5.4.2. 使用 TSIG 身份验证配置动态 DNS 更新

在 IdM 服务器中启用对 DNS 区的外部更新

1. 在 IdM 服务器中，在 /etc/named.conf 文件的顶部添加以下内容：

   ########################################################################
   
   include "/etc/rndc.key";
   controls  {
   inet _IdM_Server_IP_Address_ port 953 allow { _Satellite_IP_Address_; } keys { "rndc-key"; };
   };
   ########################################################################

   Copy to Clipboard Toggle word wrap

2. 重新载入 named 服务以使更改生效：

   # systemctl reload named

   Copy to Clipboard Toggle word wrap

3. 在 IdM web UI 中，进入 Network Services > DNS > DNS Zones 并点区的名称。在 Settings 选项卡中，应用以下更改：

   1. 在 BIND 更新策略 框中添加以下内容：

      grant "rndc-key" zonesub ANY;

      Copy to Clipboard Toggle word wrap
   2. 将 Dynamic update 设置为 True。
   3. 点 Update 保存更改。

4. 将 /etc/rndc.key 文件从 IdM 服务器复制到 Satellite 服务器的基础操作系统。使用以下命令：

   # scp /etc/rndc.key root@satellite.example.com:/etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. 要为 rndc.key 文件设置正确的所有权、权限和 SELinux 上下文，请输入以下命令：

   # restorecon -v /etc/rndc.key
   # chown -v root:named /etc/rndc.key
   # chmod -v 640 /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. 将 foreman-proxy 用户手动分配给 指定组。通常, satellite-installer 可确保 foreman-proxy 用户属于 命名 UNIX 组，但在这种情形中，卫星不管理用户和组，因此您需要手动将 foreman-proxy 用户分配给指定组。

   # usermod -a -G named foreman-proxy

   Copy to Clipboard Toggle word wrap

7. 在控制台中，输入以下 satellite-installer 命令，将 Satellite 配置为使用外部 DNS 服务器：

   # satellite-installer --scenario satellite \
   --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="IdM_Server_IP_Address" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

   Copy to Clipboard Toggle word wrap

将外部更新测试到 IdM 服务器中的 DNS 区

1. 安装 bind-utils 工具：

   # yum install bind-utils

   Copy to Clipboard Toggle word wrap

2. 确保卫星服务器的 /etc/rndc.key 文件中的密钥与 IdM 服务器上的 /etc/rndc.key 文件中的密钥相同：

   key "rndc-key" {
           algorithm hmac-md5;
           secret "secret-key==";
   };

   Copy to Clipboard Toggle word wrap

3. 在卫星服务器上，为主机创建一个测试 DNS 条目。例如，在 IdM 服务器上具有 A 记录 192.168.25.20 的主机 test.example.com，地址为 192.168.25.1。

   # echo -e "server 192.168.25.1\n \
   update add test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

4. 在 Satellite 服务器中测试 DNS 条目：

   # nslookup test.example.com 192.168.25.1
   Server:		192.168.25.1
   Address:	192.168.25.1#53
   
   Name:	test.example.com
   Address: 192.168.25.20

   Copy to Clipboard Toggle word wrap
5. 要在 IdM web UI 中查看条目，请导航至 Network Services > DNS Zones。点区域的名称，并按名称搜索主机。

6. 如果成功解析，请删除测试 DNS 条目：

   # echo -e "server 192.168.25.1\n \
   update delete test.example.com 3600 IN A 192.168.25.20\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

7. 确认 DNS 条目已被删除：

   # nslookup test.example.com 192.168.25.1

   Copy to Clipboard Toggle word wrap

   如果成功删除了记录，上面的 nslookup 命令会失败并返回 SERVFAIL 错误消息。