使用Linux下的bind9替代WindowsAD中的WinDNS的方法

最新推荐文章于 2024-05-21 09:37:57 发布
最新推荐文章于 2024-05-21 09:37:57 发布
阅读量621 收藏
点赞数
分类专栏： linux 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zxc3590235/article/details/131669133
版权

1 服务介绍

1.1 AD域简介

AD全称“Active Directory”，是微软开发的一套域服务。AD中管理了企业相关公共资源，通过统一的AD域账户就可以访问这些企业的相关公共资源。AD服务的基础是DNS服务和LDAP服务。

1.2 bind9介绍

bind9是有ISC开发的一套开源的DNS服务软件。是使用最为广泛的DNS服务软件，是DNS的事实标准。

2 替换方法

2.1 网络拓扑

在这里插入图片描述

2.2 bind9服务配置

2.2.1 源码编译安装bind9

2.2.1.1 下载源码

创建目录“/root/dns/”，并通过git命令从ISC代码仓库中下载bind9源码到该目录中。命令如下：

mkdir -p /root/dns/
cd /root/dns/
git clone https://gitlab.isc.org/isc-projects/bind9.git
2.2.1.2 编译源码

进入bind9的源码目录，并切换到“bind-9.14”分支。命令如下：

cd /root/dns/bind9/
git checkout bind-9.14

编译和安装。命令如下：

./configure --with-gssapi -without-python
make -j4
make install

2.2.2 配置bind9

2.2.2.1 配置文件

在目录“/etc/bind9/conf”中创建名称为“named.conf”的配置文件。配置文件内容根据区记录的更新操作（update）是否需要使用GSS-TSIG而有所不同。具体如下：

2.2.2.1.1 区数据update不使用GSS-TSIG

配置文件内容如下：

key "RNDC-KEY" {
	algorithm hmac-md5;
	secret "AqW9Iq1OERsgoQiQIzMulw==";
};
controls {
        inet 127.0.0.1 port 8832
        allow { 127.0.0.1; } keys {"RNDC-KEY";};
};
key "default" {
    algorithm hmac-md5;
    secret "80+CrjGHJZwQhSGGsGNB2g==";
};
view "default" {
    match-clients {key "default";  "any"; };
    zone "test.com." {
        check-names ignore;
        check-integrity no;
        type master;
        file "/etc/bind9/data/default/test.com.txt";
        allow-update {
            10.2.2.32;
        };
    };
    recursion yes;
};
2.2.2.1.2 区数据update使用GSS-TSIG

配置文件内容如下：

options {
    tkey-gssapi-keytab "/etc/bind9/conf/krb5.keytab";
};
key "RNDC-KEY" {
	algorithm hmac-md5;
	secret "AqW9Iq1OERsgoQiQIzMulw==";
};
controls {
        inet 127.0.0.1 port 2953
        allow { 127.0.0.1; } keys {"RNDC-KEY";};
};
key "default" {
    algorithm hmac-md5;
    secret "80+CrjGHJZwQhSGGsGNB2g==";
};
view "default" {
    match-clients {key "default";  "any"; };
    zone "test.com." {
        check-names ignore;
        check-integrity no;
        type master;
        file "/etc/bind9/data/default/test.com.txt";
        update-policy {
            grant TEST.COM ms-self AD-DC.test.com. ANY;
            grant TEST.COM ms-subdomain test.com. SRV CNAME A AAAA;
        };
    };
    recursion yes;
};
2.2.2.2 区文件

在目录“/etc/bind9/data/default/”中为区“test.com.”创建名称为“test.com.txt”的区文件。区文件内容如下：

$ORIGIN .
$TTL 3600	; 1 hour
test.com		IN SOA	ns.test.com. mail.test.com. (
				37         ; serial
				28800      ; refresh (8 hours)
				3600       ; retry (1 hour)
				604800     ; expire (1 week)
				1800       ; minimum (30 minutes)
				)
			NS	ns.test.com.
$ORIGIN test.com.
ns			A	10.2.2.35

2.2.3 启动bind9

执行命令“named -c /etc/bind9/conf/named.conf -g”启动bind9的DNS服务。运行结果如下截图所示
在这里插入图片描述

2.3 Window DC服务配置

2.3.1 安装AD域控制器

步骤如下：

  • 点击“开始”按钮；
  • 点击“控制面板”；
  • 点击“程序和功能”；
  • 点击左侧栏位处的“启用或关闭Windows功能”；
  • 然后一直点击“下一步”，直到服务器“服务器角色”选择页面中，勾选“Active
    Directory域服务    ”，并点击“添加功能”。详见下图：
    在这里插入图片描述
  • 接下来一直点击“下一步”，最后点击“安装”按钮进行“Active Directory域服务“安装AD域服务。详见下图：
    在这里插入图片描述
  • 最后等待“Active Directory域服务”安装完成即可（这需要耗费一定的时间，需要耐心等待，且这期间WindowsServer可能会自动重启）。安装成功后，点击“关闭”按钮完成“Active Directory域服务”的安装。详见下图：
    在这里插入图片描述

2.3.2 配置AD域控制器

步骤如下：

  • 点击“开始”按钮；
  • 点击“服务器管理器”；
  • 点击左侧栏位的“AD DC”，然后点击“更多”配置“Active Directory域服务”的相关服务。详见下图：
    在这里插入图片描述
  • 在弹出的界面中点击“将此服务器提升为域控制器”。详见下图：
    在这里插入图片描述
  • 选择“添加新林(F)”，并创建名称为“TEST.COM”根域名，然后点击“下一步”按钮（根域名创建需要花费一定时间，需要耐心等待）。详见下图：
    在这里插入图片描述
  • 输入“目录服务还原模式(DSRM)”的密码2次（密码格式为，包含：大写字母、小写字母、特殊字符、数字4种类型中至少包含3种类型，且长度不少于8个字符），然后点击“下一步”按钮。详见下图：
    在这里插入图片描述
  • 接下来使用默认选项一直点击“下一步”，直到“先决条件检查”中点击“安装”按钮进行安装。详见下图：
    在这里插入图片描述
  • 现在你只需静静等待安装完成即可，此期间可能会自动重启系统（因为安装了新服务，重启时需要配置相应的系统配置，所以系统重启的时间会稍微长些）。

2.3.3 替代WinDNS

通过上面的配置完成后，AD-DC服务器上已经成功创建了名称为“TEST.COM”的AD域。
由于AD域是通过DNS域名作为服务发现和管理的，所以AD-DC默认启用了WindowsServer自带的WinDNS服务，并在该DNS上创建了2个DNS正向区“TEST.COM”和“_msdcs.TEST.COM”（详见下图）。这2个正向区将会被AD域控制器用于向整个AD域发布AD域中存在的相关服务的域名和记录信息。
在这里插入图片描述
我们想要使用bind9替代AD域控制器使用的WinDNS，主要包含2个步骤：

  • 停用WindowsServer上的DNS服务；
  • 设置AD域服务器设备上的DNS为bind9所在服务器。

如果想要配置DNS的区记录更新使用GSS-TSIG，则还需在AD域服务器上为bind9生成Kerberos相关密钥对，并导出密钥对到keytab，最后将keytab导入bind9所在服务器的指定目录中。

2.3.3.1 停用WinDNS服务

停用WinDNS服务步骤如下：

  1. 点击“开始”按钮；
  2. 选择“Windows管理工具“；
  3. 选择“服务”；
  4. 在“服务”中找到“DNS Server”服务，将DNS Server的“启动类型(E)”设置为“禁用”，并“停止”正在运行的DNS Server服务，最后“应用”和“确定”即可。详见下图：
    在这里插入图片描述
2.3.3.2 替换DNS服务为bind9

接下来需要将AD域控制器使用的DNS服务的IP地址替换为bind9所在服务器的IP地址。步骤如下：

  1. 点击“开始”按钮；
  2. 选择“控制面板”；
  3. 选择“网络和共享中心”；
  4. 选择“更改适配器配置”；
  5. 选择相应网卡，并右键选择“属性”选项，进入网卡的属性配置；
  6. 在网卡属性中，将网卡的“Internet协议版本4（TCP/IPv4）”中的“首选DNS服务器§”配置为bind9所在服务器的IPv4地址“10.2.2.35”。
    在这里插入图片描述

通过上面的配置后，已经成功将AD域控制器使用的DNS服务替换成了bind9了。

2.3.3.3 启用GSS-TSIG

虽然通过上面2个主要步骤后，已经将AD域控制器使用的DNS服务替换成了bind9。但是，此时AD域控制器更新bind9中的“TEST.COM”和“_msdcs.TEST.COM”区的区记录仍然使用的是普通模式。
想要区记录更新使用GSS-TSIG，则还需要为bind9所在的DNS服务器创建一个AD账户，并关联一个Kerberos的PRINCIPAL（凭证）。最后将该PRINCIPAL的密钥对内容导出到一个keytab中，将keytab传输到bind9所在服务器的对应目录中。

2.3.3.3.1 创建AD账户

在AD DC中创建为DNS服务器创建一个AD账户dns1。步骤如下：

  • 点击“开始”按钮；
  • 点击“服务器管理器”；
  • 点击右上侧栏位的“工具(T)”，然后点击“Active Directory用户和计算机”。详见下图：
    在这里插入图片描述
  • 在“TEST.COM”域中，依次：右键点击“Users”、左键点击“新建(N)”、左键点击“用户”，进入用户创建流程。
    在这里插入图片描述
  • 输入AD账户的名称为dns1，然后点击“下一页(N)”。详见下图
    在这里插入图片描述
  • 配置AD账户的密码和密码选项（这里将账户的密码设置为“Test@AwRt148”了），并点击“下一页(N)”。详见下图
    在这里插入图片描述
  • 最后点击“完成”按钮，完成AD账户dns1的创建。详见下图
    在这里插入图片描述
2.3.3.3.2 AD账户关联SPN
  • 依次点击“开始” => 右键点击“命令提示符” => “更多” => “以管理员身份运行”，以管理员权限打开命令行终端。如下图所示
    在这里插入图片描述
  • 通过setspn命令将一个Kerberos的PRINCIPAL账户DNS/ns.test.com@TEST.COM同AD账户dns1关联起来。如下图所示
    在这里插入图片描述
2.3.3.3.3 创建 Kerberos PRINCIPAL，导出密钥到 keytab

使用ktpass命令创建一个Kerberos的PRINCIPAL账户，并为其设置密码为“Test@AwRt148”，同时将该账户的密钥内容导出到名为ns.test.com.keytab的密钥文件中。如下图所示
在这里插入图片描述
最后将导出的keytab文件传输到bind9服务器（10.2.2.35）的目录“/etc/bind9/conf/“中，并重命名为“/etc/bind9/conf/krb5.keytab”。

2.3.4 效果验证

2.3.4.1 重启DC的netLogon服务

在AD DC服务器上，通过管理员权限运行“命令行终端”。通过“net stop netLogon”+“net start netLogon”命令重启netLogon服务。如下图所示
在这里插入图片描述
netLogon服务重启时，DC服务会将AD域中的相关服务的DNS域名信息通过DNS的update协议更新到DNS服务器（这里是10.2.2.35的bind9服务器）。具体的bind9的相关日志，如下图所示：
在这里插入图片描述
通过抓包发现AD DC服务器会先尝试使用不带TSIG的DNS update协议更新DNS服务器的区记录。这时bind9侧由于配置了启用GSS-TSIG来更新区记录，则会返回“Refused”错误码。AD DC服务器收到“Refused”的错误码后，会通过DNS的TKEY协议和DNS服务器协商一个TSIG的key出来。最后AD DC会使用新协商的key来签名update的DNS报文（携带TSIG），从而update成功（返回NOERROR）。抓包详见如下截图
在这里插入图片描述

3 遇到的一些坑儿

3.1 问题1——权限不够

3.1.1 问题现象

我们在配置完AD域控制器后，想要修改“网络和Internet设置”中网卡的相关配置参数时，发现系统的管理员账户居然没有操作权限。报告了如下图所示的错误：
在这里插入图片描述

3.1.2 解决方案

本问题的解决方案是，启用“内置管理员的批准模式”。具体步骤如下：

  1. 点击“开始”按钮；
  2. 选择“服务器管理器”；
  3. 在“服务器管理器”中依次选择“工具”=>“本地安全策略”（详见下图）；
    在这里插入图片描述
  4. 在“本地安全策略”中依次选择“本地策略”=>“安全选项”=>“用户账户控制：用户内置管理员账户的管理员批准模式”（双击进入）。最后依次选择“已启用”=>“应用”=>“确定”即可。详见下图：
    在这里插入图片描述
  5. 最后重启系统，本问题解决。

3.2 问题2——旧的凭证数据有残留

3.2.1 问题现象

3.2.2 解决方案

3.3 问题3——时钟差异导致TKEY协商失败

3.3.1 问题现象

3.3.2 解决方案

coding快乐
关注
专栏目录
linux下bind9安装配置一例
09-15
Bind9 是一个功能强大的 DNS 服务器软件，在 Linux 下安装配置 Bind9 可以提供 DNS 服务。下面是 Bind9 安装配置的一例，包括下载、编译、安装、配置和测试等步骤。 一、下载和编译 Bind9 首先，需要从 ISC 官方...
bind9 dns智能解析 for windows 2003 master/slave dns配置
东杰书屋
07-15 2090
在网上搜索好多关于bind9 智能解析 for win2003的资料，大部分都是做的一个dns服务器，没有找到master/slave配置的文章，于是按照linux中的配置修改了win2003中相对应的配置文件安装dns方法网上都有了，只给出master/slave配置文件---------------master配置文件cnc.def-------------------zone "
bind9 常用配置-正反向解析
linggang_123的博客
10-21 6006
BIND主要有三类配置文件：BIND的主配置文件、正/反解记录清单文件和正/反解记录文件。 （https://blog.csdn.net/ysdaniel/article/details/6994109） BIND的主配置文件（/var/named/chroot/etc/named.conf）中有BIND的全局设置； 正/反解记录清单文件（/var/named//chroot/etc/named.rfc1912.zones，实际上，在主配置文件named.conf指定了正/反解记录清单文件的位置。）列
BIND9配置及配置文件参数详解
Q先生
12-14 3108
BIND（Berkeley Internet Name Domain）是一款广泛使用的开源DNS服务器软件，用于解析域名和IP地址之间的映射关系。BIND9是BIND系列的最新版本，提供了丰富的功能和配置选项。本文将详细介绍BIND9的配置过程以及配置文件中的主要参数说明，以帮助读者更好地理解和使用BIND9。
Linux基于Bind9搭建dns服务器
IT
10-22 9585
Bind9简介 Bind是Berkeley Internet Name Domain Service的简写，它是一款实现DNS服务器的开放源码软件。Bind已经成为世界上使用最为广泛的DNS服务器软件，目前Internet上半数以上的DNS服务器都是用Bind来架设的，已经成为DNS中事实上的标准。 bind历史 BIND4版本，BIND包最初是在 1980 年代初在加州大学伯克利分校作为研究生项目在美国国防高级研究项目管理局 (DARPA)的资助下编写的。BIND 到 4.8.3 的版本由加州大学伯克
3. 自建DNS（bind9）
sirius
05-21 2234
3. 自建DNS（bind9） 扩展关键词： web dns、 NamedManager（是一个基于Web的DNS管理系统） 注意：下文操作是在172.10.10.11机器上处理的，关键配置注意对应 各主机ip 及其hostname的设置 一、bind是什么 Linux中Bind9(dns)配置详解 二、安装bind yum install bind 三、配置\启动bind9 1. 主配置文件 vi /etc/named.conf 注意严格格式，空格等 options节点下 监听端口和IP修改
编译安装bind9
weixin_34320159的博客
06-29 740
一、下载bind9.9.5源码包可以通过www.isc.org站点来获得源码包。二、将源码包解压到任意目录源码包通常都是.tar.gz文件，因此我们需要先将其解压：三、编译安装bind1、安装前的准备工作 安装gcc和openssl-develgcc无需多说，编译时必须要用到的工具；安装openssl-devel是因为在进...
Linux版本之docker容器bind9搭建DNS服务器和配置域名使用
binggoling
03-18 7073
文章目录Linux版本之docker容器bind9搭建DNS服务器和配置使用前提条件：1.下载镜像（主机dns200）2.启动容器（主机dns200）3.Webmin界面个性设置4.设置dns域名配置1）开始创建主区域2）开始创建正向区域记录地址5.测试域名1）win102）Linux6.完成设置 Linux版本之docker容器bind9搭建DNS服务器和配置使用 前提条件： 服务器准备： 主机名 ip dns200（dns服务器） 192.168.56.200 centos121（客
Linux上配置DNS服务器的包——bind9
08-18
Linux上配置DNS服务器所需的bind9包。后缀是.deb的安装包，适用于Ubuntu和debian。安装及配置详情见：http://blog.csdn.net/qq_33069737/article/details/52239394
BIND9配置详解
Marking的专栏
02-27 5257
ISC的bind一直以来基本上都是DNS的工业标准,不过BIND一直是漏洞不断,直到出了BIND9,isc的开发人员对bind9进行了重写,才相对好了一点.BIND9的安装就不用多说了,这里使用最新版本9,.2.3,说白了也就是需要named这个可执行文件就可以了,其他的配置文件完全可以自己来写.如果需要进行服务的控制的话,则需要rndc这个文件了.named大约有4M多,strip一下也就1M多
bind9的安装及使用
u011029104的专栏
07-30 7358
近日想搭一套RAC虚拟机，SCAN解析决定采用DNS，所以就在自己的笔记本上用BIND9.9.3搭了DNS。在这里把步骤跟大家分享一下。 下载BIND9 下载地址：http://www.isc.org/downloads 本文采用的是BIND9.9.3-P2.zip。 解压文件到任意位置，运行BINDInstall.exe。由于系统是Win7，所以这里将BIND安装到D盘DNS目录里。安装服务还需要个用户，默认会新建一个named的用户，这里我们可以使用NT AUTHORITY\LocalSe...
推荐文章：BIND 9 — 高效且可靠的域名系统服务器
最新发布
gitblog_00010的博客
05-21 528
推荐文章：BIND 9 — 高效且可靠的域名系统服务器 项目地址:https://gitcode.com/isc-projects/bind9 1、项目介绍 BIND 9 是一个高度可移植的、完整的域名系统（DNS）协议实现。由互联网系统联盟（Internet Systems Consortium, ISC）开发并维护，它为权威名称服务器、递归解析器和DNS转发器提供服务，并能同时支持这些角色。B...
从源代码包安装BIND9
程序人生
10-14 7287
从源代码包安装BIND9 Posted on 2004年10月3日 16:56 ISC BIND 是 DNS 在 Unix 和 Linux 下的具体实现，BIND 9 更是重新编写大部分 BIND 结构代码的新一代版本，BIND 9 的主要特点有:DNS安全     DNSSEC (signed zones)    TSIG (signed DNS requests)
微软的AD困局，一个"统一目录"就解决
nidengxia的博客
04-27 819
在很多企业中，人员的身份信息管理可谓是一片混乱：身份信息存储在多个不相连的信息源中，属性格式也不同，若数据维护不及时或人工输入出错，不一致的信息就会导致大量的沟通成本和修复的混乱。这对于想要创建单一信息源以支持身份管理服务的IT团队来说，是一项挑战。 什么是信息源和单一信息源？ Source of truth （SOT） （身份）信息源，包含了所有账号的属性信息和具体数据。企业中可以有一个或多个信...
Linux安装bind9搭建自己的域名服务器
风水道人
07-06 425
Linux安装bind9搭建自己的域名服务器
bind9 域名配置示例
雁孤独的博客
04-12 1342
bind9 域名配置示例
Ubuntu 用bind9搭建DNS服务器
par@ish的博客
01-16 7546
自己搭建内网DNS服务器，帮助内网网络安全。除Windows部署外，我们还可以用Ubuntu搭建一套DNS服务器。国内很多linux同学习惯用centos，不过centos马上不再更新了，建议还是用Ubuntu。 Ubuntu 部署DNS服务器可以用bind9 服务，我们的Ubuntu 版本是18.04。 先安装bind9服务： sudo apt-get install bind9 安装过程中，还会安装和更新依赖包： The following additional packages will be in
DNS： 使用 Bind 9 配置权威 DNS 服务器
山河已无恙
08-06 3362
分享一些通过Bind9配置DNS服务器的笔记博文内容涉及 一个基本的DNS 权威服务器配置流程理解不足小伙伴帮忙指正我承认爱情是空幻的，只有情感才是真实的，是情感在促使我们去追求，使我们产生爱情的真正的美 ----卢梭《爱弥儿》使用acl指令定义地址匹配列表。acl指令不是用于控制客户端对服务器的访问，而是使用它们来定义IP地址和网络列表。条目可以是完整的IP地址或网络，用尾点(192.168.0.)或CIDR表示法，也可以使用先前定义的地址匹配列表的名称。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值