目录

一、DNS

1.1 DNS 服务介绍

• DNS 协议运行在UDP和TCP之上，使用53号端口
• 其中在DNS解析查询时用到UDP协议，而在主从传递区域数据库文件时，用到TCP协议

1.2 互联网域名结构

一般结构

• 主机名.二级域名.顶级域名.根
• www.wsescape.com.

管理方式

• Internet 的顶级域名由 Internet 网络协会域名注册查询负责网络地址分配的委员会进行登记和管理
• 它还为 Internet 的每一台主机分配唯一的 IP 地址

1.3 DNS 的功能

每个 IP 地址都可以有一个主机名，主机名由一个或多个字符串组成，字符串之间用小数点隔开。有了主机名，就不要死记硬背每台 IP 设备的 IP 地址，只要记住相对直观有意义的主机名就行了。

主机名到 IP 地址映射的两种方式

• 静态映射

• 动态映射

# cat /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
# cat /etc/resolv.conf
nameserver 172.16.242.2

解析方式 - FQDN(Full Qualified Domain Name)

• 正向 ==> FQDN --> IP
• 反向 ==> IP --> FQDN
• 权威
• 非权威

解析顺序

• 在解析域名时，首先采用静态域名解析的方法，如果静态域名解析不成功，再采用动态域名解析的方法

一次完整的查询请求经过的流程

1.4 技术实现

• DNS还提供了一些额外的信息，例如系统别名、联系信息以及哪一个主机正在充当系统组或域的邮件枢纽
• 任何一个使用IP的计算机网络可以使用DNS来实现他自己的私有名称系统。

实现 DNS 的软件

• BIND
• DJBDNS
• MaraDNS
• Name Server Daemon
• PowerDNS
• Dnsmasq

DNS 查询类型

• 迭代查询
• 递归查询

1.5 DNS 的类型

• （1）Primary DNS Server(Master)

• （2）Secondary DNS Server(Slave)

• （3）Caching only Server(Cache)

• （4）转发服务器

主 DNS 服务器

• 维护所负责解析的区域内解析库服务器
• 解析库由管理维护，可以是手工也可以是自动的
• 通知机制
• 一旦主 DNS 服务器解析库发生改变会立即通知从服务器

从 DNS 服务器

• 从主DNS服务器或其他的从DNS服务器那里复制(区域传送)一份解析库
• 序列号

  来表示解析库的版本号

  前提是，主服务器解析库内容发生改变，其序列递增
• 刷新时间

  从服务器从主服务器请求同步解析库的时间间隔
• 重试时间

  从服务器从服务器请求同步解析库失败的时候，再次尝试的时间间隔
• 过期时长

  从服务器始终联系不到主服务器时，多久后放弃从服务器角度，停止提供服务

区域传送

全量传送

• 传送整个解析库

增量传送

• 传送解析库变化的那部分内容

1.6 资源记录类型

DNS 系统中，常见的资源记录类型：

• 主机记录（A记录）

  FQDN --> IP

  A记录是用于名称解析的重要记录，它将特定的主机名映射到对应主机的IP地址上
• 指针记录（PTR记录）

  IP --> FQDN

  引导至一个规范名称（Canonical Name），最常用来运行反向DNS查找
• 权威记录的起始（SOA记录）

  一个区域解析库有且仅能有一个SOA记录，而必须为解析库的第一条记录
• 名称服务器记录（NS记录）

• 别名记录（CNAME记录）

• MX 记录（MX记录）

• IPv6 主机记录（AAAA记录）

  FQDN --> IP

  与 A 记录对应，用于将特定的主机名映射到一个主机的IPv6地址。
• 服务位置记录（SRV记录）

• NAPTR 记录

1.7 资源记录格式

语法

name [TTL] IN rr_type value

• (1) TTL如果从全局继承可以省略，为缓存时长
• (2)IN表示Internet
• (3)rr_type表示资源记录类型
• (4) @可用于引用当前区域的名字
• (5) 同一个名字可以通过多条记录定义多个不同的值，此时DNS服务器会以轮询方式响应
• (6) 同一个值也可能有多个不同的定义名字，通过多个不同的名字指向同一个值进行定义，此仅表示通过多个不同的名字可以找到同一个主机而已

SOA

• name: 当前区域的名字，例如wsescape.com.
• value: 有多部分组成:

  (1) 当前区域的主DNS服务器的FQDN，也可以使用当前区域的名字

  (2) 当前区域管理员的邮箱地址，但地址中不能使用@符号，一般用.替换，例如linuxmail.wsescape.com

  (3) 主从服务协调属性的定义以及否定的答案的统一的TTL

# 86400为TTL值，单位为秒钟
# 主DNS服务器地址为ns.wsescape.com.
# 邮箱地址为nsadmin.wsescape.com.
# 第一版为2016052201，标识版本号
wsescape.com.86400INSOAns.nsadmin.wsescape.com.(
2016052201  ;序列号
2H          ;刷新时间，2小时
10M;重试时间，10分钟
1W;过期时间，一周
1D;否定答案的TTL值，一天
)

NS

• name: 当前区域的名字
• value: 当前区域的某DNS服务器的名字，例如ns.wsescape.com.
• 注意:

  (1) 相邻的两个资源记录的name相同时，后续的可省略

  (2) 对NS记录而言，任何一个NS记录后面的服务器名字，都应该在后续有一个A记录

# 一个区域可以有多个NS记录
# ns1.wsescape.com.和ns2.wsescape.com.都应该在后续有一个A记录
wsescape.com.INNS  ns1.wsescape.com.
wsescape.com.INNS  ns2.wsescape.com.

MX

• name: 当前区域的名字
• value: 当前区域的某邮件服务器(smtp服务器)的主机名

  (1)一个区域内，MX记录可以有多个

  (2)但每个记录的value之前应该有一个数字(0-99)，表示此服务器的优先级

  (3)数字越小优先级越高
• 注意

  (1) 相邻的两个资源记录的name相同时，后续的可省略

  (2) 对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录

# mx1.wsescape.com.和mx2.wsescape.com.都应该在后续有一个A记录
wsescape.com.IN  MX  10  mx1.wsescape.com.
INMX  20  mx2.wsescape.com.

A

• name: 某主机的FQDN，例如www.wsescape.com.
• value: 主机名对应主机的 IP 地址；
• 注意

  避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址

# 轮询
www.wsescape.com.IN  A1.1.1.1
www.wsescape.com.IN  A  1.1.1.2
# 一个主机有多个名称而已
mx1.wsescape.com.IN    A   1.1.1.3
mx2.wsescape.com.  IN  A   1.1.1.3

# 避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址
*.wsescape.com.IN  A  1.1.1.4
wsescape.com.IN  A   1.1.1.4

AAAA

与 `A` 记录类似，这是只是表示IPv6地址而已

# 轮询
www.wsescape.com.IN  AAAA1.1.1.1
www.wsescape.com.IN  AAAA  1.1.1.2
# 一个主机有多个名称而已
mx1.wsescape.com.IN    AAAA   1.1.1.3
mx2.wsescape.com.  IN  AAAA   1.1.1.3
# 避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址
*.wsescape.com.IN  AAAA  1.1.1.4
wsescape.com.IN  AAAA   1.1.1.4

PTR

• name: 这里的name表示的是IP地址
• IP地址有特定格式，把IP地址反过来写，如果是1.2.3.4需要写作4.3.2.1
• 还有特定后缀in-addr.arpa.，完整写法为4.3.2.1.in-addra.arpa.
• value: 这里的value值为FQDN
• 注意

  网络地址及后缀可省略，主机地址依然需要反着写

# 实例
4.3.2.1.in-addr.arpa.INPTRwww.wsescape.com.
# 如果3.2.1是网络地址简写成为
4   IN  PTRwww.wsescape.com.
# 如果2.1是网络地址简写成为
4.3  IN  PTRwww.wsescape.com.

CNAME

• name: 别名的FQDN
• value: 正工名字的FQDN

web.escapelife.com.IN  CNAME  www.escapelife.com.

1.8 个人使用

子域授权就是每个域的名称服务器，都是通过其上级名称服务器在解析库进行授权

类似根域授权tld

.com.INNS     ns1.com.
.com.   IN    NSns2.com.
ns1.com.INA   2.2.2.1
ns2.com.      INA2.2.2.2

# wsescape.com. 在.com的名称服务器上，解析库中添加资源记录
wsescape.com.INNSns1.wsescape.com.
wsescape.com.INNSns2.wsescape.com.
wsescape.com.INNSns3.wsescape.com.
ns1.wsescape.com.INA  3.3.3.1
ns2.wsescape.com.INA  3.3.3.2
ns3.wsescape.com.INA  3.3.3.3

域名注册

• 代理商
• 万网
• 新网
• godaddy

绑定服务器

• 注册完成以后，想自己用专用服务来解析？
• 管理后台，把 NS 记录指向的服务器名称和 A 记录指向的服务器地址

二、常用命令

2.1 dig命令

• 用于询问 DNS 域名服务器的灵活的工具
• 除非被告知请求特定域名服务器，dig将尝试 /etc/resolv.conf中列举的任何服务器
• 当未指定任何命令行参数或选项时，dig将对.（根）执行NS查询

格式

dig [-t type] name [@SERVER] [query options]

语法

• 类型查询

dig -t NS wsescape.com @172.16.242.178
dig -t MX wsescape.com @172.16.242.178
dig -t A www.baidu.com

• 查询选项

+[no]trace：跟踪解析过程
+[no]recurse：进行递归解析
测试反向解析：
dig -x IP @SERVER
dig -x 172.16.100.11 @172.16.242.178

• 模拟区域传送：

dig -t axfr ZONE_NAME @SERVER
dig -t axfr wsescape.com @172.16.242.178

2.2 host命令

• 它通过常转换指定主机名称的主机名称为 IP 地址
• 当不指定参数时，它显示host命令的帮助信息

格式

host [-t type] name [SERVER]

语法

• -a

• -C

• -l

• -i

• -r

• -v

• -4

• -6

• -t <类型>

实例展示

[[email protected] ~]# host -t A www.wsescape.com 172.16.242.178
Using domain server:
Name: 172.16.242.178
Address: 172.16.242.178#53
Aliases:
www.wsescape.com has address 172.16.100.11
www.wsescape.com has address 172.16.100.12
[[email protected] ~]# host -t A www.wsescape.com 172.16.242.178
Using domain server:
Name: 172.16.242.178
Address: 172.16.242.178#53
Aliases:
www.wsescape.com has address 172.16.100.12
www.wsescape.com has address 172.16.100.11

[[email protected] ~]# host --help
host: illegal option -- -
Usage: host [-aCdlriTwv] [-c class] [-N ndots] [-t type] [-W time]
            [-R number] [-m flag] hostname [server]
       -a is equivalent to -v -t ANY
       -c specifies query class for non-IN data
       -C compares SOA records on authoritative nameservers
       -d is equivalent to -v
       -l lists all hosts in a domain, using AXFR
       -i IP6.INT reverse lookups
       -N changes the number of dots allowed before root lookup is done
       -r disables recursive processing
       -R specifies number of retries for UDP packets
       -s a SERVFAIL response should stop query
       -t specifies the query type
       -T enables TCP/IP mode
       -v enables verbose output
       -w specifies to wait forever for a reply
       -W specifies how long to wait for a reply
       -4 use IPv4 query transport only
       -6 use IPv6 query transport only
       -m set memory debugging flag (trace|record|usage)

2.3 nslookup命令

nslookup 命令用于查找域名服务器的程序，有两种模式为互交和非互交

格式

nslookup [-option] [name | -] [server]

语法

• 非交互模式
• 直接查询即可
• 交互式模式

nslookup>
server IP: 指明使用哪个DNS server进行查询；
set q=RR_TYPE: 指明查询的资源记录类型；
NAME: 要查询的名称；

实例展示

[[email protected] ~]# nslookup
> server 172.16.242.178
Default server: 172.16.242.178
Address: 172.16.242.178#53
> set q=A
> www.wsescape.com
Server:172.16.242.178
Address:172.16.242.178#53
Name:www.wsescape.com
Address: 172.16.100.11
Name:www.wsescape.com
Address: 172.16.100.12
> set q=NS
> wsescape.com
Server:172.16.242.178
Address:172.16.242.178#53
wsescape.comnameserver = ns2.wsescape.com.
wsescape.comnameserver = ns1.wsescape.com.

# 非交互模式查询
[[email protected] ~]# nslookup baidu.com
Server:         8.8.8.8
Address:        8.8.8.8#53
Non-authoritative answer:
Name:   baidu.com
Address: 123.125.114.144
Name:   baidu.com
Address: 220.181.111.85
Name:   baidu.com
Address: 220.181.111.86

# 非交互模式查询
[[email protected] ~]# nslookup
> www.baidu.com
Server:172.17.0.254
Address:172.17.0.254#53
Non-authoritative answer:     #非权威答案，表明是在缓存中读取的
www.baidu.comcanonical name = www.a.shifen.com.
Name:www.a.shifen.com
Address: 61.135.169.105       #返回第一个IP地址
Name:www.a.shifen.com
Address: 61.135.169.125       #返回第二个IP地址
> server 8.8.8.8              #设置域名服务器为 8.8.8.8
Default server: 8.8.8.8
Address: 8.8.8.8#53
> www.baidu.com               #再次请求百度的IP地址
Server:8.8.8.8
Address:8.8.8.8#53
Non-authoritative answer:
www.baidu.comcanonical name = www.a.shifen.com.
Name:www.a.shifen.com
Address: 220.181.111.147      #不同的DNS获取的IP地址是不同的。

2.4 rndc命令

rndc客户端是通过建立套接字连接服务端，监听在TCP的953端口，来对服务端的named进行修改操作，但由于安全考虑，所以rndc的客户端和服务端安装在同一台主机之上。

语法 1

• -b

• -c config-file

• -k key-file

• -s server server

• -p port

• -V

• -y key_id

语法 2

• reload

• reload zone

• refresh zone

• retransfer zone

• notify zone

• reconfig

• status

• querylog

• dumpdb

• stop

• halt

• trace

• trace level

• notrace

• flush

• status

• restart

实例展示

# rndc工具能够帮助我们输出系统信息
[[email protected] ~]# rndc status
version: 9.8.2rc1-RedHat-9.8.2-0.47.rc1.el6
CPUs found: 1
worker threads: 1
number of zones: 20
debug level: 0
xfers running: 0
xfers deferred: 0
soa queries in progress: 0
query logging is OFF
recursive clients: 0/0/1000
tcp clients: 0/100
server is up and running
# rndc不重启加载区域文件
[[email protected] ~]# rndc reload

三、BIND的安装配置

DNS服务，程序包名bind，程序名named。

3.1 程序包

• bind

• bind-libs

• bind-utils

• bind-chroot

3.2 BIND配置文件

配置文件

• 服务启动脚本

• 主配置文件

• rndc是什么？

• 解析库文件

• 注意

#  在CentOS6下
[[email protected] ~]# rpm -ql bind | less
/etc/NetworkManager/dispatcher.d/13-named
/etc/logrotate.d/named
/etc/named
/etc/named.conf
/etc/named.iscdlv.key
/etc/named.rfc1912.zones
/etc/named.root.key
/etc/portreserve/named
/etc/rc.d/init.d/named
/etc/rndc.conf
/etc/rndc.key
/etc/sysconfig/named
/usr/lib64/bind
/usr/sbin/arpaname
......

# @表示当前区域的区域名称，在主配置文件/etc/named.conf中定义的
# TTL的值没写，因为定义了宏$TTL 1D，直接继承
# rname.invalid.表示管理员的邮箱地址
# 后面的如NS、A等缺省，因为继承前者的
[[email protected] named]# cat /var/named/named.localhost
$TTL 1D
@IN [email protected] rname.invalid. (
0; serial
1D; refresh
1H; retry
1W; expire
3H ); minimum
[email protected]
A127.0.0.1
AAAA::1
[[email protected] named]# cat /var/named/named.loopback
$TTL 1D
@IN [email protected] rname.invalid. (
0; serial
1D; refresh
1H; retry
1W; expire
3H ); minimum
[email protected]
A127.0.0.1
AAAA::1
PTRlocalhost.

主配置文件

• 全局配置

• 日志子系统配置

• 区域定义

• 注意

[[email protected] ~]# cat /etc/named.conf
options {
listen-on port 53 { 127.0.0.1; };
listen-on-v6 port 53 { ::1; };
directory"/var/named";
dump-file"/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query     { localhost; };
recursion yes;
dnssec-enable yes;
dnssec-validation yes;
dnssec-lookaside auto;
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
managed-keys-directory "/var/named/dynamic";
};
logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
zone "." IN {
type hint;
file "named.ca";
};
include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

# localhost.localdomain就是区域名称，也就是@
[[email protected] ~]# cat /etc/named.rfc1912.zones
zone "localhost.localdomain" IN {
type master;
file "named.localhost";
allow-update { none; };
};
zone "localhost" IN {
type master;
file "named.localhost";
allow-update { none; };
};
zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
type master;
file "named.loopback";
allow-update { none; };
};
zone "1.0.0.127.in-addr.arpa" IN {
type master;
file "named.loopback";
allow-update { none; };
};
zone "0.in-addr.arpa" IN {
type master;
file "named.empty";
allow-update { none; };
};

3.3 缓存名称服务器配置

• 修改listen-on port 53
• 修改allow-query
• 修改recursion

[[email protected] ~]#yum install bind

[[email protected] ~]# service named start
Generating /etc/rndc.key:                                  [  OK  ]
Starting named:                                            [  OK  ]

# 为了安全，安装上bind之后，默认只会监听本地，不对外提供服务
# 任何服务程序如果期望其能够通过网络被其它主机访问，至少应该监听在一个能与外部主机通信的`IP`地址上
# 编辑主配置文件即可
[[email protected] ~]# ss -tunlp | grep :53
udp    UNCONN     0      0              127.0.0.1:53                    *:*      users:(("named",39822,512))
udp    UNCONN     0      0                    ::1:53                   :::*      users:(("named",39822,513))
tcp    LISTEN     0      3                    ::1:53                   :::*      users:(("named",39822,21))
tcp    LISTEN     0      3              127.0.0.1:53                    *:*      users:(("named",39822,20))

# 修改之前先备份一下
# 逗号之前没有内容，默认为前一个的名称，后面为复制的内容
[[email protected] ~]# cp /etc/named.conf{,.bak}
[[email protected] ~]# ll /etc/named*
-rw-r-----. 1 root named  984 11月 20 2015 /etc/named.conf
-rw-r-----. 1 root root   984 6月  20 21:53 /etc/named.conf.bak

# //表示单行注释，注释ipv6
# /**/表示多行注释
# 修改的时候必须以;结尾且{}的两端必须有空格，否则为语法错误
# directory用来定义区域解析库文件存放位置
# 建议关闭dnssec功能
# 将dnssec-enable和dnssec-validation改为no，并注释key文件即可
# 把能够以外网进行通信的地址写在listen-on port 53之后，如果有多个可以多个添加，不能省略
# 如果将listen-on port 53进行注释或者删除，默认是监听在所有
# 将allow-query注释或改为allow-query { any; };
# 是否允许递归recursion，必须为yes
[[email protected] ~]# vim /etc/named.conf
options {
        listen-on port 53 { 172.16.242.178; 127.0.0.1; };
        listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
//      allow-query     { localhost; };
        recursion yes;
        dnssec-enable no;
        dnssec-validation no;
        /* Path to ISC DLV key */
//      bindkeys-file "/etc/named.iscdlv.key";
//      managed-keys-directory "/var/named/dynamic";
};

# 重启之后才能生效配置
[[email protected] ~]# service named restart
Stopping named: .                                          [  OK  ]
Starting named:                                            [  OK  ]
[[email protected] ~]# ss -tunlp | grep :53
udp    UNCONN     0      0         172.16.242.178:53                    *:*      users:(("named",40086,513))
udp    UNCONN     0      0              127.0.0.1:53                    *:*      users:(("named",40086,512))
udp    UNCONN     0      0                    ::1:53                   :::*      users:(("named",40086,514))
tcp    LISTEN     0      3                    ::1:53                   :::*      users:(("named",40086,22))
tcp    LISTEN     0      3         172.16.242.178:53                    *:*      users:(("named",40086,21))
tcp    LISTEN     0      3              127.0.0.1:53                    *:*      users:(("named",40086,20))

3.4 主 DNS 名称服务器配置

• 在/etc/named.rfc1912.zones添加zone记录
• 在/var/named/增加zone文件

(1) 在主配置文件中定义区域

格式

# master表示主DNS
# slave表示从DNS
# hint表示根
# forward做转发
# file使用的是主配置文件directory定义的路径
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};

修改配置

# 在/etc/named.rfc1912.zones文件内定义域名
# named-checkconf用来检查语法错误
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "wsescape.com" IN {
        type master;
        file "wsescape.com.zone";
};
[[email protected] ~]# named-checkconf

(2) 定义区域解析库文件

格式

出现的内容：
宏定义；
资源记录；

修改配置

# 这里$TTL用于定义TTL的值，86400为秒，可以使用1D来代替
# $ORIGIN用于指定域名词尾，如ns以及mx都为缺省了
# named-checkzone
# 两个www，在访问的时候会进行轮询操作的
# 泛域名解析这里的*，表示无论用户输入什么都不报错
# 或者写成*  IN  A  172.16.100.11，因为CNAME不能输入ip地址
[[email protected] ~]# cd /var/named/
[[email protected] named]# vim wsescape.com.zone
$TTL 86400
$ORIGIN wsescape.com.
@    IN    SOA    ns1.wsescape.com.    admin.wsescape.com (
2016042201
1H
5M
7D
1D )
 IN    NS        ns1
 IN    NS        ns2
 IN    MX 10     mx1
 IN    MX 20     mx2
ns1  IN    A172.16.100.11
ns2 IN    A172.16.100.12
mx1 IN    A172.16.100.13
mx2 IN    A172.16.100.14
www IN    A172.16.100.11
www IN    A172.16.100.12
ftp INCNAMEwww
*    IN CNAME   www
[[email protected] named]# named-checkzone "wsescape.com" /var/named/wsescape.com.zone
zone wsescape.com/IN: loaded serial 2016042201
OK

更改权限

# 可以查出进程是以named运行的
# 其中/etc/named.conf文件的属主为root，属组为named
# 为了安全起见，对自己创建的文件进行权限修改
[[email protected] named]# ps -aux | grep named
named     40086  0.0  1.1 160072 11736 ?        Ssl  22:07   0:00 /usr/sbin/named -u named
root      40785  0.0  0.0 103324   864 pts/0    S+   23:19   0:00 grep named
[[email protected] named]# ll /etc/named.conf
-rw-r-----. 1 root named 1004 6月  20 22:23 /etc/named.conf
[[email protected] named]# id named
uid=25(named) gid=25(named) 组=25(named)
[[email protected] named]# ll
总用量 32
drwxrwx---. 2 named named 4096 6月  20 21:45 data
drwxrwx---. 2 named named 4096 6月  20 21:45 dynamic
-rw-r-----. 1 root  named 3171 1月  11 22:12 named.ca
-rw-r-----. 1 root  named  152 12月 15 2009 named.empty
-rw-r-----. 1 root  named  152 6月  21 2007 named.localhost
-rw-r-----. 1 root  named  168 12月 15 2009 named.loopback
drwxrwx---. 2 named named 4096 5月  11 07:07 slaves
-rw-r--r--. 1 root  root   408 6月  20 22:53 wsescape.com.zone
[[email protected] named]# chmod 640 wsescape.com.zone
[[email protected] named]# chown :named wsescape.com.zone
[[email protected] named]# ll
总用量 32
drwxrwx---. 2 named named 4096 6月  20 21:45 data
drwxrwx---. 2 named named 4096 6月  20 21:45 dynamic
-rw-r-----. 1 root  named 3171 1月  11 22:12 named.ca
-rw-r-----. 1 root  named  152 12月 15 2009 named.empty
-rw-r-----. 1 root  named  152 6月  21 2007 named.localhost
-rw-r-----. 1 root  named  168 12月 15 2009 named.loopback
drwxrwx---. 2 named named 4096 5月  11 07:07 slaves
-rw-r-----. 1 root  named  408 6月  20 22:53 wsescape.com.zone

重启生效

[[email protected] ~]# service named restart
Stopping named: .                                          [  OK  ]
Starting named:                                            [  OK  ]
# 使用dig命令来帮助我们验证信息
# 因为之前的配置，这里会进行轮询操作
[[email protected] ~]# dig -t A wsescape.com @172.16.242.178

3.5 反向区域

• 一个区域只能有一个主服务器，无论是正向还是反向
• 一个主服务器可以有多个从服务器

• 如果都为172.16.100内的主机，那么网络地址就是172.16.100.
• 存在多种地址，如172.16.100.12、172.16.200.121等，那么网络地址就是172.16.
• 以此类推

什么是反向区域

格式

• 区域名称：网络地址反写.in-addr.arpa.
• 如172.16.100. ==> 100.16.172.in-addr.arpa.

如何定义反向区域

# file同样是一个相对路径，/var/named/
# 如果有多个正向域对应同一个网络的话，多个区域就重名了，所以这里的网络地址其实自己可以随意定义，如"网络地址1.zone"、"网络地址2.zone"等
# 如果只有一个反向区域的话，就只需要书写一个反向解析库，就可以"网络地址.zone"这样命名了
zone "ZONE_NAME" IN {
type {master|slave|forward}；
file "网络地址.zone"；
};

# 因为172.16.242.178和我们的其他服务器(172.16.100.12/172.16.100.11),所以只能写成"16.172.in-addr.arpa"和"172.16.zone"
# 最后添加如下内容
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "16.172.in-addr.arpa" IN {
type master；
file "172.16.zone"；
};

• 以PTR记录为主
• 不需要MX和A以及AAAA记录

# $TTL表示宏定义的TTL值
# $ORIGIN这里表示反向区域的名称
# 反向的主机名称不能省略
# 这里的11和12会自动补充上16.172.in-addr.arpa.
# 别名记录不用反解，所以ftp没有书写反向解析
# 这里可以使用vim -o wsescape.com.zone 16.172.zone来同时编辑两个文件的
[[email protected] ~]# cd /var/named/
[[email protected] named]# vim 100.16.zone
$TTL 86400
$ORIGIN 16.172.in-addr.arpa.
@IN  SOAns1.wsescape.com. admin.wsescape.com. (
  2016042201
  1H
  5M
  7D
  1D )
IN  NSns1.wsescape.com.
IN    NSns2.wsescape.com.
11.100IN  PTRns1.wsescape.com.
11.100IN  PTRwww.wsescape.com.
12.100IN  PTRmx1.wsescape.com.
12.100IN  PTRwww.wsescape.com.
13.100IN  PTRmx2.wsescape.com.

# 反向解析如果没有$ORIGIN的情况下，也可以这样写
[[email protected] named]# vim 100.16.zone
$TTL 86400
@IN  SOAns1.wsescape.com. admin.wsescape.com. (
  2016042201
  1H
  5M
  7D
  1D )
16.172.in-addr.arpa.IN  NSns1.wsescape.com.
IN    NSns2.wsescape.com.
11.100IN  PTRns1.wsescape.com.
11.100IN  PTRwww.wsescape.com.
12.100IN  PTRmx1.wsescape.com.
12.100IN  PTRwww.wsescape.com.
13.100IN  PTRmx2.wsescape.com.

[[email protected] named]# chmod 640 16.172.zone
[[email protected] named]# chmod :named 16.172.zone
# 语法
[[email protected] named]# named-checkconf
[[email protected] named]# named-checkzone "16.172.inaddr-addr" 16.172.zone
ok
[[email protected] named]# service named reload
# 检测
[[email protected] named]# host -t PRT 172.16.100.12 172.16.242.178
[[email protected] named]# dig -x 172.16.100.12 @172.16.242.178

3.6 从 DNS 名称服务器配置

• 在/etc/named.rfc1912.zones添加zone记录

主从复制

定义从区域的方法

• 正向从服务器格式

# 从服务器同步主服务器的解析文件会放在/var/named/slaves/中
zone "ZONE_NAME" IN {
type slave;
masters { MASTER_IP; };
file "slaves/ZONE_NAME.zone";
};

• 反向从服务器格式

# 从服务器同步主服务器的解析文件会放在/var/named/slaves/中
zone "Reverse_Net_Addr.in-addr.arpa" IN {
type master;
file "SOMEFILE.zone";
};

• （1）正向从服务器的实例

# 注意这里的从DNS服务器，需要在主DNS服务器中定义上NS记录
# 这样才能在主DNS的解析库发生改变的时候通知从DNS服务器进行同步，否则不会同步的
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "wsescape.com" IN {
type slave;
masters { 172.16.242.178; };
file "slaves/wsescape.com.zone";
};
# 重起服务即可成效
[[email protected] ~]# rndc reload
# 可以通过log进行查看
[[email protected] ~]# tail /var/log/messages

• （2）反向从服务器的实例

# 注意这里的从DNS服务器，需要在主DNS服务器中定义上NS记录
# 这样才能在主DNS的解析库发生改变的时候通知从DNS服务器进行同步，否则不会同步的
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "16.172.in-addr.arpa" IN {
type slave;
masters { 172.16.242.178; };
file "slaves/172.16.zone";
};
# 重起服务即可成效
[[email protected] ~]# rndc reload
# 可以通过log进行查看
[[email protected] ~]# tail /var/log/messages

四、高级功能之子域授权

4.1 子域授权的特点

特点

• 分布式数据库
• 正向解析区域的子域授权比较常见，而反向的相对来说比较难做

4.2 子域授权的方法

正向解析区域子域方法

# 定义一个子区域
# 在/var/named/下的指定文件中进行配置，如这里的/var/named/wsescape.com.zone
# 在我们授权了wsescape.com的前提下，定义两个子域，分别为ops和fin两个
ops.wsescape.com.INNSns1.ops.wsescape.com.
ops.wsescape.com.INNSns2.ops.wsescape.com.
ns1.ops.wsescape.com.INA1.1.1.1
ns2.ops.wsescape.com.INA1.1.1.2
fin.wsescape.com.INNSns1.fin.wsescape.com.
fin.wsescape.com.INNSns2.fin.wsescape.com.
ns1.fin.wsescape.com.INA3.1.1.1
ns2.fin.wsescape.com.INA3.1.1.2

4.3 解析方式

外部解析

• 先找根(.)，根说你去找com
• 再找com，com说你去找wsescape
• 再找wsescape，wsescape说你去找ops
• 最后ops返回需要的信息

内部解析

• 先找ops，ops说你找根
• 再找根(.)，根说你去找com
• 再找com，com说你去找wsescape
• 最后wsescape返回需要的信息

4.4 定义转发服务器

注意

dnssec-enable no
dnssec-validation no

转发模式

(1) 全局转发

# forward定义转发模式
# first表示先转发给指定解析服务器，如无响应的话再找根服务器，即先递归在迭代
# only表示转发给指定解析服务器，仅仅递归
# fowwarders定义转发给谁
Options {
forward { first|only };
forwarders;
}

(2) 区域转发

# forward定义转发模式
# first表示先转发给指定解析服务器，如无响应的话再找根服务器，即先递归在迭代
# only表示转发给指定解析服务器，仅仅递归
# fowwarders定义转发给谁
zone "ZONE_NAME" IN {
type forward;
forward { first|only };
forwarders;
}

4.5 子域父域配置

前提：

• 父域IP地址 ==> 172.16.100.11
• 子域IP地址 ==> 172.16.100.12
• 能访问互联网的IP地址 ==> 172.16.0.1

（1）父域服务器配置

# 一台独立的主机，这里配置父域就是在主服务器配置的基础上，添加子域而已
# 注释的话，默认监听所有
# 如果发现测试无法成功，查看/etc/named.conf中的dnssec改为no而非注释掉，否则导致本地客户端不接受

[[email protected] ~]# yum installl -y bind
[[email protected] ~]# vim /etc/named.conf
options {
//      listen-on port 53 { 172.16.242.178; 127.0.0.1; };
//      listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
//      allow-query     { localhost; };
        recursion yes;
        dnssec-enable no;
        dnssec-validation no;
        /* Path to ISC DLV key */
//      bindkeys-file "/etc/named.iscdlv.key";
//      managed-keys-directory "/var/named/dynamic";
};

[[email protected] ~]# service named start
[[email protected] ~]# ss -tunl | grep :53
udp    UNCONN     0      0              127.0.0.1:53                    *:*
udp    UNCONN     0      0                    ::1:53                   :::*
tcp    LISTEN     0      3                    ::1:53                   :::*
tcp    LISTEN     0      3              127.0.0.1:53                    *:*

[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "wsescape.com" IN {
type master;
file "wsescape.com.zone";
};

# ops、ns2.ops和ns1.ops都会自动补全wsescape.com.
# 这里没有定义ns2.ops的A记录，是因为ns2.ops我们没有配置主机
# 如果父域需要查找子域的时候，可能会跑到我们这个没有配置的机器上，导致服务解析，所以这就是没有定义的原因
[[email protected] ~]# vim /var/named/wsescape.com.zone
$TTL 1D
$ORIGIN wsescape.com.
@    IN    SOA    ns1.wsescape.com.    admin.wsescape.com (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   ns1
   IN    NS   ns2
ns1    IN    A    172.16.100.11
ns2    IN    A    172.16.100.18
www    IN A    172.16.100.11
*      IN    A    172.16.100.11
ops    IN    NS   ns1.ops
ops    IN    NS   ns2.ops
ns1.ops    IN    A    172.16.100.12

[[email protected]alhost ~]# cd /var/named/
[[email protected] named]# chown :named wsescape.com.zone
[[email protected] named]# chmod 640 wsescape.com.zone
[[email protected] ~]# rndc reload
server reload successful
[[email protected] ~]# tail /var/log/messages

（2）子域服务器配置

# 配置子域服务器，即一台独立的主机，和父域配置没什么大的差别
# 注释的话，默认监听所有
# 如果发现测试无法成功，查看/etc/named.conf中的dnssec改为no而非注释掉，否则导致本地客户端不接受

[[email protected] ~]# yum installl -y bind
[[email protected] ~]# vim /etc/named.conf
options {
//      listen-on port 53 { 172.16.242.178; 127.0.0.1; };
//      listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
//      allow-query     { localhost; };
        recursion yes;
        dnssec-enable no;
        dnssec-validation no;
        /* Path to ISC DLV key */
//      bindkeys-file "/etc/named.iscdlv.key";
//      managed-keys-directory "/var/named/dynamic";
};

[[email protected] ~]# service named start
[[email protected] ~]# ss -tunl | grep :53
udp    UNCONN     0      0              127.0.0.1:53                    *:*
udp    UNCONN     0      0                    ::1:53                   :::*
tcp    LISTEN     0      3                    ::1:53                   :::*
tcp    LISTEN     0      3              127.0.0.1:53                    *:*

[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "ops.wsescape.com"  IN {
type master;
file "ops.wsescape.com.zone";
};

# ns1和ns2都会自动补全ops.wsescape.com.
# 这里也省略了ns2的定义，因为没有这里机器，如果父域需要查找子域的时候
# 可能会跑到我们这个没有配置的机器上，导致服务解析，所以这就是没有定义的原因
[[email protected] ~]# vim /var/named/ops.wsescape.com.zone
$TTL 1D
$ORIGIN ops.wsescape.com.
@    IN    SOA    ns1.ops.wsescape.com.    admin.ops.wsescape.com (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   ns1
   IN    NS   ns2
ns1    IN    A    172.16.100.12
www    IN A    172.16.100.20
*      IN    A    172.16.100.20

[[email protected] ~]# cd /var/named/
[[email protected] named]# chown :named wsescape.com.zone
[[email protected] named]# chmod 640 wsescape.com.zone
[[email protected] ~]# rndc reload
server reload successful
[[email protected] ~]# tail /var/log/messages

（3）测试配置

# 当这里，我们会发现如下问题
# 在子域服务器中，执行命令后可以查看ops的信息
# 172.16.100.12为子域服务器
[[email protected] ~]# dig -t A www.ops.wsescape.com @172.16.100.12
# 在子域服务器中，执行命令后在无网络的情况下不能查看父域的信息，在有网的情况下会根据根返回的信息来定位父域信息
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.12
# 在父域服务器中，执行命令后可以查看子域ops的信息
# 这里dig命令默认执行一个递归操作，所以这里需要加上+norecurse非递归即可
# 172.16.100.11为父域服务器
[[email protected] ~]# dig -t A ops.wsescape.com @172.16.100.11 +norecurse
[[email protected] ~]# dig -t A www.ops.wsescape.com @172.16.100.11 +norecurse

4.6 定义转发域

注意

• 如果发现测试无法成功，查看/etc/named.conf中的dnssec改为no而非注释掉，否则导致本地客户端不接受
• 如果测试应该为不能解析但是还是解析了，可能需要清空缓存rndc flush

服务配置

（1）全局转发

# 在父域中配置
# 全局转发，就是通通转发给172.16.0.1来查询
# 在父域服务器上编辑/etc/named.conf，在options添加如下信息
# 由于上述的机器没有连接互联网，所以可以通过172.16.0.1进行解析
[[email protected] ~]# vim /etc/named.conf
Options {
forward first;
forwarders { 172.16.0.1； };
}
[[email protected] ~]# rndc reload
server reload successful
[[email protected] ~]# tail /val/log/messages
# 父域中测试可以
[[email protected] ~]# dig -t A www.baidu.com @172.16.100.11

（2）区域转发

# 在子域中配置
# 区域转发，就是将wsescape.com这个域内的查询转发给172.16.100.11来查询
# 在子域服务器上编辑/etc/named.rfc1912.zones最后添加一个zone
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "wsescape.com"  IN  {
type forword;
forward only;
forwarders { 172.16.100.11; };
};
[[email protected] ~]# rndc reload
server reload successful
[[email protected] ~]# tail /val/log/messages
# 子域中测试可以，成功
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.12

（3）测试配置

# 父域中测试，成功
[[email protected] ~]# dig -t A www.ops.wsescape.com @172.16.100.11
[[email protected] ~]# dig -t A www.baidu.com @172.16.100.11
# 子域中测试，子域知道父域在哪里，成功
# 在子域中还是无法解析，因为指定要了定义区域wsescape.com可以解析
# 如果在子域中，即定义了全局转发有定义了区域转发，优先级为能够精确匹配到的先通过区域转发，不能再通过全局转发
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.12
# 子域解析失败
[[email protected] ~]# dig -t A www.baidu.com @172.16.100.12

五、高级功能之view视图

5.1 BIND中基础的安全相关的配置

（1）acl机制

• 把一个或多个地址归并为一个集合，并通过一个统一的名称调用
• 只能先定义后使用，其一般定义在配置文件中options的前面

（2）acl格式

# acl表示关键字，acl_name表示自定义名称
# ip表示单个的IP地址，net表示网络，意思就是单个IP和网络都可以定义
acl acl_name {
ip;
ip;
net/prelen;
};

（3）四个内置的acl

• none ==> 没有一个主机
• any ==> 任意主机
• local ==> 本机
• localnet ==> 本机的IP同掩码运算后得到的网络地址

（4）访问控制的指令

• allow-query {} ==> 允许查询的主机，即白名单
• allow-transfer {} ==> 允许区域传送的主机，即白名单
• allow-recursion {} ==> 允许递归的主机
• allow-update {} ==> 允许更新区域数据库中的内容，建议设置为none

（5）演示示例

# 这里我们定义的acl，可以在主配置文件/etc/named.conf中的option中使用，可以在`/etc/named.rfc1912.zones`中使用
# 定义自己的acl
acl mynet {
172.16.1.100;
172.16.0.0/16;
}

# 在/etc/named.conf中的option中使用
[[email protected] ~]# vim /etc/named.conf
acl mynet {
172.16.1.100;
172.16.0.0/16;
}
options {
//      listen-on port 53 { 172.16.242.178; 127.0.0.1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { mynet; };
        recursion yes;
        dnssec-enable no;
        dnssec-validation no;
};
...

# 在`/etc/named.rfc1912.zones`中使用
[[email protected] ~]# vim /etc/named.rfc1912.zones
zone "wsescape.com"  IN {
type master;
file "wsescape.com.zone";
allow-query { mynet; };
};
...

5.2 BIND view

用途：

• 如按照内、外网指定不同访问方式来访问网站
• 如按照运营商类型制定不同用户访问指定的服务器来访问网站
• 其实 BIND view就是实现分布式缓存，类似于CDN的一致方式

解析过程

• 当一个用户请求接收之后，首先判断用户的来源，然后自上而下逐个与各个view自己的用户节系列表进行匹配，最终来确定view系统解析功能，返回指定的区域解析库文件
• 一般用view1匹配第一个网络， 用view2匹配第二个网络， 用view3匹配其余网络，保证不会有缺漏

（1）视图

• 一个bind服务器可定义多个view，每个view中可定义一个或多个zone区域
• 每个view用来匹配一组请求的客户端
• 多个view内可能需要对同一个区域进行解析，但使用不同的区域解析库文件

（2）格式

• view是自上而下，逐一匹配
• 大多数用在option中的指令，都可以用在view中

view VIEW_NAME {
match-clients {  };
}

（3）注意

（4）实验演示

• 将来自172.16网络并访问www.wsescape.com的用户，使用172.16.100.11这个DNS服务器来指定www服务器的地址
• 将非来自172.16网络并访问www.wsescape.com的用户，使用公网2.2.2.1这个DNS服务器来指定www服务器的地址

# 在172.16.100.11的主机中
# 定义acl并将/etc/named.conf中定义的根zone删除
[[email protected] ~]# vim /etc/named.conf
# 删除如下根zone
zone  "."  IN  {
type hint;
file "named.ca";
};
# 添加acl
acl mynet  {
172.16.0.0/16;
127.0.0.0/8;
};

# 在172.16.100.11的主机中
# 将根移到/etc/named.rfc1912.zones中，并将所有的zone包含在view中
# 并添加内部访问配置internal
[[email protected] ~]# vim /etc/named.rfc1912.zones
# 添加view，限制mynet用户可以访问并允许递归
view  internal  {
match-chlients { mynet; };
allow-recursion { mynet; };
# 添加根
zone  "."  IN  {
type hint;
file "named.ca";
};
# 由于之前的设置，这里是有wsescape.com，并配置了wsescape.com.zone文件
zone  "wsescape.com"  IN  {
type master;
file "wsescape.com.zone";
}
...
};

# 在172.16.100.11的主机中
# 如果我们在/etc/named.conf中增加192.168.0.0/24网络，就可以在192.168.0.13中可以解析，这里没有添加进去
[[email protected] ~]# named-checkconf
[[email protected] ~]# service named restart
# 在172.16.100.11主机上，成功
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.11
# 如果配置了，在192.168.0.13主机上，成功
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.11

# 在172.16.100.11的主机中
# 在/etc/named.rfc1912.zones中，添加外部访问配置
# 这里对没有匹配到的主机，不进行递归，所以在external就没有添加根域
[[email protected] ~]# vim /etc/named.rfc1912.zones
view external {
match-clents { any; };
zone "wsescape.com"  IN  {
type master;
file "wsescape.com.external";
allow-update { none; };
};
};
[[email protected] ~]# cd /var/named/
# 归档复制
[[email protected] named]# cp -a wsescape.com.zone wsescape.com.external
# 这里的2.2.2.1表示的是wsescape.com网站的公网DNS服务器
[[email protected] named]# vim wsescape.com.external
$TTL 1D
$ORIGIN wsescape.com.
@    IN    SOA    ns1.wsescape.com.    admin.wsescape.com (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   ns1
   IN    NS   ns2
ns1    IN    A    172.16.100.11
ns2    IN    A    172.16.100.18
www    IN A    2.2.2.1
*      IN    A    2.2.2.1
[[email protected] ~]# service named restart

# 在172.16.100.11主机上，成功来自172.16.100.11
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.11
# 在192.168.0.13主机上，成功来自2.2.2.1
[[email protected] ~]# dig -t A www.wsescape.com @172.16.100.1

六、高级功能之编译安装BIND

# 最小化安装机器
[[email protected] ~]# yum  groupinstall "Development Tools" "Server Platform Development"

# 去官网isc.org下载安装包，bind-9.10.1-P1.tar.gz
# bind9和bind10的区别很大，而且bind10还在测试阶段
# 创建named用户和组
# 安装在同一目录下/usr/local/bind9，系统文件放在/etc/named/
# 禁用IPv6功能，禁用chroot功能，启动线程多核工作
# 自己手动编译安装bind可能会出现的问题
# （1）在/etc/named/没有配置文件或者为空，需要自己创建
# （2）没有任何区域解析库文件，即/var/named，所以也没有13个根节点，需要自己创建
# （3）没有rndc的配置文件，需要自己创建
# （4）没有启动脚本，没有/etc/init.d/named文件
# 这里由于自定义安装到了/usr/local/bind9中，所以像dig、host等工具不能直接调用，需要完整路径

[[email protected] ~]# tar xf bind-9.10.1-P1.tar.gz
[[email protected] ~]# cd bind-9.10.1-P1
[[email protected] ~]# groupadd -r -g 53 named
[[email protected] ~]# useradd -r -u 53 -g 53 named
[[email protected] ~]# ./configure --prefix=/usr/local/bind9 --sysconfdir=/etc/named/ --disable-ipv6 --disable-chroot --enable-threads
[[email protected] ~]# make
[[email protected] ~]# make install

# 添加环境变量，就可以调用相关命令
[[email protected] ~]# vim /etc/profile.d/named.sh
export PATH=/usr/local/bind9/bin:/usr/local/bind9/sbin:$PATH
[[email protected] ~]# . /etc/profile.d/named.sh
# 导出库文件
[[email protected] ~]# vim /etc/ld.so.conf.d/named.conf
/usr/loacl/bind9/lib
# 重新载入库文件
[[email protected] ~]# ldconfig -v
# 如果有头文件，导出头文件
[[email protected] ~]# ln -sv /usr/local/bind9/include /usr/include/named
# 之后就可以使用/usr/include/named来访问/usr/local/bind9/中的头文件了
[[email protected] ~]# ls /usr/include/named
# 在/usr/local/bind9/下有share的帮助文件，添加MANPATH将其放入man中
[[email protected] ~]# vim /etc/man.conf
MANPATH /usr/local/bind9/share/man

# 添加主配置文件，这里只添加directory就可以了
[[email protected] ~]# vim /etc/named/named.conf
option  {
directory "/var/named"
};
zone  "."  IN  {
type hint;
file "named.ca";
};
zone  "localhost"  IN  {
type master;
file "localhost.zone";
allow-update { none; };
};
zone  "0.0.127.in-addr.arpa"  IN  {
type master;
file "named.local";
allow-update { none; };
};
[[email protected] ~]# mkdir /var/named/{named.ca, localhost.zone, named.local}

# 使用dig命令来生成13个根节点，172.16.0.1为网关地址，可以帮助我们连接外网的地址，获取13个根节点
[[email protected] ~]# dig -t NS . @172.16.0.1 > /var/named/named.ca
[[email protected] ~]# vim /var/named/localhost.zone
$TTL 1D
@    IN    SOA    localhost.    admin.localhost. (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   localhost.
localhost.    IN    A    172.0.0.1
[[email protected] ~]# vim /var/named/named.local
$TTL 1D
@    IN    SOA    localhost.    admin.localhost. (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   localhost.
1    IN    PRT    localhost.
[[email protected] ~]# cd /var/named/
[[email protected] named]# chmod 640 ./*
[[email protected] named]# chown :named *
[[email protected] named]# chmod 640 /etc/named/named.conf

# 查看帮助文档
[[email protected]calhost ~]# man named
# 启动named服务，调试
[[email protected] ~]# named -u named -f -g -d 3
# 启动named服务，不调试
[[email protected] ~]# named -u named
# 查看是否启动
[[email protected] ~]# ss -tunl named | grep :53
# 关闭named服务
[[email protected] ~]# killall named

# 添加解析区域
[[email protected] ~]# vim /etc/named/named.conf
zone  "wsescape.com"  IN  {
type master;
file "wsescape.com.zone";
allow-update { none; };
};
[[email protected] ~]# vim /var/named/wsescape.com.zone
$TTL 1D
$ORIGIN wsescape.com.
@    IN    SOA    ns.wsescape.com.    admin.wsescape.com. (
  2016042201
  1H
  5M
  7D
  1D )
   IN    NS   ns
ns     IN    A    172.16.100.11
www    IN    A    172.16.100.11
[[email protected] named]# chmod 640 wsescape.com.zone
[[email protected] named]# chown :named wsescape.com.zone
# 启动
[[email protected] named]# named -u named
# 解析正常
[[email protected] named]# dig -t A www.wsescape.com @172.16.100.11

# 当我们使用rndc reload等的时候，会提示我们没有配置文件
# 想让rndc可用，使用rndc-confgen来生成配置文件
# 如果使用rndc-confgen发生堵塞，可以使用rndc-confgen -r /dev/urandom来生成随机数
# 用rndc-confgen生成的文件，将#Start和#End之间的配置文件放到/etc/named/rndc.conf中，之后根据提示将后续的内容放到/etc/named/named.conf中

[[email protected] ~]# rndc-confgen
# Start of rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "ZeE7NXZTprjARrGN/KRANQ==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};
# End of rndc.conf
# Use with the following in named.conf, adjusting the allow list as needed:
# key "rndc-key" {
#algorithm hmac-md5;
#secret "ZeE7NXZTprjARrGN/KRANQ==";
# };
#
# controls {
#inet 127.0.0.1 port 953
#allow { 127.0.0.1; } keys { "rndc-key"; };
# };
# End of named.conf
# 现在rndc reload可以使用了
[[email protected] ~]# rndc reload
# 之后就只需要给提供一个脚本来像service一样，启动和关闭服务，不难的

# 编译安装，在bind-9.10.1-P1源码目录下，有一个contrib目录
# 其中包含的是第三方贡献的补充增强bind的功能
# 其中有一个目录为scripts包含一些脚本，我们可以参考
# 还有一个目录为queryperf来评估查询性能的，做压测的，需要编译安装才能使用
# 编译安装queryperf，只需要在其目录下执行./configure和make即可完成
# 就会生成一个queryperf的可执行文件，执行下列操作就可以直接使用了
[[email protected] queryperf]# cp queryperf /usr/local/bind9/bin/
# 在测试的时候，需要指定一个测试的文件，如test
[[email protected] ~]# vim test
www.wsescape.com A
wsescape.com NS
[[email protected] ~]# queryperf -d test -s 172.16.100.11

文章作者: Escape 

链接: https://escapelife.github.io/posts/531caad6.html

   学习更多技术，关注我：