【Linux】【Services】【DNS】bind基础
1. 概念
1.1. DNS： Domain Name Service， 应用层协议，占用53/udp, 53/tcp
1.2. tld（顶级域）：Top Level Domain
组织域：.com, .net, .org, .gov, .edu, .mil
国家域：.iq, .tw, .hk, .jp, .cn, ...
1.3. DNS查询类型包括递归查询和迭代查询
1.4. DNS名称解析方式：正向解析（名称-->IP），反向解析（IP-->名称）
1.5. DNS服务器类型：负责解析至少一个域（主名称服务器，辅助名称服务器），不负责解析（缓存名称服务器）
主DNS服务器：维护所负责解析的域数据库的那台服务器；读写操作均可进行；主服务器”通知“从服务器随时更新数据；
从DNS服务器：从主DNS服务器那里或其它的从DNS服务器那里“复制”一份解析库；但只能进行读操作
1.6. 区域传送：全量传送：axfr, 传送整个数据库；增量传送：ixfr, 仅传送变量的数据；
1.7. 区域(zone)和域(domain)：比如abc.com是域，在这个域下面包括正向解析和反向解析，每个解析库都有很多的区域。
1.8. BIND：Berkeley Internet Name Domain, 现在在ISC.org下维护，bind是dns协议的一种实现，named是bind程序的运行的进程名
2. 区域文件详解：
2.1 配置文件注解
magedu.com. 86400 IN SOA magedu.com. admin.magedu.com. ( 2017010801 ; serial # 序列号：也即是数据库的版本号；主服务器数据库内容发生变化时，其版本号递增； 2H ; refresh # 刷新时间间隔：从服务器每多久到主服务器检查序列号更新状况； 10M ; retry # 重试时间间隔：从服务器从主服务器请求同步解析库失败时，再次发起尝试请求的时间间隔； 1W ; expire # 过期时长：从服务器始终联系不到主服务器时，多久之后放弃从主服务器同步数据；停止提供服务； 1D ; negative answer ttl # 否定答案的缓存时长： )
2.2. 资源记录详解：Resource Record, 简称rr；
资源记录的定义格式：name [TTL] IN RR_TYPE value
SOA：Start Of Authority，起始授权记录； 一个区域解析库有且只能有一个SOA记录，而且必须放在第一条；
name: 当前区域的名字；例如”mageud.com.”，或者“2.3.4.in-addr.arpa.”；
value：有多部分组成
(1) 当前区域的区域名称（也可以使用主DNS服务器名称）；
(2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般使用点号来替代；
(3) (主从服务协调属性的定义以及否定答案的TTL)
例如
magedu.com. 86400 IN SOA magedu.com. admin.magedu.com. ( 2017010801 ; serial 2H ; refresh 10M ; retry 1W ; expire 1D ; negative answer ttl )
NS：Name Service，域名服务记录；一个区域解析库可以有多个NS记录；其中一个为主的；
name: 当前区域的区域名称
value：当前区域的某DNS服务器的名字，例如ns.magedu.com.；
注意：一个区域可以有多个ns记录；
例如：
magedu.com. 86400 IN NS ns1.magedu.com. magedu.com. 86400 IN NS ns2.magedu.com.
MX：Mail eXchanger，邮件交换器；
name: 当前区域的区域名称
value：当前区域某邮件交换器的主机名；
优先级：0-99，数字越小优先级越高；
注意：MX记录可以有多个；但每个记录的value之前应该有一个数字表示其优先级；
例如：
magedu.com. IN MX 10 mx1.magedu.com. magedu.com. IN MX 20 mx2.magedu.com.
A：Address, 地址记录，FQDN --> IPv4；
name：某FQDN，例如www.magedu.com.
value：某IPv4地址；
例如：
www.magedu.com. IN A 1.1.1.1 www.magedu.com. IN A 1.1.1.2 bbs.magedu.com. IN A 1.1.1.1
AAAA：地址记录， FQDN --> IPv6；
name：FQDN
value: IPv6
PTR：Pointer，IP --> FQDN
name：IP地址，有特定格式，IP反过来写，而且加特定后缀；例如1.2.3.4的记录应该写为4.3.2.1.in-addr.arpa.；
value：FQND
例如：
4.3.2.1.in-addr.arpa. IN PTR www.magedu.com.
CNAME：Canonical Name，别名记录；
name：FQDN格式的别名；
value：FQDN格式的正式名字；
例如：
web.magedu.com. IN CNAME www.magedu.com.
注意
(1) TTL可以从全局继承；
(2) @表示当前区域的名称；
(3) 相邻的两条记录其name相同时，后面的可省略；
(4) 对于正向区域来说，各MX，NS等类型的记录的value为FQDN，此FQDN应该有一个A记录；
3. BIND的安装和配置：（使用yum即可）
3.1 BIND程序包及操作系统版本：
OS：Red Hat Enterprise Linux Server release 7.2 (Maipo)
Kernel：3.10.0-327.el7.x86_64
bind-libs.9.9.4-29.el7：被bind和bind-utils包中的程序共同用到的库文件；
bind-utils.9.9.4-29.el7：bind客户端程序集，例如dig, host, nslookup等；
bind.9.9.4-29.el7：提供的dns server程序、以及几个常用的测试程序；
bind-chroot.9.9.4-29.el7：选装，让named运行于jail模式下；
3.2 BIND主程序：
主配置文件：/etc/named.conf以及被包含进来的其他文件，/etc/named.iscdlv.key，/etc/named.rfc1912.zones，/etc/named.root.key
解析库文件：/var/named/目录下，一般名字为：ZONE_NAME.zone
注意：
(1) 一台DNS服务器可同时为多个区域提供解析；
(2) 必须要有根区域解析库文件： named.ca；
(3) 还应该有两个区域解析库文件：localhost和127.0.0.1的正反向解析库；
正向：named.localhost
反向：named.loopback
（4）bind程序安装完成之后，默认即可做缓存名称服务器使用；如果没有专门负责解析的区域，直接即可启动服务；
CentOS 6: service named start
CentOS 7: systemctl start named.service
3.3. BIND主配置文件格式：
全局配置段：options { ... }
日志配置段：logging { ... }
区域配置段：zone { ... } 那些由本机负责解析的区域，或转发的区域；
注意：每个配置语句必须以分号结尾；
3.4. 缓存名称服务器的配置：
监听能与外部主机通信的地址；
listen-on port 53 { 172.16.100.67; };
学习时，建议关闭dnssec
dnssec-enable no;
dnssec-validation no;
dnssec-lookaside no;
关闭仅允许本地查询：
//allow-query { localhost; };
3.5. 配置解析一个正向区域：
3.5.1. 定义区域：在主配置文件中或主配置文件辅助配置文件中实现；
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
注意：区域名字即为域名；
3.5.2. 建立区域数据文件：在/var/named目录下建立区域数据文件；
# cat /var/named/magedu.com.zone
$TTL 3600 $ORIGIN magedu.com. @ IN SOA ns1.magedu.com. dnsadmin.magedu.com. ( 2017010801 1H 10M 3D 1D ) IN NS ns1 IN MX 10 mx1 IN MX 20 mx2 ns1 IN A 172.16.100.67 mx1 IN A 172.16.100.68 mx2 IN A 172.16.100.69 www IN A 172.16.100.67 web IN CNAME www bbs IN A 172.16.100.70 bbs IN A 172.16.100.71
# chgrp named /var/named/magedu.com.zone
# chmod o= /var/named/magedu.com.zone
# named-checkzone ZONE_NAME ZONE_FILE
# named-checkconf
# rndc reload
3.6. 配置解析一个反向区域
3.6.1. 定义区域:在主配置文件中或主配置文件辅助配置文件中实现；
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
注意：反向区域的名字,反写的网段地址.in-addr.arpa(100.16.172.in-addr.arpa)
3.6.2. 定义区域解析库文件（主要记录为PTR）
cat 100.16.172.in-addr.arpa $TTL 3600 $ORIGIN 100.16.172.in-addr.arpa. @ IN SOA ns1.magedu.com. nsadmin.magedu.com. ( 2017010801 1H 10M 3D 12H ) IN NS ns1.magedu.com. 67 IN PTR ns1.magedu.com. 68 IN PTR mx1.magedu.com. 69 IN PTR mx2.magedu.com. 70 IN PTR bbs.magedu.com. 71 IN PTR bbs.magedu.com. 67 IN PTR www.magedu.com. # chgrp named /var/named/172.16.100.zone # chmod o= /var/named/172.16.100.zone # named-checkzone ZONE_NAME ZONE_FILE # named-checkconf # rndc reload
3.7. 主从服务器（Master/Slave）：
On Master：
1）确保区域数据中间中为每个从服务器配置NS记录
2）在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录
3）此A后面的地址为真正的从服务器的IP地址
On Slave：
1）定义区域
// zone for cn.infra
// 养成写注释的好习惯
zone "cn.infra" IN {
type slave; //没啥好说的，类型为master，forward或者slave
file "slaves/cn.infra"; //同步主服务器配置的配置文件存放在本地的某个位置
//主服务的信息
masters {
10.29.248.11; //第一个master，可以写点服务器的信息
10.29.248.12; //第二个master
};
//允许同步文件的slave服务器
allow-transfer {
10.25.2.1; //SLAVE DNS IN WUHAN
10.24.195.1; //SLAVE DNS IN TIANJIN
10.26.2.30; //windows server
10.26.2.28; //windows server
};
//如果有变动需要通知的服务器
also-notify {
10.25.2.1; //SLAVE DNS IN WUHAN
10.24.195.1; //SLAVE DNS IN TIANJIN
};
};
2）named-checkconf
rndc reload或者systemctl reload named.service
3）注意时间要同步
3.8. 子域授权：
在父域上配置：
ops.magedu.com. IN NS ns1.ops.magedu.com. //NS记录 ops.magedu.com. IN NS ns2.ops.magedu.com. //NS记录 ns1.ops.magedu.com. IN A IP.AD.DR.ESS //被授权的子域的A记录 ns2.ops.magedu.com. IN A IP.AD.DR.ESS //被授权的子域的A记录
在子域上配置：
1）子域的服务器必须允许父域服务器做递归
2）定义区域转发：仅转发对某特定区域的解析请求；
zone "ZONE_NAME" IN {
type forward;
forward {first|only}; //first：首先转发；转发器不响应时，自行去迭代查询；only：只转发；
forwarders { SERVER_IP; };
};
3）定义全局转发：针对凡本地没有通过zone定义的区域查询请求，通通转给某转发器；
options {
... ...
forward {only|first};
forwarders { SERVER_IP; };
.. ...
};
3.9. 安全相关的配置：
3.9.1. acl：访问控制列表；把一个或多个地址归并一个命名的集合，随后通过此名称即可对此集全内的所有主机实现统一调用；
//mynet是acl的集合的名字
acl mynet {
172.16.0.0/16;
127.0.0.0/8;
};
内置的acl：
none：没有一个主机；
any：任意主机；
local：本机；
localnet：本机所在的IP所属的网络；
访问控制指令：
allow-query {}; 允许查询的主机；白名单；
allow-transfer {}; 允许向哪些主机做区域传送；默认为向所有主机；应该配置仅允许从服务器；
allow-recursion {}; 允许哪此主机向当前DNS服务器发起递归查询请求；
allow-update {}; DDNS，允许动态更新区域数据库文件中内容；
3.10. view
view VIEW_NAME {
zone
zone
zone
}
view internal {
match-clients { 172.16.0.0/8; };
zone "magedu.com" IN {
type master;
file "magedu.com/internal";
};
};
view external {
match-clients { any; };
zone "magecdu.com" IN {
type master;
file magedu.com/external";
};
};
4.常用命令：
4.1. named-chceckconf [/etc/named.conf] 检查配置文件语法错误
4.2. dig：
dig [-t RR_TYPE] name [@SERVER] [query options]
用于测试dns系统，因此其不会查询hosts文件；
查询选项：
+[no]trace：跟踪解析过程；
+[no]recurse：进行递归解析；
注意：反向解析测试
dig -x IP
模拟完全区域传送：
dig -t axfr DOMAIN [@server]
4.3. host命令：
host [-t RR_TYPE] name SERVER_IP
4.4. nslookup命令：交互式模式
nslookup [-options] [name] [server]
nslookup>
server IP：以指定的IP为DNS服务器进行查询；
set q=RR_TYPE：要查询的资源记录类型；
name：要查询的名称；
4.5. rndc命令：named服务控制命令
rndc status
rndc flush
浙公网安备 33010602011771号