DNS服务
DNS: Domain Name Service,协议
BIND:Bekerley Internat Name Domain, ISC (www.isc.org)
本地名称解析配置文件:hosts
linux：/etc/hosts
windows：/system32/drivers/etc/hosts
DNS域名
根域
一级域名:Top Level Domain: tld
com, edu, mil, gov, net, org, int,
三类:组织域、国家域(.cn, .ca, .hk, .tw)、反向域
二级域名
三级域名
注：最多127级域名
互联网域名
域名注册:
代理商:万网, 新网;godaddy
注册完成以后,想自己用专用服务来解析
管理后台:把NS记录指向的服务器名称,和A记录指向的服务器地址
ICANN(The Internet Corporation for Assigned Namesand Numbers)
互联网名称与数字地址分配机构,负责在全球范围内对互联网通用顶级域名(gTLD)以及国家和地区顶级域名(ccTLD)系统的管理、以及根服务器系统的管理。
名称服务器:域内负责解析本域内的名称的主机;
根服务器:13组服务器
Domain: Fully Qualified Domain Name 完全限定域名
53/udp：名称解析
53/tcp：区域传送
解析类型:
FQDN –> IP 正向解析
IP –> FQDN 反向解析
注意:正反向解析是两个不同的名称空间,是两棵不同的解析树
DNS查询类型:
递归查询
迭代查询
DNS服务器类型：
主DNS服务器:管理和维护所负责解析的域内解析库的服务器
序列号:解析库版本号,主服务器解析库变化时,其序列递增
刷新时间间隔:从服务器从主服务器请求同步解析的时间间隔
重试时间间隔:从服务器请求同步失败时,再次尝试时间间隔
过期时长:从服务器联系不到主服务器时,多久后停止服务
“通知”机制:主服务器解析库发生变化时,会主动通知从服务器
从DNS服务器:从主服务器或从服务器“复制”(区域传输)解析库副本
应该为一台独立的名称服务器
主服务器的区域解析库文件中必须有一条NS记录指向从服务器
从服务器只需要定义区域,而无须提供解析库文件;解析库文件应该放置于/var/named/slaves/目录中
主服务器得允许从服务器作区域传送
主从服务器时间应该同步,可通过ntp进行;
bind程序的版本应该保持一致;否则,应该从高,主低
缓存名称服务器:不负责解析域解析
区域传输:
全量传送：axfr，传送整个数据库
增量传送：ixfr，仅传送变化的数据
DNS解析: 一次完整的查询请求经过的流程:Client –>hosts文件 –>DNS Service Local Cache–> DNS Server (recursion) –> Server Cache –>iteration(迭代) –> 根–> 顶级域名DNS–>二级域名DNS…
解析答案：
权威答案：有直接负责的DNS服务器返回的答案
非权威答案：从直接负责的DNS服务器缓存的答案
肯定答案：存在查询的键，存在与其查询键对应的值
否定答案：不存在查询的键，不存在与其查询键对应的值
无论肯定答案还是否定答案都会有缓存
区域解析库:由众多RR组成:
资源记录(Resource Record, RR)类型:A, AAAA, PTR, SOA, NS, CNAME, MX
SOA:Start Of Authority,起始授权记录;一个区域解析库有且仅能有一个SOA记录,必须位于解析库的第一条记录
A:internet Address,作用,FQDN –> IP
AAAA: FQDN –> IPv6
PTR: PoinTeR,IP –> FQDN
NS: Name Server,专用于标明当前区域的DNS服务器
CNAME:Canonical Name,别名记录
MX: Mail eXchanger,邮件交换器
资源记录定义的格式:
语法:name [TTL] IN rr_type value
注意:
(1) TTL可从全局继承
(2) @可用于引用当前区域的名字
(3)相邻的两条记录器name相同时，后者的name可省略
(4) 同一个名字可以通过多条记录定义多个不同的值;此时DNS服务器会以轮询方式响应
(5) 同一个值也可能有多个不同的定义名字;通过多个不同的名字指向同一个值进行定义;此仅表示通过多个不同的名字可以找到同一个主机
当前区域的名字：mgedu.com.
FQDN：www.magedu.com.
1、SOA记录
name: 当前区域的名字或@
value: 有多部分组成
(1) 当前区域的主DNS服务器的FQDN或简写主机名,当前区域的名字或@
(2) 当前区域管理员的邮箱地址;但地址中不能使用@符号,一般用.替换
(3) 主从服务区域传输相关定义以及否定的答案的统一的TTL
例如:
@ 86400 IN SOA ns nsadmin.magedu.com. (
2015042201 ;序列号
2H ;刷新时间
10M ;重试时间
1W ;过期时间
1D ;否定答案的TTL值
)
注：时间单位 M 分钟；H 小时；D 天；W 周
2、NS记录
name: 当前区域的名字或@
value: 当前区域的某DNS服务器的名字或简写主机名；一个区域可以有多个NS记录;
例如:
@ 86400 IN NS ns1
86400 IN NS ns2
注:
(1) 相邻的两个资源记录的name相同时,后续的可省略
(2) 对NS记录而言,任何一个ns记录后面的服务器名字,都应该在后续有一个A记录
3、MX记录
name: 当前区域的名字或@
value: 当前区域的邮件服务器的主机名
一个区域内,MX记录可有多个;但每个记录的value之前应该有一个数字(0-99),表示此服务器的优先级;数字越小优先级越高
例如:
@ IN MX 10 mx1
IN MX 20 mx2
注:对MX记录而言,任何一个MX记录后面的服务器名字,都应该在后续有一个A记录
4、A记录
name: 某主机的FQDN或简写主机名
value: 主机名对应主机的IP地址;
例如:
www IN A 1.1.1.1
IN A 2.2.2.2
mx1 IN A 3.3.3.3
mx2 IN A 4.4.4.4
注:避免用户写错名称时给错误答案,可通过泛域名解析进行解析至某特定地址
*. IN A 5.5.5.5
@ IN A 6.6.6.6
5、AAAA记录
name: FQDN或简写主机名
value: IPv6
6、PTR记录
name: IP,有特定格式：把IP地址反过来写（1.2.3.4,要写作4.3.2.1）加特定后缀:in-addr.arpa.,所以完整写法为:4.3.2.1.in-addra.arpa.可简写IP
value: FQDN
例如:
4 IN PTR www
5 IN PTR www
注:网络地址及后缀可省略;主机地址依然需要反着写
7、CNAME别名记录：
name: 别名的FQDN
value: 真正名字的FQDN;
例如:
www IN CNAME websrv
BIND的安装配置:
程序名：bind
服务名：named
脚本名：/etc/rc.d/init.d/named
程序包安装:yum list all bind*
bind:主程序
bind-libs:相关库
bind-utils:客户端
bind-chroot: /var/named/chroot/ 将named服务限定在指定的工作目录
配置文件:
/etc/named.conf 主配置文件
/etc/named.rfc1912.zones 区域定义文件
/var/named/ 主服务器解析库目录下以.zone结尾的文件
/var/named/slaves/ 从服务器解析库目录下以.zone结尾的文件
/var/named/ 目录内部文件属主为root，属组为named，文件权限为640
/var/named/slave/ 目录属主为root，属组为named，目录权限为770
注意:
(1) 一台物理服务器可同时为多个区域提供解析;
(2) 必须要有根区域文件：/var/named/named.ca
(3) 应该有两个(如果包括ipv6的,应该更多)实现localhost和本地回环地址的解析库
主配置文件/etc/named.conf:
全局配置:options {};
监听socket：listen-on port 53；默认监听在127.0.0.1
可查询该DNS的主机：listen-on port 53 { 1.1.1.1; }；
缓存或从服务器的配置:监听在可与外部主机通信的socket
dnssec: 建议关闭dnssec,设为no
日志配置：logging {};
区域配置：zone {……} 本机有负责解析或转发的区域
注：每个配置语句必须以分号结尾
单行注释，在行首前添加//
单行或多行注释，以/*开头 */结尾
{}前后必须有空格
任何服务程序如果期望其能够通过网络被其它主机访问,至少应该监听在一个能与外部主机通信的IP地址上
区域定义文件/etc/named.rfc1912.zones
zone "zone_name" IN {
type {master|slave|hint|forward};
file "zone_name.zone";
};
注：本机能够为哪些zone进行解析,就要定义哪些zone;
master：主服务器
slave：从服务器
hint：提示服务器
forward：转发服务器
语法检查
主配置文件语法检查：named-checkconf
解析库文件语法检查：named-checkzone "zone_name" /var/named/zone_name.zone /var/named/slave/zone_name.zone
重新载入配置文件：rndc status|reload
重器named服务：service named reload
测试命令
dig [-t type] name [@SERVER] [query options] 只用于测试dns系统,不会查询hosts文件进行解析
查询选项:
+[no]trace:跟踪解析过程
+[no]recurse:进行递归解析
dig -x IP @SERVER 测试反向解析:
dig -t axfr ZONE_NAME @SERVER 模拟区域传送:
host [-t type] name [SERVER]
nslookup [-option] [name | -] [server] 非交互式
交互式模式:
nslookup>
server IP: 指明使用哪个DNS server进行查询
set q=RR_TYPE: 指明查询的资源记录类型
NAME: 要查询的名称
客户端管理程序
rndc : remote name domain controller,默认与bind安装在同一主机,且只能通过127.0.0.1连接named，提供辅助性的管理功能，监听953/tcp
子命令
reload: 重载主配置文件和区域解析库文件
reload zone: 重载区域解析库文件
retransfer zone: 手动启动区域传送过程,而不管序列号是否增加
notify zone: 重新对区域传送发通知
reconfig: 重载主配置文件
querylog: 开启或关闭查询日志文件/var/log/message
trace: 递增debug一个级别
trace LEVEL: 指定使用的级别
notrace:将调试级别设置为 0
flush:清空DNS服务器的所有缓存记录
主DNS名称服务器配置:
编辑主配置文件/etc/named.conf全局配置段
添加可与外部主机通信的socket
listen-on port 53 { 192.168.10.6; }；
关闭dnssec
dnssec-enable no;
dnssec-validation no;
关闭仅主机查询
//allow-query { localhost; } 或 allow-query { any; }
允许数据传送的主机（有从服务器时为其IP）
allow-transfer { none； }；
正解区域配置
(1) 编辑区域定义文件/etc/named.rfc1912.zones
zone "centos.org" IN {
type master;
file "named.centos.org";
};
(2) 新建区域解析库文件/var/named/named.centos.org
示例:
$TTL 600
@ IN SOA ns1.centos.org admin.centos.org. ( 2016092405 3H 5M 7D 1D )
IN NS ns1.centos.org
IN MX 10 mx1.centos.org
IN MX 20 mx2.centos.org
ns1 IN A 192.168.10.6
mail1 IN A 192.168.10.61
mail2 IN A 192.168.10.62
srv IN A 192.168.10.63
srv IN A 192.168.10.64
www IN CNAME srv
反向区域配置
(1) 编辑区域定义文件/etc/named.rfc1912.zones
zone "10.168.192.in-addr.arpa" IN {
type master;
file "named.192.168.10";
};
(2) 新建区域解析库文件/etc/named/named.10.168.192
示例:
$TTL 600
@ IN SOA ns1 admin.centos.org. ( 2016092301 1H 5M 7D 1D )
IN NS ns1.centos.org.
6 IN PTR ns1.centos.org.
61 IN PTR mail1.centos.org.
62 IN PTR mail2.centos.org.
63 IN PTR srv.centos.org.
64 IN PTR srv.centos.org.
从DNS名称服务器配置:
在主服务器主配置文件中修改
允许数据传送的主机
allow-transfer { 192.168.10.66； }；
在主服务器正解文件中添加： @ IN NS ns2.centos.org
ns2 IN A 192.168.10.66
在主服务器反解文件中添加： @ IN NS ns2.centos.org.
66 IN PTR ns2.centos.org.
编辑主配置文件/etc/named.conf全局配置段
添加可与外部主机通信的socket
listen-on port 53 { 192.168.10.66; }；
关闭dnssec
dnssec-enable no;
dnssec-validation no;
关闭仅主机查询
//allow-query { localhost; } 或 allow-query { any; }
允许数据传送的主机
allow-transfer { none； }；
正解区域配置
编辑区域定义文件/etc/named.rfc1912.zones
zone "centos.org" IN {
type slave;
file "slaves/named.centos.org";
masters { 192.168.10.6; };
};
反解区域配置
编辑区域定义文件/etc/named.rfc1912.zones
zone "10.168.192.in-addr.arpa" IN {
type slave;
file "slaves/named.192.168.10";
masters { 192.168.10.6; };
};
子DNS名称服务器配置:
在父服务器正解文件中添加： ops IN NS ns.ops
ns.ops IN A 192.168.10.7
在父服务器反解文件中添加： @ IN NS ns.ops.centos.org
7 IN PTR ns.ops.centos.org
以主服务器为例，从服务器不再说明，参考父从服务器配置
编辑主配置文件/etc/named.conf全局配置段
添加可与外部主机通信的socket
listen-on port 53 { 192.168.10.7; }；
关闭dnssec
dnssec-enable no;
dnssec-validation no;
dnssec-lookaside no;
关闭仅主机查询
//allow-query { localhost; } 或 allow-query { any; }
允许数据传送的主机
allow-transfer { 192.168.10.77； }；
正解区域配置
(1) 编辑区域定义文件/etc/named.rfc1912.zones
zone "ops.centos.org" IN {
type master;
file "named.ops.centos.org";
};
zone "ZONE_NAME" IN {
type forward;
forward first;
forwarders { 192.168.10.6;};
};
(2) 新建区域解析库文件/etc/named/ops.centos.org.zone
示例:
$TTL 86400
@ IN SOA ns1 admin ( 2016092301 1H 5M 7D 1D )
IN NS ns1
IN MX 10 mx1
IN MX 20 mx2
ns1 IN A 192.168.10.7
mx1 IN A 192.168.10.71
mx2 IN A 192.168.10.72
srv IN A 192.168.10.73
srv IN A 192.168.10.74
www IN CNAME srv
反向区域配置
(1) 编辑区域定义文件/etc/named.rfc1912.zones
zone "10.168.192.in-addr.arpa" IN {
type master;
file "named.10.168.192";
};
由于父子域服务器在同一网段，所以不便定义反向的区域转
(2) 新建区域解析库文件/etc/named/named.10.168.192
示例:
$TTL 86400
$ORIGIN 10.168.192.in-addr.arpa.
@ IN SOA ns1 admin.ops.centos.org. ( 2016092301 1H 5M 7D 1D )
IN NS ns1.ops.centos.org.
7 IN PTR ns1.ops.centos.org.
71 IN PTR mx1.ops.centos.org.
72 IN PTR mx2.ops.centos.org.
73 IN PTR www.ops.centos.org.
74 IN PTR www.ops.centos.org.
转发服务器
注意:被转发的服务器需要能够为请求者做递归,否则转发请求不予进行
关闭dnssec功能:
dnssec-enable no;
dnssec-validation no;
(1) 全局转发: 对非本机所负责解析区域的请求,全转发给指定的服务器
Options {
forward first|only;
fowwarders { ip;};
};
(2) 特定区域转发:仅转发对特定的区域的请求,比全局转发优先级高
zone "ZONE_NAME" IN {
type forward;
forward first|only;
forwarders { ip;};
};
first:首先转发，转发器不响应时，自行去递归查询
only：只转发,不递归
bind中ACL：基础的安全相关的配置:
acl: 把一个或多个地址归并为一个集合,并通过一个统一的名称调用
注意:只能先定义,后使用;因此一般定义在配置文件中,处于options的前面
格式:
acl acl_name {
ip;
net/prelen;
……
};
示例:
acl mynet {
172.16.0.0/16;
10.10.10.10;
};
四个内置的acl:
none: 没有一个主机
any: 任意主机
localhost: 本机
localnet: 本机的IP同掩码运算后得到的网络地址
注意:只能先定义,后使用;因此一般定义在配置文件中,处于options的前面
访问控制的指令:
allow-query {}: 允许查询的主机;白名单;
allow-transfer {}:允许区域传送的主机;白名单
allow-recursion {}: 允许递归的主机,建议全局使用，不要给互联网上所有主机递归，仅给自己内部的主机递归
allow-update {}: 允许更新区域数据库中的内容
bind view
view:视图,一个bind服务器可定义多个view,每个view中可定义一个或多个zone
每个view用来匹配一组客户端;
多个view内可能需要对同一个区域进行解析,但使用不同的
区域解析库文件
根据请求客户端的来源，将同一个主机名解析成相对应的不同IP地址
view internal {
match-client {192.168.10.0/24;};
zone "centos.org" IN {
type master;
file "centos.org/internal";
};
};
view external {
match-client {any;};
zone "centos.org" IN {
type master;
file "centos.org/external";
};
};
注意:
(1) 一旦启用了view,所有的zone都只能定义在view中
(2) 仅在允许递归请求的客户端所在view中定义根区域
(3) 客户端请求到达时,是自上而下检查每个view所服务的客户端列表
编译安装bind
下载bind:www.isc.org:
编译安装bind
# tar xvf bind-9.11.0a3.tar.gz
# cd bind-9.11.0a3/
# groupadd -r -g 53 named
# useradd -r -u 53 -g 53 named
# ./configure –prefix=/usr/local/bind9 –sysconfdir=/etc/named/ –disable-ipv6 –disable-chroot –enable-threads
# make
# make install
安装后配置
环境变量:
vim /etc/profile.d/named.sh
export PATH=/usr/local/bind9/bin:/usr/local/bind9/sbin/:$PATH
库和头文件
vim /etc/ld.so.conf.d/named.conf
/usr/local/bind9/lib
ldconfig -v
ls -sv /usr/local/bind9/include /usr/include/named
man帮助
vim /etc/man.config
MANPATH /usr/local/bind9/share/man
man named.conf
vim /etc/named/named.conf
options {
directory "/var/named/"
};
zone "." IN {
type hint;
file "named.ca";
};
zone "localhost" IN {
type master;
file “named.localhost";
allow-update {none;};
};
zone “1.0.0.127.in-addr.arpa" IN {
type master;
file "named.loopback";
allow-update {none;};
};
区域数据库
mkdir /var/named
named-checkconf
dig +norec @a.root-servers.net > /var/named/named.ca
vim /var/named/named.localhost
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
IN NS localhost.
localhost. IN A 127.0.0.1
vim /var/named/named.local
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
IN NS localhost.
IN PTR localhost.
设置权限
chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chown :named /var/named/*
chown :named /etc/named/named.conf
启动服务和测试
man named
named -u named -f -g -d 3 前端级别3方式运行
named -u named 后台运行
killall named
ss -uln
tail /var/log/message
named -u named
支持rndc
rndc reload 看报错提示
rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key
tail /etc/named/rndc.conf >> /etc/named/named.conf
killall -SIGHUP named
rndc status
压力测试 /root/bind-xxx/contrib/scripts
编译压力测试工具
cd /root/bind-xxx/contrib/queryperf
./configure
make
cp queryperf /usr/local/bind9/bin
queryperf -h
压力测试
vim test.txt
www.magedu.com A
magedu.com NS
magedu.com MX
pop3.magedu.com A
web.magedu.com A
queryperf -d test.txt -s 127.0.0.1
打开日志功能
rndc querylog
rndc status
queryperf -d test.txt -s 127.0.0.1
wc -l /var/log/message
DNS排错
#dig A example.com
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id:30523
…
srv.centos.org.
SERVFAIL:The nameserver encountered a problem while processing the query. 可使用dig +trace排错,可能是网络和防火墙导致
NXDOMAIN:The queried name does not exist in the zone. 可能是CNAME对应的A记录不存在导致
REFUSED:The nameserver refused the client's DNS request due to policy restrictions. 可能是DNS策略导致
NOERROR 不代表没有问题,也可以是过时的记录
flags:aa 标记判断,查看是否为权威记录
*.example.com. IN A 172.25.254.254 被删除的记录仍能返回结果,可能是因为*记录存在，如:
注意“.”的使用
避免CNAME指向CNAME记录,可能产生回环
test.example.com. IN CNAME lab.example.com.
lab.example.com. IN CNAME test.example.com.
正确配置PTR记录,许多服务依赖PTR,如sshd,MTA
正确配置轮询round-robin记录
原创文章，作者：anonymous，如若转载，请注明出处：http://www.178linux.com/49077
