| 服务 | rndc |
|---|---|
| 协议 | TCP 953 |
| 实现 | BIND 9（named） |
| 安全 | 基于 HMAC（TSIG）认证 |
rndc 命令经 953 与 named 通信，默认只监听 127.0.0.1；远程管理需显式配置 controls 并启用密钥。
不要把 953 暴露到业务网；rndc.key 文件权限过松等于交出 DNS 控制权。
953 rndc BIND 远程控制
rndc：BIND 9 的远程名称守护控制通道（remote name daemon controller），管理员用它执行 reload、zones 刷新等操作。
易错点
- controls 监听地址放开且密钥可读，DNS 可被静默劫持
- 变更窗口忘记 rndc reload 导致主从区域不同步
数据来源与参考
- BIND 9 官方文档（rndc/controls）
- IANA 端口注册表