针对CVE-2023-2828的BIND权威集群升级顺序及节点优雅关闭方法咨询

Hey there! Let's break down how to safely upgrade your BIND 9.16.6 (Red Hat 7.7) cluster to address CVE-2023-2828, including the right upgrade order and how to shut down each node gracefully.

升级顺序建议 #

因为你是隐藏主节点+2台从节点的架构，为了完全避免DNS服务中断，一定要遵循从节点优先、最后升级主节点的顺序：

• 第一台从节点升级流程：
  1. 先优雅关闭该从节点的BIND服务（具体命令看下方）
  2. 安装Red Hat提供的修复了CVE-2023-2828的BIND更新包，执行命令：sudo yum update bind*（如果有指定版本要求，可在命令后添加具体版本号）
  3. 启动BIND服务：sudo systemctl start named
  4. 验证状态：运行rndc status查看服务是否正常，或检查日志确认它能从主节点正常同步区域数据
• 第二台从节点升级流程：
  重复上述步骤，这样升级过程中始终有一台从节点在线提供解析服务，不会影响业务
• 隐藏主节点升级流程：
  等两台从节点都升级完成并同步正常后，再处理主节点：
  1. 优雅关闭主节点的BIND服务
  2. 安装更新包
  3. 启动主节点服务，随后确认两台从节点能正常和主节点同步数据

优雅关闭节点的命令 #

在Red Hat 7.7环境下，推荐用BIND原生工具实现优雅关闭，这样服务会先处理完当前所有请求再停止，避免丢包或解析异常：

• 最稳妥的原生命令：sudo rndc stop
  这个命令会通知BIND优雅终止，完成正在处理的查询后再停止服务
• 也可以用systemd管理命令：sudo systemctl stop named
  不过rndc stop是BIND专属的优雅关闭方式，更贴合DNS服务的特性
• 关闭前建议先检查服务状态，确认无异常：sudo rndc status

额外注意事项 #

• 升级前务必备份配置文件和区域文件，比如复制/etc/named.conf、/var/named/下的所有文件到安全位置
• 升级完成后，用named -v命令确认版本已更新到修复CVE的版本
• 启动服务后，查看日志（如/var/log/messages或/var/log/named/named.log），确保无报错、同步正常

备注：内容来源于stack exchange，提问作者Derek Mahon