BIND安装之后rndc远程管理无法通信

jim.ma

rndc.conf 里的字符串 KEY 与 rndc.key 内的一致。 也与远程服务器上的named.conf 里的一致。

防火墙已经开放了 953:TCP

环境两台PC服务器，内网IP分别是 192.168.1.170 , 192.168.1.169
170 和 169 都装有bind . 希望使用170上的 rndc 管理 169上的BIND。
170管理自己本机的没问题。


下面是 170 的 rndc.conf  和  169的 named.conf

1. # 192.168.1.170  /etc/rndc.conf
   
2. key "rndckey" {
   
3.   algorithm hmac-md5;
   
4.   secret "hicYxUdVMusnLMXOtxaOFAJ3lti7AP5owkraSo1R6fegMNF0JDdfx6KK3NzG";
   
5. };
   
6. 
   
7. 
   
8. key "192-168-1-170" {
   
9.         algorithm hmac-md5;
   
10.         secret "RFofx10uP15XfechRjB5ASuEwPH0cyX9lbv9VXDeNYM1RDolOeusDTsmdLG1";
    
11. };
    
12. 
    
13. server 192.168.1.169 {
    
14.         key "192-168-1-170";
    
15. };
    
16. 
    
17. options {
    
18.   default-key "rndckey";
    
19.   default-server 127.0.0.1;
    
20.   default-port 953;
    
21. };
    

复制代码

1. # 192.168.1.169 /var/named/chroot/etc/named.conf
   
2. 
   
3. options {
   
4.         directory "/var/named";
   
5.         pid-file "/var/run/named.pid";
   
6.         dump-file "/var/named/data/cache_dump.db";
   
7.         statistics-file "/var/named/data/named_stats.txt";
   
8.         recursion no;
   
9.          // query-source address * port 53;
   
10.         allow-query {any;};
    
11. 
    
12. };
    
13. 
    
14. 
    
15. controls {
    
16.         inet 127.0.0.1 port 953
    
17.                 allow {127.0.0.1;} keys {"rndckey";};
    
18.         inet 192.168.1.169  port 953
    
19.                 allow { 192.168.1.170; } keys { "192-168-1-170"; };
    
20. 
    
21. };
    
22. 
    
23. 
    
24. zone "." IN {
    
25.         type hint;
    
26.         file "named.ca";
    
27. };
    
28. 
    
29. zone "localdomain" IN {
    
30.         type master;
    
31.         file "localdomain.zone";
    
32.         allow-update { none; };
    
33. };
    
34. 
    
35. zone "localhost" IN {
    
36.         type master;
    
37.         file "localhost.zone";
    
38.         allow-update { 127.0.0.1 ; };
    
39. };
    
40. 
    
41. zone "0.0.127.in-addr.arpa" IN {
    
42.         type master;
    
43.         file "named.local";
    
44.         allow-update { none; };
    
45. };
    
46. 
    
47. zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
    
48.         type master;
    
49.         file "named.ip6.local";
    
50.         allow-update { none; };
    
51. };
    
52. 
    
53. zone "255.in-addr.arpa" IN {
    
54.         type master;
    
55.         file "named.broadcast";
    
56.         allow-update { none; };
    
57. };
    
58. 
    
59. zone "0.in-addr.arpa" IN {
    
60.         type master;
    
61.         file "named.zero";
    
62.         allow-update { none; };
    
63. };
    
64. 
    
65. key "rndckey" {
    
66.         algorithm       hmac-md5;
    
67.         secret          "RFofx10uP15XfechRjB5ASuEwPH0cyX9lbv9VXDeNYM1RDolOeusDTsmdLG1";
    
68. };
    
69. key "192-168-1-170" {
    
70.         algorithm       hmac-md5;
    
71.         secret          "RFofx10uP15XfechRjB5ASuEwPH0cyX9lbv9VXDeNYM1RDolOeusDTsmdLG1";
    
72. };

复制代码

连接无法通信。


[root@test003 etc]# rndc -s 192.168.1.169  -V status
create memory context
create socket manager
create task manager
create task
create logging context
setting log tag
creating log channel
enabling log channel
create parser
get key for server
get config key list
decode base64 secret
status
post event
using server 192.168.1.169 (192.168.1.169#953)
create socket
connect
create message
render message
schedule recv
send message
rndc: connection to remote host closed
This may indicate that the remote server is using an older version of
the command protocol, this host is not authorized to connect,
or the key is invalid.

希望高能能指点一下。感谢。

llzqq

注意一下两台服务器的时钟是否一致。

另外确认一下169上的TCP:953是否监听在192.168.1.169上（netstat -an）

jim.ma

回复 2# llzqq


    问题解决， 确实是两台服务器的时钟不一致导致的。 感谢 llzqq 。

    还有个问题，key的ID 在 rndc.conf 和 named.conf 是否也要一致 ？

下面红色部分：
key "my170" {
        algorithm hmac-md5;
        secret "RFofx10uP15XfechRjB5ASuEwPH0cyX9lbv9VXDeNYM1RDolOeusDTsmdLG1";
};

多台服务器用一个rndc 可不可以直接用参数载入 key文件的方式连接。 我试了几次都没成功
例如:
rndc-s 192.168.1.169 -k /etc/192-168-1-169.key -y 192-168-1-170 -V status
当我注销掉rndc.conf对应的项目采用文件时就失败了。

llzqq

KEY的名字要一致。