Введение

В больших сетях очевидна необходимость использования

централизованной службы автоматического назначения компьютерам IP-адресов (службы DHCP). При использовании DHCP возникает необходимость поддержания разрешения имен, то есть установления соответствия имен компьютеров и динамически назначенных им адресов. При этом:

• устанавливаемая на клиентских машинах служба SSSD умеет сообщать контроллеру домена о своём IP-адресе;
• входящая в дистрибутив Astra Linux служба DHCP isc-dhcp-server имеет возможность автоматически сообщать доменному серверу DNS (DNS-сервер BIND9) о

• назначаемых клиентам  адресах.

Таким образом, обновление адресов можно выполнять либо по инициативе клиентских машин, либо централизованно с помощью DHCP-сервера.

Якорь
SSSD SSSD

Настройка обновления с клиентских машин (SSSD)

Для включения обновления IP-адресов службой sssd в файл конфигурации этой службы /etc/sssd/sssd.conf в секцию с параметрами домена FreeIPA следует добавить опции:

[domain/...]
.....
# Включить обновление прямых записей (A/AAAA записей)
dyndns_update = true
# Включить обновление обратных записей (PTR записей)
dyndns_update_ptr = true
# Интервал обновления в секундах. По умолчанию - 0, и обновление выполняется только один раз при запуске службы SSSD.
# Если интервал менее 60 секунд, то обновление выполняется раз в 60 секунд.
# Если адрес после предыдущего обновления не изменялся - обновление не выполняется.
dyndns_refresh_interval = 60

Авторизация по ключам Kerberos для такого обновления настраивается автоматически при установке сервера и клиентов FreeIPA.

При установке клиента можно использовать ключ --enable-dns-updates, автоматически задающий нужные настройки:

однако при этом будет добавлена только опция dyndns_update = true (однократное обновление A/AAAA записей при запуске системы при условии обнаружения изменений). Обновление PTR записей выполняться не будет.

Настройка централизованного обновления через службу isc-dhcp-server

Создание ключей

Создать ключ для сервера DHCP. Ключ будет автоматически сохранен в файле /etc/bind/rndc.key:

В файл конфигурации сервера DNS /etc/bind/named.conf после раздела "options"

добавить строчку:

Настройка сервера DNS FreeIPA

Запустить WEB-интерфейс управления сервера FreeIPA и в свойствах необходимой ПРЯМОЙ зоны в разделе "

Политика обновления BIND"

добавить запись:

В свойствах

соответствующей ОБРАТНОЙ зоны в том же разделе

"Политика обновления BIND" добавить запись:

Сохранить изменения и

перезапустить службы FreeIPA:

Настройка

isc-dhcp-server

Установить DHCP-сервер в соответствии с инструкциями. 

В файле настроек /etc/default/isc-dhcp-server указать интерфейс, через который должна работать служба:

Отредактировать файл конфигурации /etc/dhcp/dhcpd.conf (в примере подразумевается домен samdom.example.com и сеть 10.0.2.0/24 с адресом сервера FreeIPA/DNS 10.0.2.102):

range 10.0.2.10 10.0.2.20;

range 10.0.2.30 10.0.2.40;

После внесения изменений в конфигурационные файлы необходимо перезапускать

сервис DHCP:

Установка клиентов с включением автоматического обновления

DHCP-сервер передавая записи об адресах клиентов DNS-серверу подписывает переданные записи своим ключём. Это исключает возможность изменения "чужих" записей. Поэтому, чтобы динамическое обновление работало, нужно создать запись с помощью DHCP-сервера. Для этого нужно обновить адрес от имени полного доменного имени компьютера (FQDN). Это можно сделать следующими командами, выполняемыми до выполнения команды ввода клиента в домен:

где:

• client - имя клиентского компьютера;
• somedom.example.com - имя домена;
• client.somedom.example.com - полное доменное имя компьютера.

Эти команды должны быть выполнены до ввода компьютера в домен.

Проверка успешности настройки

Проверить работу динамического обновления можно запустив отдельный компьютер, настроенный на получение сетевого адреса по DHCP.
После включения такого компьютера и получения им адреса этот компьютер станет доступен по имени.
Например, для компьютера с именем client можно попробовать для проверки следующие команды: