使用centos7+bind9构建内网私有dns

有这样一种场景，局域网内有一个为网内用户提供服务的机器，我们希望像访问互联网站点一样去访问它，而不用记忆ip地址和端口，比如在web浏览器地址栏输入http://www.nx.com就可以访问它。但是，又不值得也不应该为这台服务器提供公网固定ip和域名。也就是说，只可以在局域网内使用www.nx.com这个域名去访问。

如果这台服务器上有多个业务站点需要类似oa.nx.com、hr.nx.com、caiwu.nx.com等这样的域名分别访问，那么有效解析域名就显得十分必要。

当然可以在客户机上编辑hosts文件，在客户机上实现本地解析。但如果客户机很多，去编辑每一台客户机不现实也不明智。

于是我想到构建私有dns可以解决。所以我把实现的步骤记录下来，以备日后参考。

假设有这样一台机器，可以为网内用户提供dns服务，既可以让网内用户通过它正常访问互联网，也可以通过上述www.nx.com这样的私有域名去访问网内服务器。我使用的是一台装有centos7的linux服务器，地址是192.168.0.79，dns软件使用的bind9.11.4。

1、安装bind

使用yum安装bind和bind-utils，yum会自动安装依赖关系。utils主要是提供测试工具。

yum install bind bind-utils

2、配置防火墙

centos7自带firewall。开启53/udp端口即可。

firewall-cmd --query-port=53/udp （查询53/udp端口是否开启）

firewall-cmd --add-port=53/udp （开启端口）

firewall-cmd --delete-port=53/udp （关闭端口）

3、配置缓存dns

想要实现区域解析，首先它得是一台缓存dns，亦即能为网络上其它主机提供递归查询。我认为相当于“代理”的角色。也就是说，网内的计算机，只要把dns设置成这台服务器的地址，就可以正常上网看网页了。

编辑/etc/named.conf，具体可以参考man named.conf。

options{...}里面有个监听选项，把服务器的网卡内网地址写进去，让它监听在内网地址上。所以我的写法是：

listen-on port 53 { 127.0.0.1;192.168.0.79; };

开启递归功能，并指定访问权限。内网使用可以全部允许。我的写法是：

recursion yes;
allow-recursion { any; };

挺简单的。然后启动或者重载bind服务即可。如果是在用的高访问量服务器，建议修改配置后，使用reload重载设置即可。内网新建无所谓了。dnssec功能可以先关闭。

systemctl restart named

然后可以用另外的linux主机，使用dig命令测试它。dig www.baidu.com @192.168.0.79

 测试通过，再使用windows试一下。

 ok没问题。我这写这篇博客的时候就是用的这台dns。

4、配置主dns

在上一步的基础上继续配置。编辑/etc/named.conf：

options{...}里面allow-query选项加入可以使用这台dns的主机/网络ip，我直接用any，允许所有主机。如果希望控制访问来源，可以在这里设置。我写的是：

allow-query     { localhost;any; };

在文件末尾加上include "/etc/named.user.zones";，当然直接编辑named.rfc1912.zones文件也是可以的，我不想改过多文件了。待会儿新建一个named.user.zones文件，以后不用了删除即可。其实想要用哪个文件，包含进来即可。

 创建文件/etc/named.user.zones，加这么几行就行了：

zone "nx.com" IN {
        type master;
        file "nx.com";
        allow-update { none; };
};

待会儿，使用的解析库文件就是/var/named/nx.com。

创建文件/var/named/nx.com：

$TTL 1D
@               IN SOA  @ nx.qq.com. (
                                        0       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
                IN      NS      ns.nx.com.
ns.nx.com.      IN      A       127.0.0.1
*.nx.com.       IN      A       192.168.0.60

后新建的这两个文件，需要修改权限为640，属组为named。

chmod 640 /etc/named.user.zones /var/named/nx.com
chown :named /etc/named.user.zones /var/named/nx.com

重启或重载服务完成。

systemctl restart named
systemctl reload named

可以使用named-checkconf先看看配置是否有问题，有时候配置写错了reload成功，但是named服务会失败。

然后linux上测试：

 

windows上测试：

 达到预期效果，完全没有问题。

只是有些要提醒：

linux下测试，只要跟dns在一个网内能连同，就可以使用dig。但必须把网卡dns设置为这个dns地址，才可以ping。windows也是一样，必须把dns设置了才可以ping才可以访问私有域名。

这似乎没什么好解释的，想通过它解析，当然要先设置dns指向它。

再就是named配置文件，可以使用man named.conf查看帮助，其语法类似c语言，一定要记着分号结尾，差一点都不行。

完成了私有域名解析后，可以配置虚拟主机，让域名有效利用起来。比如一家企业使用私有dns成功解析了nx.com，可以使用oa.nx.com、caiwu.nx.com、hr.nx.com、erp.nx.com等来访问不同的系统。有关虚拟主机配置见另外一篇：

centos7+apache配置虚拟主机_大橘子的博客-CSDN博客

文本完。