En una entrada anterior vimos cómo configurar a un servidor DNS BIND para contener un dominio, el loopback y una zona con los servidores raíz de Internet.
En esta ocasión veremos cómo activar el rndc y la actualización dinámica (DDNS).
Para esto utilizaré dos equipos Solaris 10, uno contendrá el servidor y otro lo utilizaremos como cliente.
Además del archivo con los servidores raíz (db.cache) y del loopback (db.127.0.0) voy a crear dos archivos más, uno para el dominio y otro para la resolución inversa de mi red local (192.168.100.0/24)
db.unixymas.com.mx
$TTL 3h
; Zona unixymas.com.mx
@ IN SOA draco.unixymas.com.mx. administrator.unixymas.com.mx. (
01 ; serial
3h ; refresh
1h ; retry
1w ; expire
1h ) ; negative ttl
@ IN NS draco.unixymas.com.mx.
draco IN A 192.168.100.10
db.192.168.100
$TTL 3h
; Zona 100.168.192.in-addr.arpa
@ IN SOA draco.unixymas.com.mx. administrator.unixymas.com.mx. (
01 ; serial
3h ; refresh
1h ; retry
1w ; expire
1h ) ; negative ttl
@ IN NS draco.unixymas.com.mx.
10 IN PTR draco.unixymas.com.mx.
Observen que en realidad los dos archivos solo contienen los registros SOA y NS, esto es porque los vamos a actualizar en forma dinámica.
Para actualizar en forma dinámica una zona es necesario otorgarle la autoridad a la zona mediante la opción allow-update en el archivo de configuración /etc/named.conf . Se le puede otorgar la autoridad a una IP, a una lista; pero la forma más segura es por medio de una llave. Dicha llave es una cadena cifrada con el algoritmo HMAC-MD5.
Lo primero es crear la llave por medio del comando dnssec-keygen en la forma: dnssec-keygen –a HMAC-MD5 –b 128 –n HOST llave
| # dnssec-keygen -a HMAC-MD5 -b 128 -n HOST update-key |
Con este comando generamos 2 archivos uno con terminación .key y otro con .private . En el caso de este algoritmo en realidad los dos archivos contienen información similar, vamos a revisar el .private
Kupdate-key.+157+04139.private
Private-key-format: v1.2
Algorithm: 157 (HMAC_MD5)
Key: onuHJl6U5lqKEk8/9mbMQw==
Bits: AAA=
La cadena señalada como key es la que vamos a utilizar.
El archivo de configuración queda de la siguiente forma:
options {
directory "/var/named";
};
zone "." {
type hint;
file "db.cache";
};
zone "0.0.127.in.addr.arpa" {
type master;
file "db.127.0.0";
};
zone "unixymas.com.mx" {
type master;
file "db.unixymas.com.mx";
allow-update { key "update-key"; };
};
zone "100.168.192.in-addr.arpa" {
type master;
file "db.192.168.100";
allow-update { key "update-key"; };
};
key "update-key" {
algorithm hmac-md5;
secret "onuHJl6U5lqKEk8/9mbMQw==";
};
Ahora ya podemos iniciar el BIND, desde otro equipo, en el que ya configuramos al servidor draco.unixymas.com.mx como su servidor de dominio, vamos a agregar un nuevo nombre por medio del comando nsupdate en la formal: nsupdate –k archivo.key ó nsupdate –k archivo.private
Esto nos va a llevar al modo interactivo, desde el cual, podemos agregar o eliminar nombres con los siguientes comandos:
update add nombre ttl tipo dato
update delete nombre
En este ejemplo, vamos a agregar una dirección en el dominio unixymas.com.mx
| # nsupdate -k Kupdate-key.+157+04139.private |
La línea en blanco al final, le indica que ejecute el cambio.
Para la resolución inversa la actualización es similar:
| # nsupdate -k Kupdate-key.+157+04139.private |
Ahora vamos a ver cómo se activa el rndc, necesitamos como requisito indispensable una llave, puede ser la misma para el DNS dinámico, pero en este ejemplo vamos a crear una nueva:
| # dnssec-keygen -a HMAC-MD5 -b 128 -n HOST rndc-key |
Ahora vamos a activarlo en el archivo de configuración con la opción controls, el archivo queda finalmente así:
/etc/named.conf
options {
directory "/var/named";
};
zone "." {
type hint;
file "db.cache";
};
zone "0.0.127.in.addr.arpa" {
type master;
file "db.127.0.0";
};
zone "unixymas.com.mx" {
type master;
file "db.unixymas.com.mx";
allow-update { key "update-key"; };
};
zone "100.168.192.in-addr.arpa" {
type master;
file "db.192.168.100";
allow-update { key "update-key"; };
};
key "update-key" {
algorithm hmac-md5;
secret "onuHJl6U5lqKEk8/9mbMQw==";
};
controls {
inet * allow { any; } keys { "rndc-key"; };
};
key "rndc-key" {
algorithm hmac-md5;
secret "5V73kf47NK6HjvygCjCJ9w==";
};
En el cliente, es necesario crear el archivo /etc/rndc.conf
/etc/rndc.conf
options {
default-server 192.168.100.10;
default-key "rndc-key";
};
key "rndc-key" {
algorithm hmac-md5;
secret "5V73kf47NK6HjvygCjCJ9w==";
};
Por último observen que los archivos de zona ya fueron actualizados por el BIND:
db.unixymas.com.mx
$ORIGIN .
$TTL 10800 ; 3 hours
unixymas.com.mx IN SOA draco.unixymas.com.mx. administrator.unixymas.com.mx. (
2 ; serial
10800 ; refresh (3 hours)
3600 ; retry (1 hour)
604800 ; expire (1 week)
3600 ; minimum (1 hour)
)
NS draco.unixymas.com.mx.
$ORIGIN unixymas.com.mx.
draco A 192.168.100.10
equuleus A 192.168.100.20
db.192.168.100
$ORIGIN .
$TTL 10800 ; 3 hours
100.168.192.in-addr.arpa IN SOA draco.unixymas.com.mx. administrator.unixymas.com.mx. (
2 ; serial
10800 ; refresh (3 hours)
3600 ; retry (1 hour)
604800 ; expire (1 week)
3600 ; minimum (1 hour)
)
NS draco.unixymas.com.mx.
$ORIGIN 100.168.192.in-addr.arpa.
10 PTR draco.unixymas.com.mx.
20 PTR equuleus.unixymas.com.mx.
![Image [2]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhJQROXBV8ZGEQdcqhjWYueGUBfdL3dpGAggJcWaPvcd0jsrSDbnu972Zy9D-Dh6daVMGjIwAEyKD5KyT5RCDw8lx9JdQkDGXXijdMhdINufVXd67OoGsL6SmK8pA8zNZoXWcTuJlbqmcA/s1600-h/Image%252520%25255B2%25255D%25255B3%25255D.png "Image [2]")
![Image [3]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhuL5wJFBNG9_R6paZ316yHtDhcYfcCUM4z4dX-LC3KCnS7wmnx4cDXFt7WUpcG3_lVQE8QQ0BBv5gily-LWdsMiWF6GjADjhX3klqmIaqTit7BcG3vphwNkcUz3R9KiMS3Jr2iOoIVj-s/s1600-h/Image%252520%25255B3%25255D%25255B2%25255D.png "Image [3]")
![Image [4]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjGf0AcDwx2wOLK03WmIAkDhvZ5-mIQ2ejlWBozWLAPaMOQXo1ONEl-l1dCxq2vqeFXe2EnoCQt6GbdrKJcKx8_cHHKOR4IiRVy-U756jHxrhPLi9qLAUhQI_eSEWYHfLpcCkGIm1_HozU/s1600-h/Image%252520%25255B4%25255D%25255B5%25255D.png "Image [4]")
![Image [5]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiq14t1NfniChqxRMd2gxvAde9GCnUU1T3onvgIpHabwo7zm3Pl4AmKVPougdTS_U3XkfM2v_LKIConZpO7oLjQKxTS8zbElnID4il2NeHWZXJaSeKA0lmdkrnDeAoCQhJj5kUnSHskSVA/s1600-h/Image%252520%25255B5%25255D%25255B4%25255D.png "Image [5]")
![Image [6]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg5IffUnDrmNjgyWDVhWfiMYVGdudtEBRtfa5KqTQvB9ilVctX-BiHofImJxKT7cuc5adPIEQXOakaSm6iV_wR0E6BDitwxeLSfEnbqknM9IPymcfp7jGOJWFg4k7yIewQliBhgmTxrOCE/s1600-h/Image%252520%25255B6%25255D%25255B3%25255D.png "Image [6]")
![Image [7]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgEVxjTMXA1VmPSCFEWoEC3t2fcjnZPku2eyse5rsv3uGTLsGUQS3P0fAMTQWjrZoI9DPvXYVAAlCSmenq36abUo7jhYxMpoPFEhxiGyu6UltD3EmA359jlfSmIGI6N03ygOJYZ65v3dsQ/s1600-h/Image%252520%25255B7%25255D%25255B3%25255D.png "Image [7]")
![Image [8]](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjsUk9oCFwkM1dfuHi1Ox7j8W5fLA0ghEnKK4c6F0zpBDMOYF-m1DXOQAmx-1ZHpV8r316ajCP3cZiXeb2I7MCQ_GM7D3Z-lT7MRuusm9jlJsXMj_Lw3JPVRGmGqwWnJoTMdFovkqN-Bq4/s1600-h/Image%252520%25255B8%25255D%25255B3%25255D.png "Image [8]")