BIND DNS 服务器搭建完全教程 / 第 09 章：辅助服务器与区域传输

// named.conf (主服务器)

// TSIG 密钥用于区域传输认证
key "transfer-key" {
    algorithm hmac-sha256;
    secret "transfer-secret-base64-here";
};

acl "secondary-servers" {
    192.168.1.11;   // 从服务器 1
    192.168.2.10;   // 从服务器 2
    192.168.3.10;   // 从服务器 3
};

zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // 允许区域传输的服务器
    allow-transfer {
        key transfer-key;   // 优先使用 TSIG 认证
        // secondary-servers;  // 也可以用 IP
    };
    
    // 通知从服务器更新
    also-notify {
        192.168.1.11;
        192.168.2.10;
        192.168.3.10;
    };
    
    // 或者自动通知所有 NS 记录（默认行为）
    // notify yes;   // 默认值
};

// notify 控制主服务器何时通知从服务器
zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // notify 模式
    notify yes;     // 通知所有 NS 记录中的服务器（默认）
    // notify explicit;  // 仅通知 also-notify 中的服务器
    // notify no;    // 不通知（不推荐）
    
    also-notify {
        192.168.1.11;
    };
};

// named.conf (从服务器)

key "transfer-key" {
    algorithm hmac-sha256;
    secret "transfer-secret-base64-here";
};

zone "example.com" {
    type secondary;
    
    // 主服务器地址
    masters {
        192.168.1.10 key transfer-key;  // 使用 TSIG 认证
    };
    
    // 区域文件存储位置
    file "secondary/example.com.zone";
    
    // 允许查询
    allow-query { any; };
};

# 创建从服务器目录
sudo mkdir -p /var/cache/bind/secondary
sudo chown bind:bind /var/cache/bind/secondary

# 区域文件会自动传输并保存
ls -la /var/cache/bind/secondary/
# example.com.zone  ← 自动从主服务器传输

# 手动触发 AXFR
dig @192.168.1.10 example.com AXFR

# 使用 TSIG 认证的 AXFR
dig @192.168.1.10 example.com AXFR -k /etc/bind/transfer.key

# 手动触发 IXFR（需要指定起始 Serial）
dig @192.168.1.10 example.com IXFR=2026051000

// BIND 默认行为：
// 1. 如果从服务器没有区域文件 → AXFR
// 2. 如果 Serial 差距小 → IXFR
// 3. 如果 IXFR 失败或差距太大 → AXFR
// 4. 主服务器保留 IXFR 日志（默认最多保留）

zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    
    // IXFR 日志大小限制
    max-journal-size 100m;  // 日志文件最大 100MB
    
    // 禁用 IXFR（强制 AXFR）
    // ixfr-from-differences no;
};

# 生成 TSIG 密钥
tsig-keygen -a hmac-sha256 transfer-key > /etc/bind/transfer.key

# 查看密钥
cat /etc/bind/transfer.key

// 主服务器和从服务器使用相同的密钥

// /etc/bind/transfer.key（主从各一份，内容相同）
key "transfer-key" {
    algorithm hmac-sha256;
    secret "base64-secret-here";
};

// 主服务器配置
zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    allow-transfer { key transfer-key; };
};

// 从服务器配置
zone "example.com" {
    type secondary;
    masters { 192.168.1.10 key transfer-key; };
    file "secondary/example.com.zone";
};

# 每个从服务器使用不同的密钥
tsig-keygen -a hmac-sha256 transfer-key-slave1 > /etc/bind/transfer-slave1.key
tsig-keygen -a hmac-sha256 transfer-key-slave2 > /etc/bind/transfer-slave2.key

// 主服务器配置
include "/etc/bind/transfer-slave1.key";
include "/etc/bind/transfer-slave2.key";

zone "example.com" {
    type primary;
    file "primary/example.com.zone";
    allow-transfer {
        key transfer-key-slave1;
        key transfer-key-slave2;
    };
    also-notify {
        192.168.1.11 key transfer-key-slave1;
        192.168.2.10 key transfer-key-slave2;
    };
};

// 当需要知道另一个区域的权威服务器时使用
zone "partner.com" {
    type stub;
    masters { 172.16.1.100; };
    file "stub/partner.com.zone";    // 只存储 NS 和 SOA
};

// 从服务器可以配置多个主服务器
zone "example.com" {
    type secondary;
    masters {
        192.168.1.10;   // 主服务器 1（优先）
        192.168.1.12;   // 主服务器 2（备选）
    };
    file "secondary/example.com.zone";
};

# 场景：主服务器永久不可用，需要将从服务器提升

# 1. 修改配置
# 将 type secondary 改为 type primary
zone "example.com" {
    type primary;           // 从 secondary 改为 primary
    file "secondary/example.com.zone";
    allow-update { none; };  // 关闭动态更新
};

# 2. 重载配置
rndc reload example.com

# 3. 更新注册商 NS 记录（如果需要）

// 主服务器 - catalog zone
zone "catalog.example" {
    type primary;
    file "primary/catalog.example.zone";
    allow-update { key catalog-key; };
};

// 从服务器 - catalog zone
zone "catalog.example" {
    type secondary;
    masters { 192.168.1.10 key catalog-key; };
    file "secondary/catalog.example.zone";
    // 启用 catalog zone
    catalog-zone "catalog.example" {
        default-masters { 192.168.1.10 key catalog-key; };
    };
};

logging {
    channel transfer_log {
        file "/var/log/named/transfer.log" versions 10 size 50m;
        severity info;
        print-time yes;
        print-severity yes;
        print-category yes;
    };
    
    category xfer-in { transfer_log; };     // 接收传输
    category xfer-out { transfer_log; };    // 发送传输
    category notify { transfer_log; };      // 通知事件
};

# 查看从服务器区域状态
rndc zonestatus example.com

# 输出示例：
# name: example.com
# type: secondary
# files: secondary/example.com.zone
# serial: 2026051001
# nodes: 50
# last successful transfer: 2026-05-10 14:30:00

# 手动触发传输
rndc retransfer example.com    # 强制 AXFR
rndc refresh example.com       # 检查是否需要更新

# 查看传输日志
tail -f /var/log/named/transfer.log

# 比较主从 Serial
dig @192.168.1.10 example.com SOA +short
# ns1.example.com. admin.example.com. 2026051001 3600 900 1209600 86400

dig @192.168.1.11 example.com SOA +short
# 应该显示相同的 Serial

# 比较完整记录
dig @192.168.1.10 example.com AXFR | sort > /tmp/master.txt
dig @192.168.1.11 example.com AXFR | sort > /tmp/slave.txt
diff /tmp/master.txt /tmp/slave.txt

# 1. 检查主服务器是否允许传输
dig @192.168.1.10 example.com AXFR
# 如果返回 "Transfer failed" → 检查 allow-transfer

# 2. 测试 TSIG 认证
dig @192.168.1.10 example.com AXFR -k /etc/bind/transfer.key

# 3. 检查 TCP 53 端口连通性
nc -zv 192.168.1.10 53

# 4. 查看主服务器日志
tail -f /var/log/named/transfer.log
# 搜索 "transfer" 关键字

# 5. 强制重新传输
rndc retransfer example.com

# 6. 检查从服务器文件权限
ls -la /var/cache/bind/secondary/

# 如果从服务器区域文件损坏：
sudo rndc freeze example.com
sudo rm /var/cache/bind/secondary/example.com.zone
sudo rndc thaw example.com
# BIND 会自动重新传输