3.配置分析
在主服务器端配置VIEW中的match-client和allow-transfer标示信息，在从服务器端配置VIEW中的masters和allow-source标识信息，这样做可以解决主从服务器同步问题。
利用TSIGKEY功能
环境假定：授权域domain是test.lcu.edu.cn；
主DNS的IP地址是210.44.112.66(DNS包含Internet和Cernet两个VIEW)；
从DNS的IP地址是210.44.112.67。
1.对主服务器的配置
include “/etc/cernet.cfg”; //指定教育网地址文件,可以根据自己的配置来进行灵活配置。
view “cernet” { //定义了一个Cernet view
match-clients { key cernetkey; cernet; }; //范围是匹配这些用 cernetkey 加密 的以及 cernet地址(？)
allow-transfer { key cernetkey; };
//只允许用 cernetkey 加密过的 zone transfer 请求
server 210.44.112.67 { keys cernetkey; }; // 向从服务器发送消息时，用 cernetkey 加密
zone "." IN {
type hint;
file "named.root";
};
zone “test.lcu.edu.cn” {
type master;
file “cernet.zone” ;
}；
}；
view "internet" {
match-clients {key internetkey; any; };
recursion no;
allow-transfer { key internetkey; }; // 只允许用 internetkey 加密过的 zone transfer 请求
server 210.44.112.67 { keys internetkey; }; // 向从服务器发送消息时，用 internetkey 加密
zone "." IN {
type hint;
file "named.root";
};
zone "test.lcu.edu.cn" IN {
type master;
file "internet.zone";
};
};
2.对从服务器的配置
include “/etc/cernet.cfg”; //指定教育网地址文件,可以根据自己的配置来进行灵活配置。
view “cernet” { //定义了一个Cernet view
match-clients { key cernetkey ;cernet; }; //范围是匹配这些用 cernetkey 加密的，以及 cernet地址
allow-transfer {none };
// 禁止任何 zone transfer 请求
server 210.44.112.66 { keys cernetkey; };
// 向主服务器发送消息时，用 cernetkey 加密
zone "." IN {
type hint;
file "named.root";
};
zone “test.lcu.edu.cn” {
type slave;
masters {210.44.112.66;};
file “cernet.zone” ;
}；
}；
view "internet" {
match-clients {key internetkey; any; };
recursion no;
allow-transfer { none}; // 禁止任何 zone transfer 请求
server 210.44.112.66 { keys internetkey; };
// 向主服务器发送消息时，用 internetkey 加密
zone "." IN {
type hint;
file "named.root";
};
zone "test.lcu.edu.cn" IN {
type slave;
masters {210.44.112.66;};
file "internet.zone";
};
};
使用dnssec-keygen命令生成 TSIG key。具体命令如下：
/usr/sbin/dnssec-keygen -a alg -b bits [-n type] [options] name
3.配置分析
使用TSIG对主从DNS配置，VIEW和KEY一一对应，从而解决了主从服务器间的消息标示问题。
两方法的优缺点
两种方法比较而言，使用TRANSFER-SOURCE功能，需要多设置几个IP地址，配置相对简单，原理容易理解，但是造成一定的IP地址浪费。使用TSIG KEY方法，要准备KEY文件，并且KEY文件和VIEW要一一对应，做起来比较繁琐。
配置技巧
配置过程中的技巧及常见问题：
1.在配置文件中使用include语句，增加文件的可读性。像各种ACL，KEY文件都可以使用include语句，在很大程度上减小了主配置文件的大小。
例：include ”/etc/cernet.cfg”;
2.开始配置服务器时，关掉Linux的SElinux功能，因为SElinux功能会带来意想不到的麻烦。
3.遇到问题时，多使用tail –f /var/log/messages查看日志。
4.BIND工作不正常时，如果发现日志中有permission denied的字样，可以把所有的配置文件权限改大，规避问题。
5.使用rndc reload test.lcu.edu.cn. IN cernet重载cernet View下的test.lcu.edu.cn。修改ZONE文件之后，一定要记得将Serial值改大，然后执行rndc reload，才能实现数据同步。
6.如果有部分外部域名解析不正常的情况，又没有充分的排错时间，可以使用forward语句规避问题。如
options {
…
forwarders {202.102.128.68; //连通的两个DNS服务器
202.102.152.3;
};
…
}.
7.主从服务器的时区和时钟要一致，使用ntpdate同步时间。
.分页: [1] [2]
- 上一篇:十招保护DNS服务器安全
- 下一篇:DNS技术在网络链路控制中的应用