33.10. 使用外部 DNS 时系统性更新 DNS 记录

1. 显示您必须更新的记录。使用 ipa dns-update-system-records --dry-run 命令。

   $ ipa dns-update-system-records --dry-run
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

2. 使用外部 DNS GUI 更新记录。

1. 使用带有 --out 选项的 ipa dns-update-system-records --dry-run 命令。选项指定要生成的文件路径：

   $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

   生成的文件包含 nsupdate 工具接受的格式所需的 DNS 记录。
2. 生成的记录依赖于：
   • 自动检测要更新记录的区域
   • 自动检测区域的权威服务器
   如果您使用 atypical DNS 设置，或者缺少区域委派，nsupdate 可能无法找到正确的区域和服务器。在这种情况下，在生成的文件开头添加以下选项：
   • server 指定 nsupdate 将记录发送到的权威 DNS 服务器的服务器名称或端口
   • zone 指定 nsupdate 放置记录的区域名称
   Example:

   $ cat dns_records_file.nsupdate
   zone example.com.
   server 192.0.2.1
   ; IPA DNS records
   update delete _kerberos-master._tcp.example.com. SRV
   update add _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

过程 33.1. 使用 TSIG 发送 nsupdate 请求安全

1. 请确定您满足以下先决条件：
   • 您的 DNS 服务器必须配置为 TSIG。请参阅以下服务器配置示例：BIND、PowerDNS
   • DNS 服务器及其客户端都必须具有共享密钥。
2. 运行 nsupdate，并使用以下选项之一提供共享 secret：
   • -k 提供 TSIG 身份验证密钥：

     $ nsupdate -k tsig_key.file dns_records_file.nsupdate

   • -Y 从密钥名称和 Base64 编码的共享 secret 中生成签名：

     $ nsupdate -y algorithm:keyname:secret dns_records_file.nsupdate

过程 33.2. 使用 GSS-TSIG 发送 nsupdate 请求安全

1. 请确定您满足以下先决条件：
   • 您的 DNS 服务器必须配置 GSS-TSIG。请参阅以下服务器配置示例：BIND、PowerDNS、Windows DNS.
   注意
   此流程假定 Kerberos V5 协议用作 GSS-API 的技术。
2. 要提交 DNS 更新请求，请使用允许更新记录的主体进行身份验证，并使用 -g 选项运行 nsupdate 来启用 GSS-TSIG 模式：

   $ kinit principal_allowed_to_update_records@REALM
   $ nsupdate -g dns_records_file.nsupdate