История страницы

...

1. В каталоге /etc/bind/ создать файл с TSIG-ключом, ограничить доступ к файлу:
   

   Command
   sudo tsig-keygen <название_ключа> | sudo tee /etc/bind/<название_файла> sudo chmod 640 /etc/bind/<название_файла> sudo chown bind:bind /etc/bind/<название_файла>

   где
     - <название_ключа> – любая строка, соответствующая требованиям к доменному имени, т.е. состоящая из букв, цифр, дефисов и точек.
                                                    Для наглядности рекомендуется составлять название ключа из имён узлов, на которых работают DNS-сервер и DHCP-DDNS-сервер. Например, "dc1-dhcp1";
     - <название_файла> – произвольное название файла.
   
   Далее предполагается, что создан ключ с названием "dc1-dhcp1", ключ сохранён в файле /etc/bind/dc1-dhcp1.key:
   

   Command
   sudo tsig-keygen dc1-dhcp1 | sudo tee /etc/bind/dc1-dhcp1.key

   Пример файла /etc/bind/dc1-dhcp1.key:
   

   Блок кода
   key "dc1-dhcp1" { algorithm hmac-sha256; secret "cuF3/joQN1jNQeHbSJtt1eFpaRfludKEDeD/CaFjpg4="; };

2. Указать в настройках DNS-сервера расположение файла с TSIG-ключом.
   Для этого добавить в файл /etc/bind/ipa-ext.conf строку:
   

   Блок кода
   include "/etc/bind/dc1-dhcp1.key";

   Файл  /etc/bind/ipa-ext.conf не изменяется во время обновления FreeIPA
   
   
3. Разрешить динамические обновления требуемых доменных зон для DNS-клиентов, обладающих TSIG-ключом. 
   Для этого в веб-интерфейсе FreeIPA открыть страницу "Сетевые службы → DNS → Зоны DNS".
   Откроется страница со списком доменных зон:
   
   На странице выбрать зону, для которой необходимо включить динамические обновления. Перейти на вкладку "Параметры".
   Откроется страница:
   
   Внизу страницы в поле "Политика обновления BIND" добавить текст, содержащий политику с названием ключа.:
   

   Блок кода
   grant dc1-dhcp1 wildcard * ANY;

   Получится:
   
   Вверху страницы нажать на кнопку "Сохранить".
   
   Повторить этот пункт для всех (для обратной) доменных зон, которым требуются включить динамические обновления.
   
   
4. Проверить отсутствие синтаксических ошибок в конфигурационных файлах DNS-сервера:
   

   Command
   sudo named-checkconf

5. Перезапустить FreeIPA для применения настроек DNS-сервера (надо ли?):
   

   Command
   sudo ipactl restart

...