История страницы

...

1. В каталоге /etc/bind/ создать файл с TSIG-ключом, ограничить доступ к файлу:
   

   Command
   sudo tsig-keygen <название_ключа> | sudo tee /etc/bind/<название_файла> sudo chmod 640 /etc/bind/<название_файла> sudo chown bind:bind /etc/bind/<название_файла>

   где
     - <название_ключа> – любая строка, соответствующая требованиям к доменному имени, т.е. состоящая из букв, цифр, дефисов и точек.
                                                    Для наглядности рекомендуется составлять название ключа из имён узлов, на которых работают DNS-сервер и DHCP-DDNS-сервер. Например, "dc1-dhcp1";
     - <название_файла> – произвольное название файла.
   
   Далее предполагается, что создан ключ с названием "dc1-dhcp1", ключ сохранён в файле /etc/bind/dc1-dhcp1.key:
   

   Command
   sudo tsig-keygen dc1-dhcp1 | sudo tee /etc/bind/dc1-dhcp1.key

   Пример файла /etc/bind/dc1-dhcp1.key:
   

   Блок кода
   key "dc1-dhcp1" { algorithm hmac-sha256; secret "cuF3/joQN1jNQeHbSJtt1eFpaRfludKEDeD/CaFjpg4="; };

2. Указать в настройках DNS-сервера расположение файла с TSIG-ключом.
   Для этого добавить в файл /etc/bind/ipa-ext.conf строку:
   

   Блок кода
   include "/etc/bind/dc1-dhcp1.key";

   Файл /etc/bind/ipa-ext.conf предназначен для добавления пользовательских настроек и не изменяется во время обновления FreeIPA.
   
   
3. Проверить конфигурационные файлы DNS-сервера на отсутствие синтаксических ошибок в конфигурационных файлах DNS-сервера:
   

   Command
   sudo named-checkconf

4. Перезапустить FreeIPA для применения настроек DNS-сервера:
   

   Command
   sudo ipactl restart

5. Разрешить динамические обновления прямой и обратной доменных зон для запросов, подписанных TSIG-ключом. 
   Для этого в веб-интерфейсе FreeIPA открыть страницу "Сетевые службы → DNS → Зоны DNS".
   Откроется страница со списком доменных зон:
   
   На странице выбрать прямую зону ipa.lc, перейти на вкладку "Параметры".
   Откроется страница:
   
   Внизу страницы в поле "Политика обновления BIND" добавить правило политики, которое разрешает принимать обновления, подписанные созданным ключом с названием dc1-dhcp1:
   

   Блок кода
   grant dc1-dhcp1 wildcard * ANY;

   Получится:
   
   Вверху страницы нажать на кнопку "Сохранить".
   

   Информация

   Веб-интерфейс FreeIPA-сервера не отображает записи типа DHCID, которые создаёт Kea DHCP-DDNS-сервер. Для их просмотра можно использовать консольные команды из состава BIND, например dig: Command dig @localhost astra06954.ipa.lc. any Вывод команды: Блок кода ... ;; ANSWER SECTION: astra06954.ipa.lc. 14400 IN A 192.168.0.203 astra06954.ipa.lc. 14400 IN DHCID AAABP1ZUSZviTQHluGX6B3j9OueWkRxYEyGoXqjOvWfuM5Q= ...

6. Выполнить предыдущий пункт для обратной доменной зоны, добавив точно такое же правило в поле  "Политика обновления BIND".

...

1. В файле /etc/kea/kea-dhcp4.conf в глобальном параметре ddns-qualifying-suffix указать название домена:
   

   Блок кода
   { "Dhcp4": { ... "ddns-qualifying-suffix": "ipa.lc", ... } }

2. Проверить конфигурационный файл DHCP-сервера на отсутствие синтаксических ошибок в конфигурационном файле DHCP-сервера:
   

   Command
   sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

3. Перезапустить DHCP-сервер для применения настроек:
   

   Command
   sudo systemctl restart kea-dhcp4-server

...

1. В каталоге /etc/kea/ создать файл с произвольным названием <название_файла>. В файле сохранить описание TSIG-ключа:
   

   Блок кода
   "name": "<название_ключа>", "algorithm": "hmac-sha256", "secret": "<секрет_ключа>"

   где
     - <название_ключа> – должно в точности совпадать с названием ключа, используемого DNS-сервером;
     - <секрет_ключа> – должен в точности с совпадать со значением параметра secret в файле с ключом, используемого DNS-сервером.
   
   Ограничить доступ к файлу с ключом:
   

   Command
   sudo chmod 640 /etc/kea/<название_файла> sudo chown _kea:_kea /etc/kea/<название_файла>

   
   Пример файла /etc/kea/dc1-dhcp1.key с ключом, который соответствует вышесозданному ключу DNS-сервера:
   

   Блок кода
   "name": "dc1-dhcp1", "algorithm": "hmac-sha256", "secret": "cuF3/joQN1jNQeHbSJtt1eFpaRfludKEDeD/CaFjpg4="

2. В файле /etc/kea/kea-dhcp-ddns.conf с настройками DHCP-DDNS-сервера указать соответствующие значения:
     - в блоке tsig-keys – путь к файлу с ключом;
     - в блоке forward-ddns –название прямой доменной зоны, название ключа, IP-адрес FreeIPA-сервера;
     - в блоке forward-ddns –название обратной доменной зоны, название ключа, IP-адрес FreeIPA-сервера:
   

   Блок кода

   { "DhcpDdns": { ... "tsig-keys": [ { <?include "/etc/kea/dc1-dhcp1.key"?> // Путь к файлу с TSIG-ключом. } ], "forward-ddns" : { // Блок с настройками для обновления ПРЯМЫХ зон DNS-серверов. "ddns-domains": [ { "name": "ipa.lc.", // Название прямой доменной зоны (заканчивающееся точкой!)            "key-name": "dc1-dhcp1", // Название TSIG-ключа.             "dns-servers": [ { "ip-address": "<IP-адрес_FreeIPA-сервера>", // IP-адрес FreeIPA-сервера, вместе с которым работает и DNS-сервер,                 "port": 53 // обслуживающий зону "ipa.lc.".             } ] } ] }, "reverse-ddns" : { // Блок с настройками для обновления ОБРАТНЫХ зон DNS-серверов.         "ddns-domains": [ { "name": "0.168.192.in-addr.arpa.",              // Название обратной доменной зоны (заканчивающееся точкой!)             "key-name": "dc1-dhcp1", // Название TSIG-ключа.             "dns-servers": [ { "ip-address": "<IP-адрес_FreeIPA-сервера>", // IP-адрес FreeIPA-сервера, вместе с которым работает и DNS-сервер,                 "port": 53 //     обслуживающий зону "0.168.192.in-addr.arpa.".             } ] } ] }, ... } }

3. Проверить отсутствие синтаксических ошибок в конфигурационном файле конфигурационный файл DHCP-DDNS-сервера на отсутствие синтаксических ошибок:
   

   Command
   sudo kea-dhcp-ddns -t /etc/kea/kea-dhcp-ddns.conf

4. Перезапустить DHCP-DDNS-сервер для применения настроек:
   

   Command
   sudo systemctl restart kea-dhcp-ddns-server

...