Início / server / Perguntas / 874103
Accepted
nagylzs
Asked: 2017-09-18 05:43:09 +0800 CST

bind9: rndc freeze: chave redefinida?

  • 772

Eu tenho este arquivo rnd.key no meu sistema:

key "rndc-key1" {
    algorithm hmac-md5;
    secret "xxxxxxxxxxxxxxx==";
};
key "rndc-key2" {
        algorithm hmac-md5;
        secret "yyyyyyyyyyy==";
};

Então eu os uso para diferentes zonas:

zone "somedomain1.com" {
    type master;
    file "/etc/bind/master/db.somedomain1.com";
    allow-update {
    key rndc-key1;
    };
};


zone "somedomain2.com" {
    type master;
    file "/etc/bind/master/db.somedomain2.com";
    allow-update {
    key rndc-key2;
    };
};

Quando tento executar "rndc freeze", recebo este erro:

rndc: error: /etc/bind/rndc.key:5: 'key' redefined near 'key'
rndc: could not load rndc configuration

O que isto significa? Qual é o problema aqui? Não é possível usar teclas diferentes para zonas diferentes?

bind

1 respostas

  1. Best Answer

    Parece que você não entendeu o propósito da rndcchave.
    Muito possivelmente, esse mal-entendido decorre da leitura de um dos muitos tutoriais escritos de maneira descuidada que corta cantos ao usar mal uma chave já existente (a rndcchave) criada para um propósito específico em um contexto totalmente diferente, sem sequer comentar sobre esse uso indevido.

    A rndcchave deve ter UM propósito, deve ser usada pelo rndcutilitário e namedpara que rndcpossa enviar comandos de controle para named(por exemplo rndc reload, rndc freezeou qualquer outro).

    Esta chave NÃO deve ser usada para atualizações dinâmicas (como em allow-update).

    NÃO deve haver várias chaves no rndc.keyarquivo.

    No entanto, você está livre, encorajado se quiser, para adicionar qualquer número de keyinstruções para suas chaves TSIG à namedconfiguração ( named.conf). Estas são as que você deve usar para propósitos como atualizações dinâmicas, transferências de zona, etc.
    Eu sugiro que você nomeie essas chaves de algo que reflita seu uso.

    Se você tiver uma versão moderna do BIND, basta usar tsig-keygen foopara criar uma nova chave. É mais conveniente e possui padrões sensatos ( hmac-sha256em vez das hmac-md5chaves que você criou).

    • 2

relate perguntas