33.10. 외부 DNS를 사용할 때 DNS 레코드를 체계적으로 업데이트

1. 업데이트해야 하는 레코드를 표시합니다. ipa dns-update-system- recordss --dry-run 명령을 사용합니다.
   Copy to Clipboard Toggle word wrap

   $ ipa dns-update-system-records --dry-run
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

2. 외부 DNS GUI를 사용하여 레코드를 업데이트합니다.

1. ipa dns-update-system- recordss --dry-run 명령을 --out 옵션과 함께 사용합니다. 옵션은 생성할 파일의 경로를 지정합니다.
   Copy to Clipboard Toggle word wrap

   $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

   생성된 파일에는 nsupdate 유틸리티에서 수락한 형식의 필수 DNS 레코드가 포함되어 있습니다.
2. 생성된 레코드는 다음과 같습니다.
   • 레코드를 업데이트할 영역의 자동 감지
   • 영역의 권한 있는 서버 자동 감지
   atypical DNS 설정을 사용 중이거나 영역 위임이 누락된 경우 nsupdate 에서 올바른 영역과 서버를 찾지 못할 수 있습니다. 이 경우 생성된 파일의 시작 부분에 다음 옵션을 추가합니다.
   • server 는 nsupdate 가 레코드를 전송하는 권한 있는 DNS 서버의 서버 이름 또는 포트를 지정합니다.
   • zone 은 nsupdate 가 레코드를 배치하는 영역의 영역 이름을 지정합니다.
   예:
   Copy to Clipboard Toggle word wrap

   $ cat dns_records_file.nsupdate
   zone example.com.
   server 192.0.2.1
   ; IPA DNS records
   update delete _kerberos-master._tcp.example.com. SRV
   update add _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

절차 33.1. TSIG를 사용하여 보안 된 nsupdate 요청 전송

1. 다음 사전 요구 사항을 충족해야 합니다.
   • DNS 서버는 TSIG용으로 구성해야 합니다. 다음 서버 설정 예제를 참조하십시오. BIND, PowerDNS
   • DNS 서버와 클라이언트에는 모두 공유 키가 있어야 합니다.
2. nsupdate 를 실행하고 다음 옵션 중 하나를 사용하여 공유 시크릿을 제공합니다.
   • -K: TSIG 인증 키를 제공:
     Copy to Clipboard Toggle word wrap

     $ nsupdate -k tsig_key.file dns_records_file.nsupdate

   • -Y: 키 이름 및 Base64로 인코딩된 공유 보안에서 서명을 생성합니다.
     Copy to Clipboard Toggle word wrap

     $ nsupdate -y algorithm:keyname:secret dns_records_file.nsupdate

절차 33.2. GSS-TSIG를 사용하여 보안된 nsupdate 요청 전송

1. 다음 사전 요구 사항을 충족해야 합니다.
   • GSS-TSIG에 맞게 DNS 서버를 구성해야 합니다. 다음 서버 설정 예제를 참조하십시오. BIND, PowerDNS, Windows DNS.
   참고
   이 절차에서는 Kerberos V5 프로토콜이 GSS-API의 기술로 사용된다고 가정합니다.
2. DNS 업데이트 요청을 제출하려면 레코드를 업데이트할 수 있는 보안 주체로 인증하고 -g 옵션으로 nsupdate 를 실행하여 GSS-TSIG 모드를 활성화합니다.
   Copy to Clipboard Toggle word wrap

   $ kinit principal_allowed_to_update_records@REALM
   $ nsupdate -g dns_records_file.nsupdate