DNS域名解析服务
相较于由数字构成的IP地址，域名更容易被理解和记忆，所以我们通常更习惯通过域名的方式来访问网络中的资源。但是，网络中的计算机之间只能基于IP地址来相互识别对方的身份，而且要想在互联网中传输数据，也必须基于外网的IP地址来完成。
为了降低用户访问网络资源的门槛，DNS（Domain Name System，域名系统）技术应运而生。这是一项用于管理和解析域名与IP地址对应关系的技术，简单来说，就是能够接受用户输入的域名或IP地址，然后自动查找与之匹配（或者说具有映射关系）的IP地址或域名，即将域名解析为IP地址（正向解析），或将IP地址解析为域名（反向解析）。
鉴于互联网中的域名和IP地址对应关系数据库太过庞大，DNS域名解析服务采用了类似目录树的层次结构来记录域名与IP地址之间的对应关系，从而形成了一个分布式的数据库系统，如图所示。
域名后缀一般分为国际域名和国内域名。原则上来讲，域名后缀都有严格的定义，但在实际使用时可以不必严格遵守。目前最常见的域名后缀有.com（商业组织）、.org（非营利组织）、.gov（政府部门）、.net（网络服务商）、.edu（教研机构）、.pub（公共大众）、.cn（中国国家顶级域名）等。
DNS技术作为互联网基础设施中重要的一环，为了为网民提供不间断、稳定且快速的域名查询服务，保证互联网的正常运转，提供了下面三种类型的服务器
主服务器：在特定区域内具有唯一性，负责维护该区域内的域名与IP地址之间的对应关系。
从服务器：从主服务器中获得域名与IP地址的对应关系并进行维护，以防主服务器宕机等情况。
缓存服务器：通过向其他域名解析服务器查询获得域名与IP地址的对应关系，并将经常查询的域名信息保存到服务器本地，以此来提高重复查询时的效率。
简单来说，主服务器是用于管理域名和IP地址对应关系的真正服务器，从服务器帮助主服务器“打下手”，分散部署在各个国家、省市或地区，以便让用户就近查询域名，从而减轻主服务器的负载压力。缓存服务器不太常用，一般部署在企业内网的网关位置，用于加速用户的域名查询请求。
DNS域名解析服务采用分布式的数据结构来存放海量的“区域数据”信息，在执行用户发起的域名查询请求时，具有递归查询和迭代查询两种方式。所谓递归查询，是指DNS服务器在收到用户发起的请求时，必须向用户返回一个准确的查询结果。如果DNS服务器本地没有存储与之对应的信息，则该服务器需要询问其他服务器，并将返回的查询结果提交给用户。而迭代查询则是指，DNS服务器在收到用户发起的请求时，并不直接回复查询结果，而是告诉另一台DNS服务器的地址，用户再向这台DNS服务器提交请求，这样依次反复，直到返回查询结果。
由此可见，当用户向就近的一台DNS服务器发起对某个域名的查询请求之后（这里以www.linux.com为例），其查询流程大致如图所示。
安装Bind服务程序
BIND（Berkeley Internet Name Domain，伯克利因特网名称域）服务是全球范围内使用最广泛、最安全可靠且高效的域名解析服务程序。DNS域名解析服务作为互联网基础设施服务，其责任之重可想而知，因此建议大家在生产环境中安装部署bind服务程序时加上chroot（俗称牢笼机制）扩展包，以便有效地限制bind服务程序仅能对自身的配置文件进行操作，以确保整个服务器的安全。
bind服务程序的配置并不简单，因为要想为用户提供健全的DNS查询服务，要在本地保存相关的域名数据库，而如果把所有域名和IP地址的对应关系都写入到某个配置文件中，估计要有上千万条的参数，这样既不利于程序的执行效率，也不方便日后的修改和维护。因此在bind服务程序中有下面这三个比较关键的文件。
主配置文件（/etc/named.conf）：只有58行，而且在去除注释信息和空行之后，实际有效的参数仅有30行左右，这些参数用来定义bind服务程序的运行。
区域配置文件（/etc/named.rfc1912.zones）：用来保存域名和IP地址对应关系的所在位置。类似于图书的目录，对应着每个域和相应IP地址所在的具体位置，当需要查看或修改时，可根据这个位置找到相关文件。
数据配置文件目录（/var/named）：该目录用来保存域名和IP地址真实对应关系的数据配置文件。
bind服务程序名称为named，在部署bind服务之前要先修改bind服务程序的主配置文件/etc/named.conf，使得服务器上的所有IP地址均可提供DNS域名解析服务，以及允许所有人对本服务器发送DNS查询请求。
正向
1. yum install bind-chroot
2. cd /etc
3. ls | grep named
4. vim named.conf 修改11行和17行
vim named.rfc1912.zones 删除原内容，添加新内容
1. cd /var/named/
2. cp -a named.localhost linux.com.zone
3. cp -a named.loopback 192.168.3.arpa
4. vim linux.com.zone
vim 192.168.3.arpa
查看 ping www.linux.com
反向
<在服务端>
cd /etc
vim named.rfc1912.zones
systemctl restart named 重启
systemctl enable named 加入启动项
<客户端>
yum install bind-chroot
cd /etc/
vim named.conf 11 17行改为any
vim name.rfc1912.zone
注意加DNS，清除防火墙，重启
检查试验：
安全加密传输
服务端
dnssec-keygen -a HMAC-MD5 -b 128 -n HOST master-slave #生成一个主机名称为master-slave的128位HMAC-MD5算法的密钥文件（公钥+私钥）
cd /var/named/chroot/etc/
vim transfer.key #编辑内容
ls -al Kmaster-slave.+157+46845.* #运用通配符查看生成的密钥文件，会有一个私钥文件（后缀为private）和公钥文件(后缀为key)
cat Kmaster-slave.+157+46845.private #查看私钥文件，复制当中的key参数值
...
Key: 1XEEL3tG5DNLOw+1WHfE3Q==
...
ls -l transfer.key # 查看所属者合所属组
chown root：named transfer.key #把文件所属组改为named
chown 640 teansfer.key #降权限
客户端
1. cd /var/named/etc/
2. ls -l /var/named/slaves/
3. rm -Rf/var/named/etc/*
4. systemctl restart named
重启后继续查看，如何有文件说明试验成功
服务端
ln transfer.key /etc/transfer.key #创建一个密钥验证文件的硬链接到/etc目录（配置主配置文件时需要，密钥验证文件必须在/etc目录）
vim /etc/named.conf #编辑bind服务主配置文件，开启并加载Bind服务的密钥验证功能
...
include "/etc/transfer.key"; #(9行)密钥验证文件必须在/etc目录
allow-transfer { key master-slave; }; #（18行）只允许拥有该密钥验证文件的人进行同步
...
systemctl restart named #重启bind服务程序
客户端
cd /var/named/chroot/etc #进入bind服务程序的配置文件目录
vim transfer.key #创建密钥认证文件（参数和主服务器的密钥验证文件一样）
key "master-slave" {
algorithm hmac-md5;
secret "1XEEL3tG5DNLOw+1WHfE3Q==";
};
chown root:named transfer.key
chmod 640 transfer.key
ln transfer.key /etc/transfer.key #创建密钥验证文件的硬链接
vim /etc/named.conf
...
include "/etc/transfer.key";
...
server 192.168.10.10 #指明主服务器的IP地址和密钥名称
{
keys { master-slave; };
};
...
systemctl restart named
ls /var/named/slaves/ #重启bind服务后，查看slaves目录，又能从主服务器同步到数据配置文件
最后有文件说明试验成功
7709
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
