  test.com 
  " { type master; file  
  " 
  master/test.com.cernet.zone 
  "; allow-update { key cernet-key; }; }; 
  
}; 
  
 
  
view  
  " 
  external-chinanet 
  "  
  in {  
  
    match-clients { key chinanet-key; chinanet; };  
  
    allow-transfer { key chinanet-key; }; 
  
    server  
  192.168. 
  8.2 { keys chinanet-key; }; 
  
    server  
  192.168. 
  8.3 { keys chinanet-key; }; 
  
    server  
  192.168. 
  8.4 { keys chinanet-key; }; 
  
    recursion no;  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no; 
  
 
  
zone  
  "test.com 
  " { type master; file  
  " 
  master/test.com.chinanet.zone 
  "; allow-update { key chinanet-key; }; }; 
  
}; 
  
 
  
view  
  " 
  external 
  "  
  in {  
  
    match-clients { key defaultisp-key; any; };  
  
    allow-transfer { key defaultisp-key; }; 
  
    server  
  192.168. 
  8.2 { keys defaultisp-key; }; 
  
    server  
  192.168. 
  8.3 { keys defaultisp-key; }; 
  
    server  
  192.168. 
  8.4 { keys defaultisp-key; };  
  
    recursion no;  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no;  
  
 
  
zone  
  "test.com 
   
  " { type master; file  
  " 
  master/test.com.out.zone 
  "; allow-update { key defaultisp-key; }; }; 
  
}; 
 

 

slave dns named.conf配置如下（3个slave配置基本相同）：

   key  
  " 
  rndc-key 
  " { algorithm hmac-md5; secret  
  " 
  PpRyh6fU1ejnutT+jafXag== 
  "; }; 
  
controls { inet  
  127.0. 
  0.1 port  
  953 allow {  
  127.0. 
  0.1; } keys {  
  " 
  rndc-key 
  "; }; }; 
  
 
  
acl  
  " 
  trusted 
  " {  
  192.168. 
  0.0/ 
  16; localhost; }; 
  
 
  
logging { ... }; 
  
 
  
options { ... 
  
    allow-transfer { none; }; 
  
    }; 
  
 
  
include  
  " 
  isp/cernet.conf 
  "; 
  
include  
  " 
  isp/chinanet.conf 
  "; 
  
key  
  " 
  cernet-key 
  " { algorithm hmac-md5; secret  
  " 
  ALiFYsMuRdD03+V5qiNxnA== 
  "; }; 
  
key  
  " 
  chinanet-key 
  " { algorithm hmac-md5; secret  
  " 
  dMZeJ1vhhjjoig+sFYjZvg== 
  "; }; 
  
key  
  " 
  defaultisp-key 
  " { algorithm hmac-md5; secret  
  " 
  dkMHny2EEQSmvfiGKeL9YA== 
  "; }; 
  
 
  
view  
  " 
  internal-in 
  "  
  in {  
  
    match-clients { key rndc-key; ! 
  192.168. 
  8.1; trusted; };  
  // 
  主dns-ip包含在trusted中，排除192.168.8.1是为了当主dns执行nsupdate通知所有主辅dns进行更新时，能够通过key匹配到正确view。nsupdate详见文章“bind9在view情况下通过TSIG key实现nsupdate功能” 
     
 

 
      allow-transfer { none; };   
  // 
   禁止所有人向从服务器请求 zone transfer  
  
    server  
  192.168. 
  8.1 { keys rndc-key; };   
  // 向主服务器发送消息时，用 rndc-key 加密 
 

       recursion yes;  
  
    additional- 
  from-auth yes;  
  
    additional- 
  from-cache yes; 
  
 
  
zone  
  " 
  . 
  " { type hint; file  
  " 
  named.root 
  "; }; 
  
zone  
  " 
  0.0.127.in-addr.arpa 
  " { type master; file  
  " 
  local/localhost.rev 
  "; };  
  
zone  
  " 
  localhost 
  " { type master; file  
  " 
  local/localhost.zone 
  "; };  
  
zone  
  " 
  test.com 
  " { type slave; file  
  " 
  slaves/test.com.in.zone 
  "; masters {  
  192.168. 
  8.1; }; }; 
  
}; 
  
 
  
view  
  " 
  external-cernet 
  "  
  in {  
  
    match-clients { key cernet-key; cernet; };  
  
    server  
  192.168. 
  8.1 { keys cernet-key; }; 
  
    recursion no;  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no; 
  
 
  
zone  
  "test.com 
   
  " { type slave; file  
  " 
  slaves/test.com.cernet.zone 
  "; masters {  
  192.168. 
  8.1; }; }; 
  
}; 
  
 
  
view  
  " 
  external-chinanet 
  "  
  in {  
  
    match-clients { key chinanet-key; chinanet; };  
  
    server  
  192.168. 
  8.1 { keys chinanet-key; }; 
  
    recursion no;  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no; 
  
 
  
zone  
  " 
  test.com 
  " { type slave; file  
  " 
  slaves/test.com.chinanet.zone 
  "; masters {  
  192.168. 
  8.1; }; }; 
  
}; 
  
 
  
view  
  " 
  external 
  "  
  in {  
  
    match-clients { key defaultisp-key; any; };  
  
    server  
  192.168. 
  8.1 { keys defaultisp-key; }; 
  
    recursion no;  
  
    additional- 
  from-auth no;  
  
    additional- 
  from-cache no;  
  
 
  
zone  
  " 
  test.com 
  " { type slave; file  
  " 
  slaves/test.com.out.zone 
  "; masters {  
  192.168. 
  8.1; }; }; 
  
}; 
 

 

同步过程分析：（引用：ChinaUnix ）

 
  
    1）你修改并 reload 了 telecom view 的  bob.com. 这个 zone 。注意！正确的命令是 rndc reload bob.com. IN telecom ，记得加上后面的 "IN telecom‘ 。  
   
2）主服务器将向从服务器发送一个 notify 消息，这个消息是用 telecomkey 标识过的。  
   
    （主→从 ：notify）  
   
3）当从服务器收到这个 notify 消息时，会根据消息尾部的 TSIG 部分找出 key 的名称 ：telecomkey 。  
   
4）从服务器对比每个 view 的 match-clients ，发现匹配 telcom 这个 view 的设定   
   
5）从服务器返回一个 notify response 消息，根据 telecom view 的 server 语句，用 telecomkey 加密并发给主服务器。  
   
    （从→主 ：notify response）  
   
6）接着从服务器就会启动 soa query，同样该 query 也是用 telecomkey 加密的。（从→主 ：soa query）  
   
7）主服务器收到这个 soa query 后，发现是用 telecom key加密的 ，返回 telecom 的 bob.com. SOA 记录，并用 telecomkey 进行表示  
   
     （主→从 ：soa query response）  
   
8）从服务器在收到来自主服务器的 response 后，和它自己 telecom view 的 bob.com zone 的 serial 比较，发现的确是增大了  
   
8）从服务器向主服务器发送 tcp 消息，请求 zone transfer （从→主 ：zone transfer 请求）  
   
9）主服务器检查 telecom view 的 allow-transfer ，发现该请求是以 telecomkey 加密的，则允许进行 zone transfer   
   
10）主服务器返回 telecom view 的 bob.com 这个 zone 的数据（来自文件 bob.com.telecom）  
   
      （主→从 ：zone transfer 开始）  
   
11）zone transfer 完成，主从服务器关闭 TCP  连接 （zone transfer 完成）  
   
 

 

特别注意，以下几种常见无法同步的原因：

a）key 在另一台 server 上不存在
b）同一个名称的 key 在两台 server 上的内容不一样
c）两台 server 的时间不同步，导致 TSIG key 验证通不过。所以最好两台 server 用 ntp 进行同步。这种情况比较隐蔽，需要特别注意。经过试验，两台 server 如果时间相差超过 5min 就会导致失败。