DNS主从配置：

先配置时钟同步：

crontab -e 

*/3 * * * * /sbin/ntpdate ntp.sjtu.edu.cn &> /dev/null 将系统时钟与 ntp.sjtu.edu.cn同步。产生的邮件丢弃

主配置文件/etc/named.conf

options {                    必须要有

listen-on port 53 { 127.0.0.1; };  使用（//）注释掉本行，（注），当注释掉该行，意味着监听所有网段的53端口

listen-on-v6 port 53 { ::1; };

directory       "/var/named";  （DNS工作目录）

dump-file       "/var/named/data/cache_dump.db";

statistics-file "/var/named/data/named_stats.txt";

memstatistics-file "/var/named/data/named_mem_stats.txt";

allow-query     { localhost; };   允许那些主机查询   注释掉以后，允许所有主机查询。

recursion yes;   是否允许递归查询。


dnssec-enable yes;    DNS安全是否开启。

dnssec-validation yes;

dnssec-lookaside auto;


/* Path to ISC DLV key */

bindkeys-file "/etc/named.iscdlv.key";   DNS安全认证密钥文件路径


managed-keys-directory "/var/named/dynamic";  密钥管理目录。

};


logging {                       日志文件。

channel default_debug {

file "data/named.run";

severity dynamic;

};


zone "." IN {        定义区域

type hint;    //定义主机的类型，{master主，slvae从，hint根} 用户发出的请求非本机负责的转发给跟（hint）

file "named.ca";

};


include "/etc/named.rfc1912.zones";

include "/etc/named.root.key";  

编辑主区域文件：  /etc/named.rfc1912.zones

zone "lqklinux.com" IN {    */添加新区域lqklinux.com

type master;        */定义主机的类型，{master主，slvae从，hint根}

file "lqklinux.com.zone";  */指定配置文件

};

为从DNS添加的区域解析库配置：   /var/named/lqklinux.com.zone  (包含资源记录和变量的定义)

$TTL    3600             */定义缓存时长 

$ORIGIN lqklinux.com.    */定义变量

@       IN      SOA     ns.lqklinux.com.        admin.lqklinux.com.     (  */资源记录条目第一条必须是SOA

2015091701 */解析库的版本号，例如2014080401

2H */周期性同步的时间间隔

10M */重试的时间间隔

1W */重试过期时长

1D ) */否定答案的统一缓存时长

IN      NS      ns.lqklinux.com. */区域名称

IN      MX  10  mail.lqklinux.com. */邮件交换区域

ns.lqklinux.com.        IN      A       172.16.4.16    （以下是A记录。）

mail.lqklinux.com.      IN      A       172.16.4.36

www.lqklinux.com.       IN      A       172.16.4.26

pop.lqklinux.com.       IN      CNAME   mail.lqklinux.com.

ops.lqklinux.com. IN NS ns.ops.lqklinux.com. （定义子域名称）

ns.ops.lqklinux.com. IN A 172.16.4.27 （定义子域域名解析服务器地址）

为新添加的子域解析库配置：

1），配置/etc/named.conf

2），配置/etc/named.rfc1912

添加如下内容：

zone "ops.lqklinux.com" IN {   */定义子域名称）

type master;   */定义主机的类型，{master主，slvae从，hint根}

file "ops.lqklinux.com.zone"; */定义子域配置文件

allow-transfer { 127.0.0.1; }; */定义子域允许传送IP范围。

3），配置/var/named/ops.lqklinux.com */为子域添加配置文件。（注意，该文件权限为640，属主：root,数组：named）

$TTL    3600             */定义缓存时长 

$ORIGIN ns.lqklinux.com.    

@       IN      SOA     ns.ops.lqklinux.com.        admin.ops.lqklinux.com.     (  */资源记录条目第一条必须是SOA

2015091701 */解析库的版本号，例如2014080401

2H */周期性同步的时间间隔

10M */重试的时间间隔

1W */重试过期时长

1D ) */否定答案的统一缓存时长

IN      NS      ns */域名称

IN MX mail

ns IN A ***.***.*** */为子域内的服务器添加A记录

mail IN A ***.***.***

www IN A ***.***.***

（注意：配置的是子域内的服务。添加的A记录是子域内的地址解析记录）

（注意：$ORIGIN 变量为子域的NS子域的域名）

检查DNS配置文件：

1），named-checkconf （不跟参数默认检查/etc/named.conf）

2），service named configtest (将检查配置文件的各区域)

3），named-checkzone "localhost" /var/named/named.localhost(检查localhost区域指定配置文件为/var/named/named.localhost )

4），rndc  reload  （重新加载配置文件）

5），注明C7上rndc reload 默认情况下将不能使用。调整比较麻烦，建议使用systemctl restart named


配置转发器：（目的为域内的客户端提供转发，帮助客户端解析地址）

转发所有的非本机负责的区域的请求至某指定的DNS服务器，添加配置至/etc/named.conf的options

options {

...

forward { only|first }; */开启转发功能并定义转发模式（开启转发意味着此服务器一定要给最终答案）

*/only模式仅开启递归模式 （查询上游DNS并将结果返回）

*/first模式使用递归和迭代模式 （查询上游DNS如果没有找到，自身再查找一次。）

forwarders { IP; }; */转发给转发服务器的服务器（此服务器必须开允许递归给转发服务器）

}


访问控制：

allow-transfer {}; */如果有辅助DNS，是否充许它可以同步zone文件。

allow-query {}; */允许接受来自某个地址的查询请求。不关心是递归查询还是非递归查询。

allow-update {}; */允许那些主机更新用於類型為 master dns 上

区别：

allow-update，表示允許指定的 client 來更新 zone 內的資料。比方於 zone 內新增,刪除與更新資料部份即是.

allow-transfer，表示允許指定的來源端能夠進行 zone transfer 的動作，也就是把 zone 內所有的 data 進行傳輸複製一份. 一般常用於 slave 透過 zone transfer 抓取 master zone data 便於更新本身 slave 的 zone data。


递归白名单

allow-recursion {}; */允许那些主机递归查询

recursion yes;


配置转发区域：    首先要有父DNS，既转发给当前DNS的那个DNS

zone "mageedu.com" IN { */定义转发域

type forward; */定义域类型

foward only|first; */定义转发类型

forwarders { IP; }; */定义转发服务器的地址（定义谁帮你转发IP）

}



bind acl: 


DNS内置的ACL：

none, any, local(本机), localnet(本机所在网络)


自定义acl:  */自上而下的匹配顺序，

acl ACL_NAME {

ip;

ip;

network;

};


acl localnetwork {      */定义一个ACL白名单。白名单的名称为“localnetwork”

172.16.0.0/16;

192.168.0.0/24;

};


allow-recursion { localnetwork; }; */在递归中调用ACL白名单。