DNS域名解析服务

BIND域名服务基础

1.DNS系统的作用及类型

        DNS系统在网络中的作用就是维护一个地址数据库，其中记录了各种主机域名与IP地址的对应关系，以便为客户程序提供正向或反向的地址查询服务，即正向解析与反向解析。
·  正向解析:根据域名查IP 地址，即将指定的域名解析为相对应的IP 地址。域名的正向解析是 DNS服务器最基本的功能，也是最常用的功能。
·  反向解析:根据IP地址查域名，即将指定的IP地址解析为相对应的域名。域名的反向解析不是很常用,只在一些特殊场合才会用到,比如可用于反垃圾邮件的验证。
        实际上，每一台 DNS服务器都只负责管理一个有限范围(一个或几个域)内的主机域名和 IP 地址的对应关系，这些特定的 DNS 域或 IP 地址段称为 zone(区域)。根据地址解析的方向不同，DNS 区域相应地分为正向区域(包含域名到IP地址的解析记录)和反向区域(包含IP地址到域名的解析记录)。

        根据所管理的区域地址数据的来源不同,DNS系统可以分为不同的类型。在同一台DNS服务器中，相对于不同的区域来说，也拥有不同的身份。常见的几种类型如下。
· 缓存域名服务器:只提供域名解析结果的缓存功能,目的在于提高查询速度和效率,但是没有自己控制的区域地址数据。构建缓存域名服务器时，必须设置根域或指定其他 DNS 服务器作为解析来源。
· 主域名服务器:维护某一个特定 DNS区域的地址数据库，对其中的解析记录具有自主控制权，是指定区域中唯一存在的权威服务器、官方服务器。构建主域名服务器时，需要自行建立所负责区域的地址数据文件。
· 从域名服务器:与主域名服务器提供完全相同的DNS解析服务，通常用于DNS服务器的热备份。对客户机来说，无论使用主域名服务器还是从域名服务器，查询的结果都是一样的。关键区别在于，从域名服务器提供的解析结果不是由自己决定的，而是来自于主域名服务器。构建从域名服务器时，需要指定主域名服务器的位置，以便服务器能自动同步区域的地址数据库。
        以上所述主、从服务器的角色只是针对某一个特定的 DNS 区域来说的。例如，同一台DNS 服务器，可以是“.chinaunix.net”区域的主域名服务器，同时也可以是".cublog.cn”区域的从域名服务器。

2.BIND的安装和控制

        BIND 不是唯一能够提供域名服务的 DNS 服务程序，但它却是应用最为广泛的，BIND可以运行在大多数 Linux/UNIX 主机中。其官方站点位于 https:/hwww.isc.org/。

（1）安装BIND软件

在CentOS系统中，系统光盘自带了BIND服务的安装文件，主要包括以下几个软件包。
        bind-9.9.4-37.el7.x86 64.rpm.
        bind-utils-9.9.4-37.el7.x86 64.rpm.
        bind-libs-9.9.4-37.el7.x86 64.rpm。
        bind-chroot-9.9.4-37.el7.x86 64.rpm。
各软件包的主要作用如下。
        bind:提供了域名服务的主要程序及相关文件。
        bind-utils:提供了对 DNS 服务器的测试工具程序，如 nslookup 等。
        bind-libs:提供了 bind、bind-utils 需要使用的库函数。
        bind-chroot:为 BIND 服务提供一个伪装的根目录(将/var/named/chroot文件夹作为 BIND 服务的根目录)，以提高安全性。默认已安装 bind-utils 和 bind-ibs，因此只需要安装 bind 和 bind-chroot 即可。
        也可以使用yum将bind相关的软件包一同下载，节约时间。

yum -y install bind* 

（2）BIND服务控制

        BIND 软件包安装完毕以后，会自动增加一个名为named 的系统服务，通过systemctl工具可以控制 DNS 域名服务的运行。

3.BIND服务的配置文件

        使用 BIND 软件构建域名服务时，主要涉及两种类型的配置文件:主配置文件和区域数据文件。其中，主配置文件用于设置 named 服务的全局选项、注册区域及访问控制等各种运行参数;区域数据文件用于存放某个DNS区域的地址解析记录(正向记录或反向记录)。

（1）配置文件

        主配置文件 named.conf通常位于/etc/目录下，在 named.conf文件中，主要包括全局配置、区域配置两个部分，每一条配置记录的行尾以分号“;”表示结束，以“#”号或”//"开始的部分表示注释文字(大段注释可以使用"!"……. “/"的格式)。

1)全局配置部分

        全局配置参数包括在形如“options{};”的大括号中，如可以设置监听的地址和端口、区域数据文件存放的目录、允许哪些客户机查询等。

options {
listen-on port 53 { 173.16.16.1;};                    //监听地址和端口
directory "/var/named";                               //区域数据文件的默认存放位置
allow-query {192.168.1.0/24; 173.16.16.0/24;};        //允许使用本 DNS 服务的网段
};

        上述配置内容中，除了 directory 配置项通常会保留以外，其他的配置项都可以省略。若不指定 listen-on 配置项，则 named 默认在所有接口的 UDP 53 端口监听服务;若不指定allow-query 配置项，则默认会响应所有客户机的查询请求。

2)区域配置部分

        区域配置参数使用“zone .… {};"的配置格式，一台 DNS 服务器可以为多个区域提供解析，因此在 named.conf文件中也可以有多个 zone 配置段。区域类型按照解析方向可分为正向区域、反向区域。

zone "bdgn.com" IN {                        //正向"bdqn.com"区域
type master;                                //类型为主区域
file "bdgn.com.zone";                       //区域数据文件为 bdqn.com.zone
allow-transfer {173.16.16.2;                //允许下载的从服务器地址
};             
zone "16.16.173.in-addr.arpa"IN {           //反向"173.16.16.0124"区城
type master;
file "173.16.16.arpa";                      //区域数据文件为 173.16.16.arpa
};

在上述配置内容中，有几个地方需要注意:
        · 每个 zone 区域都是可选的(包括根域、回环域、反向域)，具体根据实际需要而定，zone 配置部分的“IN”关键字也可以省略。
        · 反向区域的名称由倒序的网络地址和“.in-addr.arpa"组合而成。例如，对于192.168.1.0/24 网段，其反向区域名称表示为“1.168.192.in-addr.arpa”。
        · file 配置项用于指定实际的区域数据文件，文件名称由管理员自行设置。
        · 区域配置中的部分参数(如 allow-transfer)也可以放在全局配置中。
        修改完主配置文件以后,可以执行"named-checkconf"命令对 named.conf 文件进行语法检查。如果文件中没有语法错误，该命令将不给出任何提示;反之，则会给出相应的提示信息，然后根据出错提示修正文件中的错误即可。带“-z"选项的"named-checkconf"命令还可以尝试加载主配置文件中对应的区域数据库文件,并检查该文件是否存在问题。例如，当出现“...file not found”的错误时，表示找不到对应的文件。
        关于 named.conf 文件中各种配置项的详细说明，可以执行“man named.conf"命令查看手册页，也可参考配置样本文件/usr/share/doc/bind-9.9.4/sample/etc/named.conf。

（2）区域数据配置文件

        区域数据配置文件通常位于ar/named/目录下,每个区域数据文件对应一个 DNS 解析区域，文件名及内容由该域的管理员自行设置。
        根域"."的区域数据文件比较特殊。Internet 中所有的 DNS 服务器都使用同一份根区域数据文件，其中列出了所有根服务器的域名和IP地址。根区域数据文件可以从国际互联网络信息中心(InterNlC)的官方网站地址 http://www.internic.net/下载。
        在区域数据文件中，主要包括 TTL(Time To Live，生存时间)配置项、SOA(Start OfAuthority，授权信息开始)记录、地址解析记录。文件中的注释信息以“;”(分号)开始。

1)TTL 配置及 SOA 记录部分

        第一行的 TTL配置用于设置默认生存周期，即缓存解析结果的有效时间。SOA 记录部分用于设置区域名称、管理邮箱，以及为从域名服务指定更新参数。

$TTL    86400                           //有效解析记录的生存周期
@  IN SOA bdqn.com.  admin.bdqn.com.(   //SOA 标记、域名、管理邮箱
2011030501                              //更新序列号,可以是 10 位以内的整数
3H                                      //刷新时间,重新下载地址数据的间隔
15M                                     //重试延时,下载失败后的重试间隔
3                                       //失效时间,超过该时间仍无法下载则放弃
9                                       //无效解析记录的生存周期

        文件中的“@”符号表示当前的 DNS 区域名，相当于“bdqn.com.”或“admin.bdqn.com.”,表示域管理员的电子邮箱地址(由于“@”符号已有其他含义，因此将电子邮件地址中的"@"用"."代替)。

2）地址解析记录部分

        地址解析记录用来设置 DNS 区域内的域名、IP 地址映射关系，包括正向解析记录和反向解析记录。反向解析记录只能用在反向区域数据文件中。

@     IN    NS      ns1.bdqn.com.
IN    MX      10        mail.bdqn.com.
ns1   IN    A       58.119.74.203
www   IN    A       173.16.16.1
mail  IN    A       173.16.16.4
ftp   IN    CNAME   www

上述配置内容中，用到以下四种常见的地址解析记录。
      · NS(Name Server，域名服务器):记录当前区域的 DNS 服务器的主机地址。
     · MX(Mai Exchange，邮件交换):记录当前区域的邮件服务器的主机地址，数字10表示(当有多个MX记录时)选择邮件服务器的优先级，数字越大，优先级越低。
      · A(Address，地址):记录正向解析条目。例如，“ww INA173.16.16.1"表示域名 www.bdqn.com 对应的 IP 地址是 173.16.16.1。
     · CNAME(Canonical Name，别名):记录某一个正向解析条目的其他名称。例如，“ftp IN CNAME www"表示域名 ftp.bdqn.com 是 www.bdqn.com 的别名。
        其中，NS、MX 记录行首的"@"符号可以省略(默认继承 SOA 记录行首的@信息)，但是必须保留一个空格或 Tab 制表符。
        在反向区域数据文件中，不会用到A记录，而是使用PTR指针(Point)记录。例如，对于反向区域 16.16.173.in-addr.arpa，添加的反向解析记录可以是以下形式。

1    IN     PTR      www.bdqn.com.
4    IN     PTR      mail.bdqn.com.

        在区域数据配置文件中，凡是不以点号""结尾的主机地址，系统在查找地址记录时都会自动将当前的域名作为后缀。例如，若当前的DNS域为"bdqn.com"，则在文件中的主机地址“www"相当于“www.bdgn.com"。因此，当使用完整的 FQDN(Fully Qualified DomainName，完全合格域名/全称域名)地址时，务必记得地址末尾的点号“"不能省略。 

        修改完区域数据文件以后，可以执行“named-checkzone"命令对该文件进行语法检查。依次指定区域名称、数据文件名作为参数。如果文件中没有语法错误，系统将给出“OK"的提示信息。