Hickory-DNS项目TSIG签名验证问题分析与解决方案

问题背景

在Hickory-DNS项目的最新版本0.25中，用户报告了一个关于DNS动态更新(DNS Update)功能的问题。当使用TSIG(Transaction SIGnature)签名进行DNS记录更新时，系统会返回"proto error"错误，导致动态更新功能无法正常工作。这个问题在0.24版本中并不存在，表明这是新引入的回归问题。

问题现象

用户在使用Hickory-DNS客户端发送DNS更新请求时，虽然服务器端实际接受了更新操作并返回了响应，但客户端却无法正确解析响应，返回了"proto error"错误。通过更详细的错误日志分析，最终定位到错误信息为"Tsig key wrong key error"。

根本原因分析

经过深入排查，发现问题源于Hickory-DNS项目中的FQDN(完全限定域名)处理逻辑变更。具体表现为：

1. 在TSIG验证过程中，系统会比较响应中的TSIG记录名称与配置的签名者名称
2. 响应中的TSIG记录名称包含结尾的点(如"jolle-mate.dyndns.jcg.re.")
3. 而配置的签名者名称没有结尾的点(如"jolle-mate.dyndns.jcg.re")
4. 由于严格比较导致验证失败

这个问题是在项目重构FQDN处理逻辑时引入的，具体变更可见于相关提交c8691c8c2d5d332ec2154c19c7d9b759f4bc2f13。

解决方案

针对这个问题，有以下几种解决方案：

1. 配置修正方案：在配置TSIG密钥时，确保密钥名称与DNS服务器配置完全一致，包括结尾的点。例如将密钥名称配置为"jolle-mate.dyndns.jcg.re."而不是"jolle-mate.dyndns.jcg.re"。

2. 代码修复方案：在Hickory-DNS项目中修改TSIG验证逻辑，使其在比较名称时忽略结尾的点差异。这需要修改crates/proto/src/dnssec/tsig.rs文件中的验证逻辑。

技术细节

TSIG(Transaction SIGnature)是DNS协议中用于验证消息完整性和源认证的机制。在DNS动态更新场景中，TSIG验证流程包括：

1. 密钥匹配检查：验证响应中的TSIG记录名称和算法是否与配置匹配
2. 时间窗口验证：检查消息时间戳是否在可接受的时间窗口内
3. MAC验证：验证消息认证码是否正确

本次问题出现在第一个步骤的密钥匹配检查中，由于FQDN表示方式不一致导致验证失败。

最佳实践建议

1. 在DNS相关配置中保持FQDN表示方式的一致性，要么都带结尾的点，要么都不带
2. 在比较DNS名称时，考虑实现规范化比较逻辑，忽略结尾点的差异
3. 在升级DNS相关库时，特别注意FQDN处理逻辑的变更可能带来的兼容性问题
4. 在开发过程中，为TSIG验证添加详细的日志输出，便于问题排查

总结

Hickory-DNS 0.25版本中引入的FQDN处理逻辑变更导致了TSIG验证问题，这提醒我们在处理DNS相关协议时需要特别注意名称表示的一致性。对于用户而言，最简单的解决方案是在配置中明确指定带点的FQDN形式。对于项目维护者而言，可能需要考虑更健壮的名称比较逻辑来避免这类问题。