BIND 9.3 下使用 TSIG key 简化 view 的设置

xing007008

呵呵.遇到问题还会找你.

gaochong

在此问下 ailms 兄 一个问题。
master用了 chroot,而slave没有用chroot,这样会有影响吗？
谢谢！

ailms

原帖由 gaochong 于 2007-1-15 14:56 发表
在此问下 ailms 兄 一个问题。
master用了 chroot,而slave没有用chroot,这样会有影响吗？
谢谢！

这个没有试过。不过我认为不会有影响。

master 只是告诉 slave 要更新数据了，至于 slave 此后把数据写到什么位置，这不是 master 可以控制的。

supereyes

加入精华，多谢楼主能提供这样好的实用性强、归纳性强的好文

[ 本帖最后由 supereyes 于 2007-4-3 18:10 编辑 ]

gracet3

主服务器信息：

Oct 30 22:33:41 ns named[5021]: client 10.0.1.1#32932: view ChinaNet: request has invalid signature: TSIG chinanetkey: tsig verify failure (BADKEY)
Oct 30 22:33:47 ns named[5021]: client 10.0.1.1#32932: view ChinaNet: request has invalid signature: TSIG cncnetkey: tsig verify failure (BADKEY)

从服务器信息：

Oct 30 22:26:19 se named[5539]: zone test.com/IN/ChinaNet: refresh: failure trying master 10.0.1.2#53 (source 0.0.0.0#0): clocks are unsynchronized
Oct 30 22:26:25 se named[5539]: zone test.com/IN/CNCNet: refresh: failure trying master 10.0.1.2#53 (source 0.0.0.0#0): clocks are unsynchronized


请问如何解决。。。TSIG key获取方式是在主DNS的机器上运行
dnssec-keygen -a HMAC-MD5 -b 128 -n HOST cncnetkey
dnssec-keygen -a HMAC-MD5 -b 128 -n HOST chinanetkey

不知是否正确，然后从服务器配置的key是从这个cp过去的。。。

[ 本帖最后由 gracet3 于 2007-10-30 22:43 编辑 ]

ailms

请检查时间是否同步

不好意思，很久不碰 DNS 了，只能记得这个

ruochen

一般的企业只是需要内部和外部的view吧
再加个default的view就应该够的
这个谁有好经验，共享下.


ISP的话应该是分服务商的，也就是电信/联通/铁通/...之分

nicsky

谢谢楼主了。

KnightE

一个问题搞了我一天，终于弄通了，写出来希望能给和我一样新的新手一点帮助。

问题症状是：
N个VIEW，有一个能同步，其他VIEW全部提示“BADKEY”，可任你设置这个KEY，一直提示错误。
查看NOTICE LOG，发现很奇怪的一个地方，主服务器在收到从服务器信息时，一律是能同步的那个VIEW的名字，再配上其他VIEW的KEY，当然一直错误了。
可为什么主服务器“不认”从服务器的VIEW，却又困扰了我好几个小时-__-!!
突然脑子一开窍，发现能同步的VIEW正是内网的VIEW……呵呵，高手们相信已经明白了，在我的VIEW的match-clients中，因为没有排除主、从服务器的IP，导致从服务器始终以内网VIEW向主服务器请求。简单用“！”排除出内网VIEW的范围即可。
其实是个小问题，因为缺乏经验（接触DNS服务器才两三天），很容易在小问题上栽跟头。
回头再看了看其他资料，其实也有提到将服务器IP从VIEW中去除的说明，只不过当时看的时候并没有明白用意。

算给本精华帖做个补充吧。Just for newbie:wink:

xuxic

楼主的配置是正确的，我是通过TSIG处理多view的同步的，我配置过程中不能同步的原因是：主服务器使用电信IP，从服务器使用网通IP, 后来把两台服务器的IP全改成电信的，就可以同步了。
当然解决过程中调了debug等级（rndc trace 5），也抓包分析过，修改了match-client等内容，最后还是没有同步起来，都改成电信IP才解决。
希望我经历能给大家带来一些借鉴，也希望大家帮我分析一下使用不同ISP的IP不成功的原因。