История страницы

...

1. В каталоге /etc/bind/ создать файл с TSIG-ключом, ограничить доступ к файлу:
   

   Command
   sudo tsig-keygen <название_ключа> | sudo tee /etc/bind/<название_файла> sudo chmod 640 /etc/bind/<название_файла> sudo chown bind:bind /etc/bind/<название_файла>

   где
     - <название_ключа> – любая строка, соответствующая требованиям к доменному имени, т.е. состоящая из букв, цифр, дефисов и точек.
                                                    Для наглядности рекомендуется составлять название ключа из имён узлов, на которых работают DNS-сервер и DHCP-DDNS-сервер. Например, "dc1-dhcp1";
     - <название_файла> – произвольное название файла.
   
   Далее предполагается, что создан ключ с названием "dc1-dhcp1", ключ сохранён в файле /etc/bind/dc1-dhcp1.key:
   

   Command
   sudo tsig-keygen dc1-dhcp1 | sudo tee /etc/bind/dc1-dhcp1.key

   Пример файла /etc/bind/dc1-dhcp1.key:
   

   Блок кода
   key "dc1-dhcp1" { algorithm hmac-sha256; secret "cuF3/joQN1jNQeHbSJtt1eFpaRfludKEDeD/CaFjpg4="; };

2. Указать в настройках DNS-сервера расположение файла с TSIG-ключом.
   Для этого добавить в файл /etc/bind/ipa-ext.conf строку:
   

   Блок кода
   include "/etc/bind/dc1-dhcp1.key";

   Файл  /etc/bind/ipa-ext.conf не изменяется во время обновления FreeIPA
   
   
3. Разрешить динамические обновления прямой и обратной доменных зон для DNS-клиентов, обладающих TSIG-ключом. 
   Для этого :
     - добавить параметр include, в котором указать путь к файлу с ключом;
     - в настройках зон добавить параметр allow-update, содержащий параметр key с названием ключа.
   
   
   
4. Проверить отсутствие синтаксических ошибок в конфигурационных файлах DNS-сервера:
   

   Command
   sudo named-checkconf

5. Перезапустить DNS-сервер Перезапустить FreeIPA для применения настроек :

Добавить в файл  /etc/bind/ipa-ext.conf, который не изменяется во время обновления FreeIPA

...

1. DNS-сервера:
   

   Command
   sudo ipactl restart