説明
TSIG は Transaction SIGnature の略で、共有秘密キーと暗号化ハッシュ アルゴリズムを使用して DNS メッセージを認証するメカニズムです。TSIG を使用すると、DNS 更新、ゾーン転送、および DNS サーバーとクライアント間のクエリを保護できます。TSIG を使用するように BIND サーバーを構成するには、次のパラメータをnamed.conf ファイルに追加する必要があります。
TSIG キーの名前、アルゴリズム、および秘密を定義するキー ステートメント。名前は任意の文字列にすることができ、アルゴリズムは hmac-md5、hmac-sha1、hmac-sha256 などのサポートされているアルゴリズムの 1 つにすることができ、シークレットは共有秘密キーを表す Base64 でエンコードされた文字列にすることができます。 。
例えば：
キー "server.example.com" { アルゴリズム hmac-md5; 秘密 "skrKc4DoTzi/takIlPi7JZA=="; }; TSIG キーを使用するリモート サーバーの IP アドレスまたはホスト名、および通信に使用するキーの名前を指定するサーバー ステートメント。例えば：
サーバー 192.168.1.10 { キー { "server.example.com"; }; };
TSIG を使用するゾーンの名前、タイプ、ファイル、および更新または転送に使用するキーの名前を示すゾーン ステートメント。例えば：
ゾーン "example.com" { タイプマスター; ファイル「example.com.zone」; allow-update { キー「server.example.com」; }; allow-transfer { キー「server.example.com」; }; }; オプション E は、サーバーがアルゴリズム hmac-md5 とキー skrKc4DoTzi/takIlPi7JZA== を使用する必要がある場合に追加する必要がある正しい構成パラメーターを示します。他のオプションは、間違った構文、間違ったアルゴリズム、間違ったキー名、または間違ったシークレットを使用しているため、正しくありません。
参考文献:
LPIC-2 試験 202 の目標、トピック 208.2、「DNS サーバーのセキュリティ保護」
BIND 9 管理者リファレンス マニュアル、第 6 章「アクセス制御リストと TSIG」 CentOS 8 で TSIG を使用して DNS サーバーを構成する方法