Linux DHCP 高级功能 动态 DNS 更新解析
一 架构与原理
- 由 ISC DHCP Server 在分配或续租时为客户端生成/更新 A/AAAA 与 PTR 记录，借助 TSIG 密钥与 BIND 9 完成安全动态更新。DHCP 侧需启用 ddns-update-style interim，并声明正向与反向区域及使用的密钥；DNS 侧需允许该密钥对指定区域执行更新，并保证区域文件可写。动态更新成功后，BIND 会在区域目录生成 .jnl 运行时文件，随后将变更合并回文本区文件。为降低风险，建议仅对受控网段开放更新权限，并限制区域传送与查询范围。
二 服务器侧配置步骤
- 安装组件
- Debian/Ubuntu：sudo apt-get install isc-dhcp-server bind9
- CentOS/RHEL：sudo yum install dhcp bind
- 生成 TSIG 密钥
- 推荐：dnssec-keygen -a hmac-sha256 -b 256 -n USER dhcp_dns_update
- 兼容旧环境：dnssec-keygen -a HMAC-MD5 -b 128 -n USER ddnsuser
- 将生成的公钥（.key）内容用于 DHCP 与 DNS 两侧配置，保持密钥完全一致。
- 配置 DHCP（/etc/dhcp/dhcpd.conf 片段）
- 声明更新方式与密钥：ddns-update-style interim; update-static-leases on;
- 在子网内指定正向/反向区域与密钥（区域名须以“.”结尾）：
- zone “example.com.” { primary 192.168.1.1; key dhcp_dns_update; }
- zone “1.168.192.in-addr.arpa.” { primary 192.168.1.1; key dhcp_dns_update; }
- 配置 DNS（/etc/bind/named.conf 或 included 配置）
- 全局或 options 中加载密钥并限制更新来源：
- key “dhcp_dns_update” { algorithm hmac-sha256; secret “…”; };
- allow-update { key dhcp_dns_update; 192.168.1.0/24; };
- 正向/反向 zone 建议采用 update-policy 精细授权（BIND 9.9+），例如：
- update-policy { grant dhcp_dns_update name host1.example.com. A; grant dhcp_dns_update name 1.1.168.192.in-addr.arpa. PTR; };
- 文件权限与 SELinux（如启用）
- /var/named 归属 named:named，必要时设置 ENABLE_ZONE_WRITE=yes（chroot 场景）。
- 启动服务
- systemctl restart isc-dhcp-server bind9（或 dhcpd/named）。
三 客户端与验证
- Linux 客户端
- 使用 dhcpcd 时，通过 -h 主机名 发送主机名以便 DHCP 注册；确保 resolv.conf 的 search 后缀与域一致，必要时在 dhclient.conf 中使用 supersede domain-name 覆盖。
- 触发与观察
- 客户端执行释放/续租（如 Windows 的 ipconfig /release 与 /renew，或 Linux 的 dhclient/networkctl），随后在 DNS 服务器上检查是否生成 .jnl 文件并查看日志。
- 解析验证
- dig @localhost example.com any
- nslookup host1.example.com
- 反向：dig -x 192.168.1.10 +short
- 故障排查要点
- 核对密钥名称、算法与 secret 完全一致；检查 allow-update 与 update-policy 是否覆盖客户端网段与记录类型；确认 named 对区域文件具备写权限；查看 /var/log/syslog 或 journalctl -u named/dhcpd 的输出。
四 进阶与安全建议
- 精细授权与最小权限
- 优先使用 update-policy 按“key + 名称 + 记录类型”授权，避免对整区开放 allow-update；必要时仅开放 A/AAAA 或 PTR 单项权限。
- 区域传输与查询限制
- 在 options 中限制 allow-transfer { none; } 与查询来源 acl “trusted” { 192.168.1.0/24; };，减少信息泄露与滥用风险。
- 静态租约与 update-static-leases
- 对固定主机使用 host {} 静态租约，并开启 update-static-leases on，确保静态地址也能同步更新 DNS。
- 运行期文件与合并
- 动态更新先写入 .jnl，BIND 会在合适时机将变更合并回文本区文件；避免直接编辑正在被更新的区文件，变更通过 nsupdate/策略完成更安全。
- 密钥轮换与分发
- 定期轮换 hmac-sha256 密钥，使用自动化分发与配置管理确保 DHCP 与 DNS 两侧同步；密钥文件权限最小化，仅对 named/dhcpd 可读。