OPNsense核心项目中Unbound与Kea多DNS域配置问题分析

在OPNsense防火墙系统的25.1.6_2版本中，用户报告了一个关于Unbound DNS和Kea DHCP服务在多DNS域环境下的配置问题。本文将详细分析该问题的技术背景、表现症状以及解决方案。

问题背景

OPNsense作为一款基于FreeBSD的开源防火墙系统，集成了Unbound作为DNS解析服务和Kea作为DHCP服务。在25.1.6_2版本中，当系统配置了多个接口且每个接口使用不同的顶级域名(TLD)时（如.home、.lab等），出现了DNS记录注册异常的问题。

问题表现

在正常配置下，系统应该为每个接口的设备生成正确的DNS记录，例如：

• 设备在.lab域中应注册为servername.lab
• 设备在.home域中应注册为servername.home

但在25.1.6_2版本中，所有设备的DNS记录都被错误地附加了默认域（如.home），导致：

• 本应注册为servername.lab的记录变成了servername.home
• 更严重的是，当用户尝试在主机名中显式包含TLD时，系统会生成类似servername.lab.home的错误记录

技术分析

通过深入分析，发现问题出在静态映射(static mapping)的处理逻辑上。在25.1.6版本中，相关代码修改导致Kea DHCP服务无法正确传递接口特定的域名信息给Unbound DNS服务。

具体表现为：

1. 在25.1.5版本中，pluginctl -r static_mapping:kea命令能正确返回包含域名的完整映射信息
2. 在25.1.6版本中，同一命令返回的映射信息中域名字段缺失

解决方案

开发团队迅速响应并提供了修复方案。核心修复是通过修改映射获取逻辑，确保在协议类型为null时也能正确处理和传递域名信息。

用户可以通过以下步骤临时修复问题：

1. 更新到25.1.6版本
2. 应用补丁：opnsense-patch 56aff2f

该修复已计划包含在下一个正式版本中，届时用户只需正常升级系统即可，无需额外操作。

最佳实践建议

对于使用多DNS域环境的OPNsense用户，建议：

1. 在升级前检查当前DNS记录是否正确
2. 升级后验证各接口设备的DNS解析是否正常
3. 对于关键业务环境，考虑先在测试环境中验证升级

此问题的快速解决体现了OPNsense社区对用户反馈的重视和响应能力，同时也提醒我们在网络基础服务升级时需要特别关注DNS和DHCP的联动配置。