使用通配符记录更新DNS -使用服务器/ GSS验证错误的TSIG错误

Question

我在公司环境中使用Microsoft DNS服务器。我不能直接访问它，但是我可以远程添加记录。

例如-使用nsupdate -我可以添加新的A/ CNAME类型记录，如这个问题从Unix&Linux 如何使用nsupdate更新记录？

cat < dns-update
server bar.example
zone foo.bar.example
update add hostname.foo.bar.example 86400 A 192.0.2.1
send
EOF

nsupdate -g dns-update

上面的工作和结束与status: NOERROR。

现在我要做的是创建可以通过通配符*和A name / CNAME访问的嵌套记录。

在上面的示例中，如果我将hostname.foo.bar.example替换为*.hostname.foo.bar.example，status: REFUSED将失败。如果我像在\*中那样避开星号，也会发生同样的情况。

$ nsupdate -g scripts/dns-update 
; TSIG error with server: tsig verify failure
update failed: REFUSED

以及附加的调试信息

$ nsupdate -g -D -L 3 scripts/dns-update 
...
;; TSIG PSEUDOSECTION:
588089969.sig-bar.example. 0 ANY TSIG   gss-tsig. 1556099609 300 28 BAQE//////8AAAAAKy03Mk/Ul7AQ***== 51403 NOERROR 0 

24-Apr-2019 11:53:29.924 dns_request_destroy: request 0x7fb2c6eef180
24-Apr-2019 11:53:29.924 req_destroy: request 0x7fb2c6eef180
24-Apr-2019 11:53:29.924 requestmgr_detach: 0x7fb2c6ee7010: eref 1 iref 1
Out of recvgss
24-Apr-2019 11:53:29.961 req_connected: request 0x7fb2c6eef010
24-Apr-2019 11:53:29.961 req_send: request 0x7fb2c6eef010
24-Apr-2019 11:53:29.961 req_senddone: request 0x7fb2c6eef010
24-Apr-2019 11:53:29.999 req_response: request 0x7fb2c6eef010: success
24-Apr-2019 11:53:29.999 req_cancel: request 0x7fb2c6eef010
24-Apr-2019 11:53:29.999 req_sendevent: request 0x7fb2c6eef010
update_completed()
24-Apr-2019 11:53:29.999 dns_request_getresponse: request 0x7fb2c6eef010
24-Apr-2019 11:53:29.999 GSS verify error: GSSAPI error: Major = A token had an invalid Message Integrity Check (MIC), Minor = Packet was replayed in wrong direction.
24-Apr-2019 11:53:29.999 tsig key '588089969.sig-bar.example' (): signature failed to verify(1)
; TSIG error with server: tsig verify failure
show_message()
...

有趣的是，当我使用Windows管理器做同样的事情时，它没有任何问题。见截图- DNS管理器

不幸的是，这是I1)无法自动化的GUI解决方案，它正在Linux上运行大多数基础设施。正因为如此，我正试图在nsupdate中实现同样的目标。

Answer 1

作为解决办法，我尝试在Linux ( PowerShell 7)上安装PSVersion (PSVersion 6.2.0)，并使用Add-DnsServerResourceRecordCName cmdlet (允许配置通配符DNS记录)。

不幸的是，Add-DnsServerResourceRecordCName命令在该版本中不可用。这个解决办法不起作用。