使用rndc

rndc是BIND安装包提供的一种控制域名服务运行的工具，它可以运行在其他计算机上，通过网络与DNS服务器进行连接，然后根据管理员的指令对named进程进行远程控制，此时，管理员不需要DNS服务器的根用户权限。

使用rndc可以在不停止DNS服务器工作的情况进行数据的更新，使修改后的配置文件生效。在实际情况下，DNS服务器是非常繁忙的，任何短时间的停顿都会给用户的使用带来影响。因此，使用rndc工具可以使DNS服务器更好地为用户提供服务。

rndc与DNS服务器实行连接时，需要通过数字证书进行认证，而不是传统的用户名/密码方式。在当前版本下，rndc和named都只支持HMAC-MD5认证算法，在通信两端使用共享密钥。rndc在连接通道中发送命令时，必须使用经过服务器认可的密钥加密。为了生成双方都认可的密钥，可以使用rndc-confgen命令产生密钥和相应的配置，再把这些配置分别放入named.conf和rndc的配置文件rndc.conf中，具体操作步骤如下所示。

（1）执行rndc-confgen命令，得到密钥和相应的配置。

  1. # rndc-confgen   
  2. # Start of rndc.conf  
  3. key "rndckey" {  
  4.   algorithm hmac-md5;  
  5.   secret "TKuaJSEo58zohJBfrdF7dQ==";  
  6. };  
  7.  
  8. options {  
  9.   default-key "rndckey";  
  10.   default-server 127.0.0.1;  
  11.   default-port 953;  
  12. };  
  13. # End of rndc.conf  
  14.  
  15. # Use with the following in named.conf, 
    adjusting the allow list as needed:  
  16. # key "rndckey" {  
  17. #       algorithm hmac-md5;  
  18. #       secret "TKuaJSEo58zohJBfrdF7dQ==";  
  19. # };  
  20. #   
  21. # controls {  
  22. #       inet 127.0.0.1 port 953  
  23. #              allow { 127.0.0.1; } keys { "rndckey"; };  
  24. # };  
  25. # End of named.conf 

（2）在/etc目录下创建rndc.conf文件，根据提示输入上述输出中不带注释的内容。

  1. # vi  /etc/rndc.conf  
  2. key "rndckey" {  
  3.   algorithm hmac-md5;  
  4.   secret "TKuaJSEo58zohJBfrdF7dQ==";  
  5. };  
  6.  
  7. options {  
  8.   default-key "rndckey";  
  9.   default-server 127.0.0.1;  
  10.   default-port 953;  
  11. }; 

（3）根据提示，把下列内容放入原有的/etc/named.conf文件后面。

  1. key "rndckey" {  
  2.       algorithm hmac-md5;  
  3.       secret "TKuaJSEo58zohJBfrdF7dQ==";  
  4. };  
  5.  
  6. controls {  
  7.       inet 127.0.0.1 port 953  
  8.              allow { 127.0.0.1; } keys { "rndckey"; };  
  9. }; 

（4）重启named进程后，就可以使用rndc工具对named进行控制了。例如，下面的命令可以使named重新装载配置文件和区文件。

  1. # rndc reload  
  2. server reload successful  
  3. # 

此外，所有rndc支持的命令及帮助信息可以通过不带参数的rndc命令显示。

  1. [root@localhost named]# rndc  
  2. Usage: rndc [-c config] [-s server] [-p port]  
  3.         [-k key-file ] [-y key] [-V] command  
  4.  
  5. command is one of the following:  
  6.   reload       Reload configuration file and zones.  
  7.   reload zone [class [view]]  
  8.   ...  
  9.   status       Display status of the server.  
  10.   recursing    Dump the queries that are currently recursing   
  11.   (named.recursing)  
  12.   *restart     Restart the server.  
  13.  
  14. * == not yet implemented  
  15. Version: 9.3.3rc2 

可以看到，rndc提供了非常丰富的命令，可以让管理员在不重启named进程的情况下，完成大部分的DNS服务器管理工作。

说明：rndc命令后面可以跟"-s"和"-p"选项连接到远程DNS服务器，以便对远程DNS服务器进行管理，但此时双方的密钥要一致才能正常连接。

此文章转载于《Linux服务器架设指南》第14章DNS服务器架设与应用，本章将详细介绍DNS服务的基本概念、工作原理、BIND的运行、架设和使用方法