DNS详解

DNS, Domain Name System的缩写, 也就是域名系统. 因为在互联网中, 我们通过IP地址进行通讯, IP使用数字表示, 不便于记忆, 所以就需要DNS将域名与IP对应起来, 通过DNS服务可以将IP和域名相互转换.

在操作系统中, HOSTS文件优先于DNS对域名进行转换.

早期使用Hosts解析域名, 有以下几种缺点:

• 名称解析效能低下, Hosts文件较大
• Hosts文件维护困难

---

将域名解析为 IP:

1. 客户机向DNS服务器发送域名查询请求
2. DNS服务器告知客户机Web服务器IP地址
3. 客户机使用IP地址与服务器进行通讯

域名空间结构

• 根域, 点., 根域名的服务器只有13台
• 顶级域
  • 组织域 com 商业, edu 教育, gov政府, org民间团体组织, net网络服务机构, mil军事机构
  • 国家或地区 cn 中国 jp 日本 uk 英国, hk 中国香港
• 二级域: baidu.com, sina.com, 是购买来的域名
• 子域, 或者叫三级域: www.baidu.com, www就是三级域, 是基于二级域配置的

域名分级, 具有层次结构, 可以分而治之处理, 这样索引起来就比较快.

DNS 查询过程

1. 客户机向本地域名服务器发起域名查询
2. 本地域名服务器如果曾经解析过该域名,则直接使用缓存(也就是DNS缓存), 返回给客户机访问网站. 如果未曾解析过, 他就回去询问根DNS服务器
3. 根服务域名将.cn 的顶级域DNS服务地址返回给客户端
4. 客户机去访问 .cn 顶级域DNS服务器查询ip, .cn顶级域如果不知道, 则会返回.com.cn 的DNS服务地址
5. 客户机去访问 .com.cn 查询ip, 得到 imooc.com.cn 二级域的DNS 的 ip
6. 客户机去访问 imooc.com.cn 的DNS服务地址, 终于得到了www.immoc.com.cn 的地址
7. 客户机访问该ip地址请求资源
   

在这个过程中, 本地服务器请求从根域名服务器直到查到imooc.com.cn 服务器的过程是迭代查询, 依次根据域名结构迭代查询DNS服务器地址, 最终得到IP地址. 而客户机请求本地域名服务器的查询过程是递归查询.

权威解析

最后一台返回 www.imooc.com.cn 的ip地址, 这个地址称作权威解析 IP地址, 这台服务器称作权威服务器.

递归查询和迭代查询

• 递归查询: 要么作出查询成功的响应, 要么作出查询失败的响应. 一般客户机和服务器之间属于递归查询: 当客户机向DNS服务器发出请求后,若DNS服务器本身不能解析, 则DNS服务器会向另外的DNS服务器发送请求, 得到结果后转交给客户机.
• 迭代查询: 服务器收到一次迭代查询回复一次结果, 这个结果不一定是目标IP与域名映射关系, 有可能是下级DNS的地址

正向查询和反向查询

• 正向查询: 根据域名查询IP地址
• 反响查询: 根据IP地址查询域名

Bind服务

Bind是DNS服务, 他提供了以下几个服务:

1. 域名解析服务
2. 权威域名服务
3. DNS工具, 可以用于测试DNS

在DNS中的域名

普通域名省略了根域名, 比如www.baidu.com 的实际域名为 www.baidu.com.

DNS 解析记录分类

A记录

权威解析IP地址, 最多使用, 根据域名直接完整解析为IP

CNAME记录

一个IP地址可能需要有多个域名时, 可以使用CNAME, 将其他域名解析为另一个域名, 再权威解析为IP地址. 也可以让我的域名解析到域名提供商上,让域名提供商完成解析

NS记录

第一台BindServer没法对域名进行权威解析, 所以就发送了一条NS记录, 让其发送到其他DNS服务器上解析域名, 根DNS, 顶级DNS都是发送的NS记录.

MX记录

针对邮件服务的解析, 配合A记录进行.

安装Bind

readHat:

yum install bind bind-chroot

ubuntu:

sudo apt-get install bind9

启动

named

查询进程:

ps -aux | grep named
named     10525  0.0  5.8 168284 57916 ?        Ssl  14:24   0:00 /usr/sbin/named -u named -c /etc/named.conf
root      11416  0.0  0.0 112724   988 pts/1    R+   16:11   0:00 grep --color=auto named

配置

/etc/named.conf:

• options {} 整个Bind的全局选项
• logging {} 服务日志选项
• zone . {} DNS域解析

options {
        // Bind 监听 127.0.0.1 的53端口
        listen-on port 53 { 127.0.0.1; };
        // ipv6 53端口
        listen-on-v6 port 53 { ::1; };
        // Bind主配置路径, 数据库路径
        directory       "/var/named";
        // DNS缓存
        dump-file       "/var/named/data/cache_dump.db";
        // 静态解析文件
        statistics-file "/var/named/data/named_stats.txt";
        // 内存统计信息
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        recursing-file  "/var/named/data/named.recursing";
        secroots-file   "/var/named/data/named.secroots";
        // 权限
        allow-query     { any; };

        /*
         - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion.
         - If you are building a RECURSIVE (caching) DNS server, you need to enable
           recursion.
         - If your recursive DNS server has a public IP address, you MUST enable access
           control to limit queries to your legitimate users. Failing to do so will
           cause your server to become part of large scale DNS amplification
           attacks. Implementing BCP38 within your network would greatly
           reduce such attack surface
        */
        recursion yes;

        dnssec-enable no;
        dnssec-validation no;

        /* Path to ISC DLV key */
        bindkeys-file "/etc/named.root.key";

        managed-keys-directory "/var/named/dynamic";

        pid-file "/run/named/named.pid";
        session-keyfile "/run/named/session.key";
};

logging {
        // 日志路径以及级别
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

// 根域解析, named.ca 记录了所有根域服务器的地址
zone "." IN {
        type hint;
        file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

配置权威解析

配置/etc/named.conf, 修改

listen-on port 53 { any; };
allow-query     { any; };

配置 /etc/named.rfc1912.zones, 增加如下zone:

zone "svc.com" {
    type master;
    file "svc.com.zone"
    allow-update { none; };
}

当前路径配置为 directory "/var/named"; 所以在此目录下新建文件 svc.com.zone:

$TTL 1D
@       IN SOA  @ yangsx.svc.com. (
                                        0       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
svc.com.    NS  dns.svc.com.
dns.svc.com.    A   192.168.1.111
s1.svc.com.     A   192.168.1.111
s2.svc.com.     A   192.168.1.112
s3.svc.com.     A   192.168.1.113
s4.svc.com.     A   192.168.1.114

• $TTL 1D 一天缓存刷新一次
• @ 代表 .svc.com.
• yangsx.svc.com. 管理员邮箱
• svc.com. NS dns.svc.com. 一条NS解析, 告诉客户机, 无法解析请请求dns.svc.com DNS服务器进行权威解析
• s2.svc.com. A 192.168.1.112 s2.svc.com 权威解析为ip 192.168.1.112

dig命令测试:

[root@server1 named]#  dig @192.168.1.111 s2.svc.com  

; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.el7_9.3 <<>> @192.168.1.111 s2.svc.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 783
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 2

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;s2.svc.com.            IN  A

;; ANSWER SECTION:
s2.svc.com.     86400   IN  A   192.168.1.112

;; AUTHORITY SECTION:
svc.com.        86400   IN  NS  dns.svc.com.

;; ADDITIONAL SECTION:
dns.svc.com.        86400   IN  A   192.168.1.111

;; Query time: 0 msec
;; SERVER: 192.168.1.111#53(192.168.1.111)
;; WHEN: 六 1月 23 17:36:57 CST 2021
;; MSG SIZE  rcvd: 89