BIND 9 Administrator Reference
Manual
BIND 9.10.4-P1
Copyright (C) 2004-2015 Internet Systems Consortium, Inc. ("ISC")
Copyright (C) 2000-2003 Internet Software Consortium.
Permission to use, copy, modify, and/or distribute this software for any purpose with or with-
out fee is hereby granted, provided that the above copyright notice and this permission notice
appear in all copies.
THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH RE-
GARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABIL-
ITY AND FITNESS. IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT, IN-
DIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULT-
ING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT,
NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION
WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
Internet Systems Consortium
950 Charter Street
Redwood City, California
USA
https://www.isc.org/
Contents
1 Introduction 1
1.1 Scope of Document . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 Organization of This Document . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.3 Conventions Used in This Document . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.4 The Domain Name System (DNS) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
DNS Fundamentals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Domains and Domain Names . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Zones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Authoritative Name Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Caching Name Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
Name Servers in Multiple Roles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2 BIND Resource Requirements 7
2.1 Hardware requirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.2 CPU Requirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.3 Memory Requirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.4 Name Server Intensive Environment Issues . . . . . . . . . . . . . . . . . . . . . . 7
2.5 Supported Operating Systems . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
3 Name Server Configuration 9
3.1 Sample Configurations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
A Caching-only Name Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
An Authoritative-only Name Server . . . . . . . . . . . . . . . . . . . . . . . . . . 9
3.2 Load Balancing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
3.3 Name Server Operations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
Tools for Use With the Name Server Daemon . . . . . . . . . . . . . . . . . . . . . 11
Signals . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
iii BIND 9.10.4-P1
CONTENTS CONTENTS
4 Advanced DNS Features 15
4.1 Notify . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
4.2 Dynamic Update . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
The journal file . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
4.3 Incremental Zone Transfers (IXFR) . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
4.4 Split DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
Example split DNS setup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
4.5 TSIG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
Generating a Shared Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Loading A New Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Instructing the Server to Use a Key . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
TSIG-Based Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
Errors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
4.6 TKEY . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
4.7 SIG(0) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
4.8 DNSSEC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Generating Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Signing the Zone . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Configuring Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
4.9 DNSSEC, Dynamic Zones, and Automatic Signing . . . . . . . . . . . . . . . . . . 27
Converting from insecure to secure . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
Dynamic DNS update method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
Fully automatic zone signing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Private-type records . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
DNSKEY rollovers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Dynamic DNS update method . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Automatic key rollovers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
NSEC3PARAM rollovers via UPDATE . . . . . . . . . . . . . . . . . . . . . . . . . 31
Converting from NSEC to NSEC3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Converting from NSEC3 to NSEC . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Converting from secure to insecure . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Periodic re-signing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
NSEC3 and OPTOUT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
BIND 9.10.4-P1 iv
CONTENTS CONTENTS
4.10 Dynamic Trust Anchor Management . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Validating Resolver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Authoritative Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
4.11 PKCS#11 (Cryptoki) support . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Prerequisites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Native PKCS#11 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
OpenSSL-based PKCS#11 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
PKCS#11 Tools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
Using the HSM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
Specifying the engine on the command line . . . . . . . . . . . . . . . . . . . . . . 40
Running named with automatic zone re-signing . . . . . . . . . . . . . . . . . . . 40
4.12 DLZ (Dynamically Loadable Zones) . . . . . . . . . . . . . . . . . . . . . . . . . . 41
Configuring DLZ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
Sample DLZ Driver . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
4.13 IPv6 Support in BIND 9 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
Address Lookups Using AAAA Records . . . . . . . . . . . . . . . . . . . . . . . . 43
Address to Name Lookups Using Nibble Format . . . . . . . . . . . . . . . . . . . 43
5 The BIND 9 Lightweight Resolver 45
5.1 The Lightweight Resolver Library . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
5.2 Running a Resolver Daemon . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
6 BIND 9 Configuration Reference 47
6.1 Configuration File Elements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
Address Match Lists . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
Comment Syntax . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
6.2 Configuration File Grammar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
acl Statement Grammar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
acl Statement Definition and Usage . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
controls Statement Grammar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
controls Statement Definition and Usage . . . . . . . . . . . . . . . . . . . . . . . 54
include Statement Grammar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
include Statement Definition and Usage . . . . . . . . . . . . . . . . . . . . . . . . 55
key Statement Grammar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
v BIND 9.10.4-P1
