前置き
NSD 4.5.0 から IXFR の送信側機能が追加されています。（以前は非対応でした）
https://www.nlnetlabs.nl/news/2022/May/13/nsd-4.5.0-released/
NSD -> NSD の構成です。
プライマリサーバ: 192.168.182.10 は以下の手順で構築されたと仮定します。
セカンダリサーバー: 192.168.182.11 の環境は以下の通りです。
OS: Rocky Linux 9.5
NSD 4.12.0
SELinux 有効
プライマリサーバーの設定
セカンダリサーバーの NS を追加します。
ゾーンファイルの編集時は必ずシリアルナンバーを増加させましょう。
/etc/nsd/zone/example.com.zone
$ORIGIN example.com.
$TTL 3600
@ IN SOA dns1.example.com. root.example.com. (
- 0 ; Serial
+ 1 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns1.example.com.
+ @ IN NS dns2.example.com.
dns1 IN A 192.168.182.10
+ dns2 IN A 192.168.182.11
dns-r IN A 192.168.182.12
/etc/nsd/zone/182.168.192.in-addr.arpa.zone
$ORIGIN 182.168.192.in-addr.arpa.
$TTL 3600
@ IN SOA dns1.example.com. root.example.com. (
- 0 ; Serial
+ 1 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns1.example.com.
+ @ IN NS dns2.example.com.
10 IN PTR dns1.example.com.
+ 11 IN PTR dns2.example.com.
12 IN PTR dns-r.example.com.
ゾーンファイルが正しいか確認して、リロードさせます。
# nsd-checkzone example.com. /etc/nsd/zone/example.com.zone
# nsd-checkzone 182.168.192.in-addr.arpa /etc/nsd/zone/182.168.192.in-addr.arpa.zone
# nsd-control reload
TSIG 鍵を生成します。
NSD には TSIG 鍵を生成するようなツールがないため、bind-utils の tsig-keygen を使います。
生成した TSIG 鍵はセカンダリサーバーの設定でも使用するので、メモしておきましょう。（コマンドの結果のsecret "<この文字列>" が TSIG 鍵です。）
# dnf install bind-utils
# tsig-keygen -a hmac-sha512 xfr_notify
以下のような定義ファイルを作成します。
TSIG 鍵の追加、notify の送出先の設定、XFR によるゾーン転送の許可と、NSD 特有の IXFR を有効にする設定を行っています。
/etc/nsd/tsig-key.conf
key:
name: xfr_notify
algorithm: hmac-sha512
secret: <TSIG 鍵>
/etc/nsd/nsd.conf
server:
ip-address: 192.168.182.10
ip-address: 127.0.0.1
reuseport: yes
do-ip6: no
server-count: 2 # システムのCPUコア数に合わせる
tcp-count: 1000 # チューニング事項
tcp-reject-overflow: yes
tcp-timeout: 3
username: nsd
logfile: /var/log/nsd.log
verbosity: 3
hide-identity: yes
hide-version: yes
remote-control: # nsd-control の設定
control-enable: yes
control-interface: 127.0.0.1
pattern:
name: acl_query
allow-query: 192.168.182.0/24 NOKEY # TSIG 鍵無しでこのサブネットからのクエリを受け付ける
allow-query: 192.168.207.0/24 NOKEY
allow-query: 127.0.0.0/8 NOKEY
+ include: /etc/nsd/tsig-key.conf
+ pattern:
+ name: conf_xfr_notify_out
+ notify: 192.168.182.11 xfr_notify
+ provide-xfr: 192.168.182.11 xfr_notify
+ store-ixfr: yes
+ create-ixfr: yes
zone:
name: example.com.
zonefile: /etc/nsd/zone/example.com.zone
include-pattern: acl_query
+ include-pattern: conf_xfr_notify_out
zone:
name: 182.168.192.in-addr.arpa.
zonefile: /etc/nsd/zone/182.168.192.in-addr.arpa.zone
include-pattern: acl_query
+ include-pattern: conf_xfr_notify_out
TSIG 鍵が意図しないユーザーから閲覧されないよう、所有者とパーミッションを変更します。
その後、定義ファイルの内容をチェックし、リロードします。
# chown nsd:nsd /etc/nsd/tsig-key.conf
# chmod 600 /etc/nsd/tsig-key.conf
# nsd-checkconf /etc/nsd/nsd.conf
# nsd-control reconfig
セカンダリサーバー側の設定
インストール、初期設定まではプライマリサーバーと概ね同様です。
TSIG 鍵を追加し、notify を受け入れる設定を記述した以下の定義ファイルを作成します。
/etc/nsd/tsig-key.conf
key:
name: xfr_notify
algorithm: hmac-sha512
secret: <TSIG 鍵>
/etc/nsd/nsd.conf
server:
ip-address: 192.168.182.11
ip-address: 127.0.0.1
reuseport: yes
do-ip6: no
server-count: 2 # システムのCPUコア数に合わせる
tcp-count: 1000 # チューニング事項
tcp-reject-overflow: yes
tcp-timeout: 3
username: nsd
logfile: /var/log/nsd.log
verbosity: 3
hide-identity: yes
hide-version: yes
zonefiles-write: 1
remote-control: # nsd-control の設定
control-enable: yes
control-interface: 127.0.0.1
include: /etc/nsd/tsig-key.conf
pattern:
name: acl_query
allow-query: 192.168.182.0/24 NOKEY # TSIG 鍵無しでこのサブネットからのクエリを受け付ける
allow-query: 192.168.207.0/24 NOKEY
allow-query: 127.0.0.0/8 NOKEY
pattern:
name: conf_xfr_notify_in
allow-notify: 192.168.182.10 xfr_notify
request-xfr: 192.168.182.10 xfr_notify
zone:
name: example.com.
zonefile: /etc/nsd/zone/example.com.zone
include-pattern: acl_query
include-pattern: conf_xfr_notify_in
zone:
name: 182.168.192.in-addr.arpa.
zonefile: /etc/nsd/zone/182.168.192.in-addr.arpa.zone
include-pattern: acl_query
include-pattern: conf_xfr_notify_in
TSIG 鍵のパーミッションの変更後、定義ファイルをチェックし、FW の通信許可を設定して NSD を起動します。
# chown nsd:nsd -R /etc/nsd
# chmod 600 /etc/nsd/tsig-key.conf
# nsd-checkconf /etc/nsd/nsd.conf
# firewall-cmd --add-service=dns --permanent
# firewall-cmd --reload
# systemctl enable nsd
# systemctl start nsd
確認
セカンダリサーバーの起動後すぐに AXFR によるゾーン転送が行われています。
[2025-05-09 14:35:42.892] nsd[11831]: info: request full zone transfer (AXFR) for example.com. to 192.168.182.10
[2025-05-09 14:35:42.893] nsd[11831]: info: request full zone transfer (AXFR) for 182.168.192.in-addr.arpa. to 192.168.182.10
[2025-05-09 14:35:42.897] nsd[11831]: info: xfrd: zone example.com. committed "received update to serial 1 at 2025-05-09T14:35:42 from 192.168.182.10 TSIG verified with key xfr_notify"
[2025-05-09 14:35:42.899] nsd[11831]: info: xfrd: zone 182.168.192.in-addr.arpa. committed "received update to serial 1 at 2025-05-09T14:35:42 from 192.168.182.10 TSIG verified with key xfr_notify"
[2025-05-09 14:35:42.900] nsd[11832]: info: zone example.com. received update to serial 1 at 2025-05-09T14:35:42 from 192.168.182.10 TSIG verified with key xfr_notify of 198 bytes in 0.000115 seconds
[2025-05-09 14:35:42.900] nsd[11832]: info: zone 182.168.192.in-addr.arpa. received update to serial 1 at 2025-05-09T14:35:42 from 192.168.182.10 TSIG verified with key xfr_notify of 225 bytes in 7.9e-05 seconds
[2025-05-09 14:35:42.909] nsd[11831]: info: zone 182.168.192.in-addr.arpa. serial 0 is updated to 1
[2025-05-09 14:35:42.909] nsd[11831]: info: zone example.com. serial 0 is updated to 1
[2025-05-09 14:35:43.825] nsd[11832]: info: writing zone 182.168.192.in-addr.arpa. to file /etc/nsd/zone/182.168.192.in-addr.arpa.zone
[2025-05-09 14:35:43.825] nsd[11832]: info: zone 182.168.192.in-addr.arpa. written to file /etc/nsd/zone/182.168.192.in-addr.arpa.zone
[2025-05-09 14:35:43.825] nsd[11832]: info: writing zone example.com. to file /etc/nsd/zone/example.com.zone
[2025-05-09 14:35:43.825] nsd[11832]: info: zone example.com. written to file /etc/nsd/zone/example.com.zone
各クエリに対してプライマリサーバーと同じ応答が返ってくることが確認できます。
Resolve-DnsName dns1.example.com. -server 192.168.182.11
Name Type TTL Section IPAddress
---- ---- --- ------- ---------
dns1.example.com A 3600 Answer 192.168.182.10
Name : example.com
QueryType : NS
TTL : 3600
Section : Authority
NameHost : dns1.example.com
Name : example.com
QueryType : NS
TTL : 3600
Section : Authority
NameHost : dns2.example.com
dns2.example.com A 3600 Additional 192.168.182.11
Resolve-DnsName example.com. -server 192.168.182.11
Name Type TTL Section PrimaryServer NameAdministrator SerialNumber
---- ---- --- ------- ------------- ----------------- ------------
example.com SOA 900 Authority dns1.example.com root.example.com 1
Resolve-DnsName 182.168.192.in-addr.arpa. -server 192.168.182.11
Name Type TTL Section PrimaryServer NameAdministrator SerialNumber
---- ---- --- ------- ------------- ----------------- ------------
182.168.192.in-addr.arpa SOA 900 Authority dns1.example.com root.example.com 1
Resolve-DnsName 192.168.182.10 -server 192.168.182.11
Name Type TTL Section NameHost
---- ---- --- ------- --------
10.182.168.192.in-addr.arpa PTR 3600 Answer dns1.example.com
182.168.192.in-addr.arpa NS 3600 Authority dns1.example.com
182.168.192.in-addr.arpa NS 3600 Authority dns2.example.com
ACL、TSIG の確認
セカンダリサーバーから TSIG 鍵無しの AXFR 要求を送ると失敗しますが、
# dig example.com. @192.168.182.10 axfr
; <<>> DiG 9.16.23-RH <<>> example.com. @192.168.182.10 axfr
;; global options: +cmd
; Transfer failed.
TSIG 鍵を付与すればゾーンが転送されます。
# dig example.com. -y hmac-sha512:xfr_notify:<TSIG 鍵> @192.168.182.10 axfr
; <<>> DiG 9.16.23-RH <<>> example.com. -y hmac-sha512:xfr_notify:<TSIG 鍵> @192.168.182.10 axfr
;; global options: +cmd
example.com. 3600 IN SOA dns1.example.com. root.example.com. 1 900 600 86400 900
example.com. 3600 IN NS dns1.example.com.
example.com. 3600 IN NS dns2.example.com.
dns-r.example.com. 3600 IN A 192.168.182.12
dns1.example.com. 3600 IN A 192.168.182.10
dns2.example.com. 3600 IN A 192.168.182.11
example.com. 3600 IN SOA dns1.example.com. root.example.com. 1 900 600 86400 900
xfr_notify. 0 ANY TSIG hmac-sha512. 1746769056 300 64 0NMlcnWXpcYrAlbKZKmz89Q7HSIEI1Ki/tTwRFnvfUt3qxCmzxKDWAWw b7KCGKEujfz6YtNwEWg/FOSdQS2eOg== 235 NOERROR 0
;; Query time: 0 msec
;; SERVER: 192.168.182.10#53(192.168.182.10)
;; WHEN: Fri May 09 14:37:36 JST 2025
;; XFR size: 7 records (messages 1, bytes 324)
これを他サーバー（以下は 192.168.207.132 上の Ubuntu）から要求すると失敗します。
# dig example.com. -y hmac-sha512:xfr_notify:<TSIG 鍵> @192.168.182.10 axfr
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> example.com. -y hmac-sha512:xfr_notify:<TSIG 鍵> @192.168.182.10 axfr
;; global options: +cmd
xfr_notify. 0 ANY TSIG hmac-sha512. 1746769100 300 64 KmirYyPrkG2VnIbmy1HDeXc9We3/57K1Mz3XgPHXW6/KyLsEe1F9mtKf ZpiBzwtriGE3W/NxdWSZRZHWiLKEfA== 39054 NOERROR 0
; Transfer failed.
ゾーンを更新してみる
ゾーンファイルを書き換えます。
/etc/nsd/zone/example.com.zone
$ORIGIN example.com.
$TTL 3600
@ IN SOA dns1.example.com. root.example.com. (
- 1 ; Serial
+ 2 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns1.example.com.
@ IN NS dns2.example.com.
dns1 IN A 192.168.182.10
dns2 IN A 192.168.182.11
dns-r IN A 192.168.182.12
+ dhcp IN A 192.168.182.15
/etc/nsd/zone/182.168.192.in-addr.arpa.zone
$ORIGIN 182.168.192.in-addr.arpa.
$TTL 3600
@ IN SOA dns1.example.com. root.example.com. (
- 1 ; Serial
+ 2 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns1.example.com.
@ IN NS dns2.example.com.
10 IN PTR dns1.example.com.
11 IN PTR dns2.example.com.
12 IN PTR dns-r.example.com.
+ 15 IN PTR dhcp.example.com.
ゾーンファイルが正しいか確認して、リロードさせます。
# nsd-checkzone example.com. /etc/nsd/zone/example.com.zone
# nsd-checkzone 182.168.192.in-addr.arpa /etc/nsd/zone/182.168.192.in-addr.arpa.zone
# nsd-control reload
プライマリサーバーのゾーンが更新されたため、notify が送られ、IXFR によるゾーン転送が発生します。
[2025-05-09 14:41:56.752] nsd[11842]: info: notify for 182.168.192.in-addr.arpa. from 192.168.182.10 serial 2
[2025-05-09 14:41:56.752] nsd[11842]: info: notify for example.com. from 192.168.182.10 serial 2
[2025-05-09 14:41:56.753] nsd[11831]: info: request incremental zone transfer (IXFR) for 182.168.192.in-addr.arpa. to 192.168.182.10
[2025-05-09 14:41:56.754] nsd[11831]: info: request incremental zone transfer (IXFR) for example.com. to 192.168.182.10
[2025-05-09 14:41:56.755] nsd[11831]: info: xfrd: zone 182.168.192.in-addr.arpa. committed "received update to serial 2 at 2025-05-09T14:41:56 from 192.168.182.10 TSIG verified with key xfr_notify"
[2025-05-09 14:41:56.760] nsd[11831]: info: xfrd: zone example.com. committed "received update to serial 2 at 2025-05-09T14:41:56 from 192.168.182.10 TSIG verified with key xfr_notify"
[2025-05-09 14:41:56.762] nsd[11832]: info: zone 182.168.192.in-addr.arpa. received update to serial 2 at 2025-05-09T14:41:56 from 192.168.182.10 TSIG verified with key xfr_notify of 229 bytes in 0.000441 seconds
[2025-05-09 14:41:56.762] nsd[11832]: info: zone example.com. received update to serial 2 at 2025-05-09T14:41:56 from 192.168.182.10 TSIG verified with key xfr_notify of 204 bytes in 7.9e-05 seconds
[2025-05-09 14:41:56.772] nsd[11831]: info: zone 182.168.192.in-addr.arpa. serial 1 is updated to 2
[2025-05-09 14:41:56.772] nsd[11831]: info: zone example.com. serial 1 is updated to 2
[2025-05-09 14:41:57.244] nsd[11832]: info: writing zone 182.168.192.in-addr.arpa. to file /etc/nsd/zone/182.168.192.in-addr.arpa.zone
[2025-05-09 14:41:57.244] nsd[11832]: info: zone 182.168.192.in-addr.arpa. written to file /etc/nsd/zone/182.168.192.in-addr.arpa.zone
[2025-05-09 14:41:57.244] nsd[11832]: info: writing zone example.com. to file /etc/nsd/zone/example.com.zone
[2025-05-09 14:41:57.245] nsd[11832]: info: zone example.com. written to file /etc/nsd/zone/example.com.zone
更新・追加されたレコードは以下の通り解決できます。
Resolve-DnsName dhcp.example.com. -server 192.168.182.11
Name Type TTL Section IPAddress
---- ---- --- ------- ---------
dhcp.example.com A 3600 Answer 192.168.182.15
Name : example.com
QueryType : NS
TTL : 3600
Section : Authority
NameHost : dns1.example.com
Name : example.com
QueryType : NS
TTL : 3600
Section : Authority
NameHost : dns2.example.com
dns1.example.com A 3600 Additional 192.168.182.10
dns2.example.com A 3600 Additional 192.168.182.11
Resolve-DnsName example.com. -server 192.168.182.11
Name Type TTL Section PrimaryServer NameAdministrator SerialNumber
---- ---- --- ------- ------------- ----------------- ------------
example.com SOA 900 Authority dns1.example.com root.example.com 2
Resolve-DnsName 192.168.182.15 -server 192.168.182.11
Name Type TTL Section NameHost
---- ---- --- ------- --------
15.182.168.192.in-addr.arpa PTR 3600 Answer dhcp.example.com
182.168.192.in-addr.arpa NS 3600 Authority dns1.example.com
182.168.192.in-addr.arpa NS 3600 Authority dns2.example.com
Resolve-DnsName 182.168.192.in-addr.arpa. -server 192.168.182.11
Name Type TTL Section PrimaryServer NameAdministrator SerialNumber
---- ---- --- ------- ------------- ----------------- ------------
182.168.192.in-addr.arpa SOA 900 Authority dns1.example.com root.example.com 2