DNS域名解析服务

BIND 域名服务基础

DNS系统的作用及类型

DNS 系统在网络中的作用就是维护一个地址数据库，其中记录了各种主机域名与IP地址的对应关系，以便为客户程序提供正向或反向的地址查询服务，即正向解析与反向解析。

>  正向解析：根据域名查IP地址，即将指定的域名解析为相对应的IP地址。域名的正向解析是DNS服务器最基本的功能，也是最常用的功能。

>  反向解析：根据IP地址查域名，即将指定的IP地址解析为相对应的域名。域名的反向解析不是很常用，只在一些特殊场合才会用到，比如可用于反垃圾邮件的验证。

实际上，每一台DNS服务器都只负责管理一个有限范围(一个或几个域)内的主机域名和IP地址的对应关系，这些特定的DNS域或IP地址段称为zone(区域)。根据地址解析的方向不同，DNS区域相应地分为正向区域(包含域名到IP地址的解析记录)和反向区域(包含IP地址到域名的解析记录)。

根据所管理的区域地址数据的来源不同，DNS 系统可以分为不同的类型。在同一台DNS服务器中，相对于不同的区域来说，也拥有不同的身份。常见的几种类型如下。

>  缓存域名服务器：只提供域名解析结果的缓存功能，目的在于提高查询速度和效率，但是没有自己控制的区域地址数据。构建缓存域名服务器时，必须设置根域或指定其他DNS 服务器作为解析来源。

>  主域名服务器：维护某一个特定 DNS  区域的地址数据库，对其中的解析记录具有自主控制权，是指定区域中唯一存在的权威服务器、官方服务器。构建主域名服务器时，需要自行建立所负责区域的地址数据文件。

>  从域名服务器：与主域名服务器提供完全相同的DNS解析服务，通常用于DNS服务器的热备份。对客户机来说，无论使用主域名服务器还是从域名服务器，查询的结果都是一样的。关键区别在于，从域名服务器提供的解析结果不是由自己决定的，而是来自于主域名服务器。构建从域名服务器时，需要指定主域名服务器的位置，以便服务器能自动同步区域的地址数据库。

以上所述主、从服务器的角色只是针对某一个特定的DNS 区域来说的。例如，同一台DNS服务器，可以是“.chinaunix.net”区域的主域名服务器，同时也可以是“.cublog.cn”区域的从域名服务器。

BIND  的安装和控制

BIND 不是唯一能够提供域名服务的DNS  服务程序，但它却是应用最为广泛的， BIND可以运行在大多数Linux/UNIX 主机中。

1.安装BIND软件

在CentOS   系统中，系统光盘自带了 BIND 服务的安装文件，主要包括以下几个软件包。

>   bind-9.9.4-37.el7.x86_64.rpm。

>   bind-utils-9.9.4-37.el7.x86_64.rpm。

>   bind-libs-9.9.4-37.el7.x86_64.rpm。

>   bind-chroot-9.9  .4-37.el7.x86_64.rpm。

各软件包的主要作用如下。

>  bind:   提供了域名服务的主要程序及相关文件。

>  bind-utils: 提供了对DNS 服务器的测试工具程序，如nslookup 等。

>   bind-libs:  提供了bind、bind-utils 需要使用的库函数。

>   bind-chroot:    为BIND 服务提供一个伪装的根目录(将/var/named/chroot   /文件夹作为 BIND 服务的根目录),以提高安全性。

yum -y install bind*

2.BIND 服务控制

BIND软件包安装完毕以后，会自动增加一个名为named的系统服务，通过systemctl工具可以控制DNS域名服务的运行。例如，执行以下操作可以查询named服务的运行状

态。

[root@localhost ~]# systemctl status named

BIND 服务的配置文件

使用BIND 软件构建域名服务时，主要涉及两种类型的配置文件：主配置文件和区域数据文件。其中，主配置文件用于设置named服务的全局选项、注册区域及访问控制等各种运行参数；区域数据文件用于存放某个DNS区域的地址解析记录(正向记录或反向记录)。

1. 主配置文件

主配置文件 named.conf 通常位于/etc/目录下，在 named.conf 文件中，主要包括全局 配置、区域配置两个部分，每一条配置记录的行尾以分号“;”表示结束，以“#”号或“//”开始的部分表示注释文字(大段注释可以使用“/” ……*”的格式)。

1)全局配置部分

全局配置参数包括在形如“options{};”   的大括号中，如可以设置监听的地址和端口、区域数据文件存放的目录、允许哪些客户机查询等。

2) 区域配置部分

区域配置参数使用“zone     ……{};”的配置格式，一台DNS 服务器可以为多个区域提供解析，因此在named.conf 文件中也可以有多个zone 配置段。区域类型按照解析方向可分为正向区域、反向区域。

在上述配置内容中，有几个地方需要注意：

>   每个zone 区域都是可选的(包括根域、回环域、反向域),具体根据实际需要而定，zone配置部分的“IN”关键字也可以省略。

>  反向区域的名称由倒序的网络地址和“i n-addr.arpa”组合而成。例如，对于192.168.1.0/24 网段，其反向区域名称表示为“1 .168.192.in-addr.arpa”  。

>   file  配置项用于指定实际的区域数据文件，文件名称由管理员自行设置。

>   区域配置中的部分参数(如 allow-transfer ) 也可以放在全局配置中。

修改完主配置文件以后，可以执行“named-checkconf”    命令对 named.conf    文件进行语法检查。如果文件中没有语法错误，该命令将不给出任何提示；反之，则会给出相应的提示信息，然后根据出错提示修正文件中的错误即可。带“-z” 选项的"named-checkconf" 命令还可以尝试加载主配置文件中对应的区域数据库文件，并检查该文件是否存在问题。例如，当出现“…file not found”的错误时，表示找不到对应的文件。

[root@localhost ~]#named-checkconf -z/etc/named.conf

关于 named.conf  文件中各种配置项的详细说明，可以执行“man named.conf”命令查看 手册页，也可参考配置样本文件/usr/share/doc/bind9.9.4/sample/etc/named.conf。

2. 区域数据配置文件

区域数据配置文件通常位于var/named/目录下，每个区域数据文件对应一个DNS 解析区域，文件名及内容由该域的管理员自行设置。

根域“”的区域数据文件比较特殊。Internet   中所有的DNS 服务器都使用同一份根区域 数据文件，其中列出了所有根服务器的域名和IP 地址。根区域数据文件可以从国际互联网络信息中心 ( InterNIC)  的官方网站地址 InterNIC | The Internet's Network Information Center下载。

在区域数据文件中，主要包括TTL(Time  To  Live, 生存时间)配置项、SOA(Start     Of Authority,  授权信息开始)记录、地址解析记录。文件中的注释信息以“;”(分号)开始。

1) TTL 配置及SOA记录部分

第一行的TTL配置用于设置默认生存周期，即缓存解析结果的有效时间。SOA记录部分用于设置区域名称、管理邮箱，以及为从域名服务指定更新参数。

2) 地址解析记录部分

地址解析记录用来设置DNS区域内的域名、IP地址映射关系，包括正向解析记录和反向解析记录。反向解析记录只能用在反向区域数据文件中。

上述配置内容中，用到以下四种常见的地址解析记录。

>   NS(Name   Server,  域名服务器):记录当前区域的DNS  服务器的主机地址。

>   MX(Mail    Exchange, 邮件交换):记录当前区域的邮件服务器的主机地址，数字10表示(当有多个MX记录时)选择邮件服务器的优先级，数字越大，优先级越低。

>   A(Address,    地址):记录正向解析条目。

>   CNAME(Canonical     Nam, 别名):记录某一个正向解析条目的其他名称。

其中，NS、MX记录行首的“@”符号可以省略(默认继承SOA记录行首的@信息),但是必须保留一个空格或Tab 制表符。

在反向区域数据文件中，不会用到A 记录，而是使用PTR 指针(Point)   记录。

使用PTR记录时，第一列只需要指明对应IP地址的“主机地址”部分即可，如“1”或“4” 等，系统在查找地址记录时会自动将当前反向域的网络地址作为前缀。

在区域数据配置文件中，凡是不以点号“.”结尾的主机地址，系统在查找地址记录时都会址“www”相当于“www.bdqn.com.”。因此，当使用完整的FQDN(Fully  Qualified  Domain Name,    完全合格域名/全称域名)地址时，务必记得地址末尾的点号“”不能省略。

修改完区域数据文件以后，可以执行“named-checkzone  ”命令对该文件进行语法检查。依次指定区域名称、数据文件名作为参数。如果文件中没有语法错误，系统将给出“OK”的提示信息。

[root@localhost named]#named-checkzone bdqn.com bdqn.com.zone

当一台服务器需要同时承载某个DNS  区域内的许多个不同的域名(如IDC 的虚拟主机服务器、提供个人主页空间的网站服务器等)时，可以在区域数据文件的最后一行添加泛域名解析记录，即使用“*”以匹配任意主机名。

使用 BIND 构建域名服务器

构建缓存域名服务器

缓存域名服务器通常架设在公司的局域网内，主要目的是提高域名解析的速度，减少对互联网访问的出口流量。例如，在一个小型企业的内部网络(图3.1)中，可单独建立一台(或集成在网关主机中)缓存域名服务器，为各部门的员工计算机提供DNS 解析服务。

1. 建立主配置文件named.conf

若使用范本文件创建 named.conf,     应注意修改或删除默认的监听设置、查询控制，以便能够为局域网段的客户机提供服务。另外，logging、view 配置部分一般用不到，可以先注释以避免其干扰。

上述配置内容中，dump-file 、statistics-file    等配置项用于指定缓存数据库文件、状态统 计文件的位置。添加了“zone'!IN{};”部分的根区域设置，尽管缓存服务器并没有自主控制

的区域数据，但可以向根服务器进行迭代查询，并将最终获得的解析结果反馈给客户。

有时候为了提高解析效率，也可以不向根区域查询，而是将来自客户端的查询请求转发 给国内电信运营商的DNS服务器(如北京的202.106.0.20、202.106.148.1 ),缓存服务器收到返回的查询结果后再传递给客户端。只要去掉“zone''IN{……};”的设置，并在全局配置中正确设置forwarders参数即可实现该功能

2.确认根域的区域数据文件 named.ca

根区域的区域数据文件默认位于文件/var/named/named.ca    中，该文件记录了 Internet

中13台根域服务器的域名和 IP 地址等相关信息。

3.启动named服务

执行“systemctl   start   named”命令，启动named 服务，并通过netstat 命令确认named 服务的端口监听状态。若服务启动失败或发现没有正常监听UDP  53端口，可以根据错误提示信息(或者/var/log/messages文件中的日志记录)排除错误，然后重启服务即可。

[root@localhost ~]# systemctl start named 
[root@localhost ]#netstat -anpu |grep named

4. 验证缓存域名服务器

在局域网内的客户机中，将首选DNS 服务器的地址设为192.168.1.5,生效后，执行“nslookup  www.google.com”命令对其进行解析，验证其是否能够获得该域名对应的IP 地址信息。

构建主域名服务器

主域名服务器通常架设在 Internet  环境中，提供某一个域或某几个域内的主机名与IP 地址的查询服务。为了分担域名查询的压力、提供区域数据的备份，有时还会另外架设一台从域名服务器，与主域名服务器同时提供服务

>  主、从域名服务器均位于Intenet 中，所负责的 DNS 区域为“bdqn.com ”。

>   主服务器的 IP地址为 173.16.16.5,主机名为 ns1.bdqn.com  。

>   从服务器的 IP地址为 173.16.16.6,主机名为 ns2.bdqn.com。

>  在 bdqn.com 区域中，除了NS 记录以外，提供的解析记录还包括以下内容。

◆  网站服务器 www.bdqn.com,IP地址为 173.16.16.1。

◆  邮件服务器 mail.bdqn.com,IP 地址为173.16.16.2。

◆  在线培训服务器 study.bdqn.com,IP 地址为173.16.16.3。

>    参考上述各服务器的地址映射关系，为 173.16.16.0/24 网段提供反向解析。

>  设置 bdqn.com 域的泛域名解析，对应的IP 地址为 173.16.16.1。

>  客户机将首选DNS 服务器、备用DNS 服务器分别设为173.16.16.5和173.16.16.6,

使用其中的任何一个服务器，都能够正常查询 bdqn.com  区域中的主机地址。

1.确认本机的网络地址、主机映射、默认DNS服务器地址

将主域名服务器的IP地址设为173.16.16.5,主机名设为ns1.bdqn.com。提高域名解析效率，建议将两个DNS  服务器的地址映射直接写入/etc/hosts/etc/resolv.conf 文件中指定两个DNS服务器的地址

2.建立主配置文件named.conf

新创建的named.conf主配置文件只需要提供bdqn.com 域的正向解析和173.16.16.0/24网段的反向解析，因此相应地添加这两个区域即可。根区域、回环域等其他配置内容可以省略。

当不需要建立从域名服务器时，上述配置内容中的“allow-transfer    ……”部分可以不添加；

当不需要提供反向解析时，“zone”16.16.173.in-addr.arpa” … …”        部分也可以去掉。

3.建立正、反向区域数据文件

根据named.conf 中的zone 区域设置，分别建立正向区域数据文件bdqn.com.zone、反向区域数据文件173.16.16.arpa,  

4.启动named 服务或重载配置

执行如下的“systemctl   start   named”命令以启动 named  服务，如果之前 named  服务已经在运行，也可以通过“systemctl     reload     named”重载配置。

[root@localhost named]# systemctl reload named

5.验证主域名服务器

在客户端将DNS服务器指向173.16.16.5(主域名服务器的IP地址),使用nslookup命令验证DNS查询结果。

构建从域名服务器

1. 确认本机的网络地址、主机映射、默认 DNS 服务器地址

将从域名服务器的IP 地址设为173.16.16.6,主机名设为 ns2.bdqn.com。另外，主机 映射文件/etc/hosts 和 DNS解析文件/etc/resolv.conf 的内容与主服务器中的内容相同。

2. 建立主配置文件 named.conf

在从域名服务器中，named.conf  文件的内容与主服务器的内容大部分相同，只是不需要再设置“allow-transfer ……”; 更关键的一点是，zone 部分的区域类型应设置为“slave”, 并添加“masters {};”语句来指定主域名服务器的地址

由于从服务器的区域数据文件是从主服务器中下载而来，因此该文件保存的名称可以自行定义，不用与主服务器中的名称一致。但需要注意的是，named服务默认以名为“named”

的用户身份运行，因此要确认named   用户对存放目录有写入权限，具体操作如下：

[root@ns2~]#Is -ld /var/named/slaves/
 drwxrwx--.2 named named 6 Nov 11 2016 /var/named/slaves/

3. 启 动 named   服务，查看区域数据文件是否下载成功

在从域名服务器中启动named服务，若配置无误，则named   将会从主域名服务器中自动下载指定的区域数据文件，并保存到slaves/   目录下。另外，通过系统日志文件

/var/log/messages 也可以观察到下载区域数据文件的过程，具体操作如下：

[root@ns2~]#systemctl start named 
[root@ns2~]#ls -Ih /var/named/slaves/

4. 验证从域名服务器

对于客户端来说，从域名服务器与主域名服务器没有什么区别，通过主服务器能够查询到的信息，通过从服务器也同样能够查询到。验证从域名服务器时，只需要将客户端的首选 DNS服务器地址设为173.16.16.6 (从域名服务器的IP地址) , 使用nslookup命令进行正常测试即可。