Bind9配置dnssec-policy default后签名时无法更新区域记录

核心原因 #

你使用的Bind 9.16版本中，dnssec-policy default;属于全自动DNSSEC管理模式，Bind会将你指定的原始未签名区域文件作为「输入源」，独立维护签名后的区域副本（即example.com.signed这类自动生成的文件）。直接修改原始区域文件后执行rndc sign，只会触发签名流程的序列号更新，但不会让Bind重新读取你修改后的原始区域内容——因为rndc sign仅负责对现有区域数据重新签名，不负责同步输入源的更新。

删除生成文件后生效，是因为Bind失去了已维护的签名副本，被迫重新从原始区域文件生成新的签名区域，相当于强制同步了输入源的修改。

至于inline-signing yes;报错，是因为在9.16版本中，dnssec-policy已经内置了内联签名逻辑，两者属于互斥配置，不能同时启用。新版文档提到的inline-signing是针对手动DNSSEC配置（不使用dnssec-policy）的场景，完全不适用你的情况。

解决方案 #

1. 正确的区域更新流程 #

修改原始未签名区域文件后，不要直接执行rndc sign，按以下步骤操作：

• 先验证原始区域文件的语法正确性：

  named-checkzone example.com /path/to/your/original/example.com.zone
  

• 让Bind重新加载该区域，同步原始文件的修改并自动完成重新签名：

  rndc reload example.com
  

Bind会自动读取更新后的原始区域，生成新的签名数据，同步序列号并推送给从服务器，无需手动触发签名操作。

2. 验证更新是否生效 #

• 检查Bind日志（Ubuntu 20.04默认日志在/var/log/syslog），确认rndc reload后出现类似zone example.com/IN: loaded serial XXXXX的日志，且后续有签名完成的记录。
• 通过查询验证：

  dig @localhost example.com A +dnssec
  

• 检查签名区域文件内容：

  named-checkzone -D -f raw example.com example.com.signed
  

3. 额外配置检查 #

• 确保原始区域文件的权限正确，Bind进程（默认用户为bind）拥有读取权限：

  sudo chown bind:bind /path/to/your/original/example.com.zone
  sudo chmod 640 /path/to/your/original/example.com.zone
  

• 确认区域配置块中，file指令指向的是你的原始未签名区域文件，而非签名后的自动生成文件：

  zone "example.com" {
      type master;
      file "/path/to/your/original/example.com.zone";
      dnssec-policy default;
      # 禁止添加inline-signing yes; 配置
  };
  

内容的提问来源于stack exchange，提问作者whyscream