12.4. Uso de rndc
BIND incluye una utilidad llamada rndc la cual permite la administraci�n de l�nea de comandos del demonio named desde el host local o desde un host remoto.
Para prevenir el acceso no autorizado al demonio named, BIND utiliza un m�todo de autenticaci�n de llave secreta compartida para otorgar privilegios a hosts. Esto significa que una llave id�ntica debe estar presente en los archivos de configuraci�n /etc/named.conf y en el rndc, /etc/rndc.conf.
12.4.1. Configuraci�n de /etc/named.conf
Para que rndc se pueda conectar a un servicio named, debe haber una declaraci�n controls en el archivo de configuraci�n del servidor BIND /etc/named.conf.
La declaraci�n controls mostrada abajo en el ejemplo siguiente, permite a rndc conectarse desde un host local.
controls {
inet 127.0.0.1 allow { localhost; } keys { <key-name>; };
}; |
Esta declaraci�n le dice a named que escuche en el puerto por defecto TCP 953 de la direcci�n loopback y que permita comandos rndc provenientes del host local, si se proporciona la llave correcta. El valor <key-name> especifica un nombre en la declaraci�n key dentro del archivo /etc/named.conf. El ejemplo siguiente ilustra la declaraci�n key.
key "<key-name>" {
algorithm hmac-md5;
secret "<key-value>";
}; |
En este caso, el <key-value> utiliza el algoritmo HMAC-MD5. Utilice el comando siguiente para generar llaves usando el algoritmo HMAC-MD5:
dnssec-keygen -a hmac-md5 -b <bit-length> -n HOST <key-file-name> |
Una llave con al menos un largo de 256-bit es una buena idea. La llave que deber�a ser colocada en el �rea <key-value> se puede encontrar en el archivo <key-file-name> generado por este comando.
 | Aviso |
|---|
| | Debido a que /etc/named.conf est� accesible a todo el mundo, es una buena idea colocar la declaraci�n key en un archivo separado que s�lo est� accesible por root y luego utilizar una declaraci�n include para referenciarlo. Por ejemplo: |
12.4.2. Configuraci�n de /etc/rndc.conf
La declaraci�n key es la m�s importante en /etc/rndc.conf.
key "<key-name>" {
algorithm hmac-md5;
secret "<key-value>";
}; |
<key-name> y <key-value> deber�an ser ex�ctamente los mismos que sus configuraciones en /etc/named.conf.
Para coincidir las claves especificadas en el archivo de configuraci�n del servidor objetivo /etc/named.conf, agregue las l�neas siguientes a /etc/rndc.conf.
options {
default-server localhost;
default-key "<key-name>";
}; |
Este directriz configura un valor de llave global por defecto. Sin embargo, el archivo de configuraci�n rndc tambi�n puede usar llaves diferentes para servidores diferentes, como en el ejemplo siguiente:
server localhost {
key "<key-name>";
}; |
 | Atenci�n |
|---|
| | Aseg�rese de que s�lo el usuario root pueda leer y escribir al archivo /etc/rndc.conf. |
Para m�s informaci�n sobre el archivo /etc/rndc.conf, vea la p�gina man de rndc.conf.
12.4.3. Opciones de l�nea de comandos
Un comando rndc toma la forma siguiente:
rndc <options> <command> <command-options> |
Cuando est� ejecutando rndc en una m�quina local configurada de la forma correcta, los comandos siguientes est�n disponibles:
halt — Para inmediatamente el servicio named.
querylog — Registra todas las peticiones hechas a este servidor de nombres.
refresh — Refresca la base de datos del servidor de nombres.
reload — Recarga los archivos de zona pero mantiene todas las respuestas precedentes situadas en cach�. Esto le permite realizar cambios en los archivos de zona sin perder todas las resoluciones de nombres almacenadas.
Si los cambios s�lo afectaron una zona espec�fica, vuelva a cargar solamente esa una zona espec�fica a�adiendo el nombre de la zona despu�s del comando reload.
stats — Descarga las estad�sticas actuales de named al archivo /var/named/named.stats.
stop — Detiene al servidor salvando todas las actualizaciones din�micas y los datos de las Transferencias de zona incremental (IXFR) antes de salir.
Ocasionalmente, puede ser necesario ignorar las configuraciones por defecto en el archivo /etc/rndc.conf. Estan disponibles las siguientes opciones:
-c <configuration-file> — Especifica la ubicaci�n alterna de un archivo de configuraci�n.
-p <port-number> — Especifica la utilizaci�n de un n�mero de puerto diferente del predeterminado 953 para la conexi�n del comando rndc.
-s <server> — Especifica un servidor diferente al default-server listado en /etc/rndc.conf.
-y <key-name> — Le permite especificar una llave distinta de la opci�n default-key en el archivo /etc/rndc.conf.
Se puede encontrar informaci�n adicional sobre estas opciones en la p�gina del manual de rndc.
