配置 bind DNS 服务器器
DNS服务器常见概念
DNS服务概述:
DNS(Domain Name System--域名系统),在TCP/IP 网络中有着非常重要的地位,能够提供域名和IP地址的解析服务.
DNS是一个分布式数据库,命名系统采用层次的逻辑结构,如同一颗倒置的树,这个逻辑的树形结构称为域名空间,由于DNS划分了域名空间,所以各机构可以使用自己的域名空间创建DNS信息.
注:DNS域名空间中,树的最大深度不得超过127层,树中每个节点最长可以存储63个字符.
一些名词的解释:
- 域和域名
DNS树的每个节点代表一个域.通过这些节点,对整个域名空间进行划分,成为一个层次结构.
域名空间的每个域的名字,通过域名进行表示.
域名:通常由一个完全合格域名（FQDN）标识.FQDN能准确表示出其相对于DNS 域树根的位置,也就是节点到DNS 树根的完整表述方式,从节点到树根采用反向书写,并将每个节点用“.”分隔,对于DNS 域google 来说,其完全正式域名（FQDN）为google.com.
例如,google为com域的子域,其表示方法为google.com,而www为google域中的子域,可以使用www.google.com表示.
注意:通常,FQDN 有严格的命名限制,长度不能超过256 字节,只允许使用字符a-z,0-9,A-Z和减号（-）.点号（.）只允许在域名标志之间（例如“google.com”）或者FQDN 的结尾使用.
域名不区分大小.
由最顶层到下层,可以分成:根域、顶级域、二级域、子域.
Internet 域名空间的最顶层是根域（root）,其记录着Internet 的重要DNS 信息,由Internet域名注册授权机构管理,该机构把域名空间各部分的管理责任分配给连接到Internet 的各个组织.
“.”全球有13个根(root)服务器
DNS 根域下面是顶级域,也由Internet 域名注册授权机构管理.共有3 种类型的顶级域.
组织域:采用3 个字符的代号,表示DNS 域中所包含的组织的主要功能或活动.比如com 为商业机构组织,edu 为教育机构组织,gov 为政府机构组织,mil 为军事机构组织,net 为网络机构组织,org 为非营利机构组织,int 为国际机构组织.
地址域:采用两个字符的国家或地区代号.如cn 为中国,kr 为韩国,us 为美国.
反向域:这是个特殊域,名字为in-addr.arpa,用于将IP 地址映射到名字（反向查询）.
对于顶级域的下级域,Internet 域名注册授权机构授权给Internet 的各种组织.当一个组织获得了对域名空间某一部分的授权后,该组织就负责命名所分配的域及其子域,包括域中的计算机和其他设备,并管理分配域中主机名与IP 地址的映射信息.
2、区(Zone)
区是DNS 名称空间的一部分,其包含了一组存储在DNS 服务器上的资源记录.
使用区的概念,DNS 服务器回答关于自己区中主机的查询,每个区都有自己的授权服务器.
3、主域名服务器与辅助域名服务器
当区的辅助服务器启动时,它与该区的主控服务器进行连接并启动一次区传输,区辅助服务器定期与区主控服务器通信,查看区数据是否改变.如果改变了,它就启动一次数据更新传输.每个区必须有主服务器,另外每个区至少要有一台辅助服务器,否则如果该区的主服务器崩溃了,就无法解析该区的名称.
辅助服务器的优点:
1）容错能力
配置辅助服务器后,在该区主服务器崩溃的情况下,客户机仍能解析该区的名称.一般把区的主服务器和区的辅助服务器安装在不同子网上,这样如果到一个子网的连接中断,DNS 客户机还能直接查询另一个子网上的名称服务器.
2）减少广域链路的通信量
如果某个区在远程有大量客户机,用户就可以在远程添加该区的辅助服务器,并把远程的客户机配置成先查询这些服务器,这样就能防止远程客户机通过慢速链路通信来进行DNS 查询.
3）减轻主服务器的负载
辅助服务器能回答该区的查询,从而减少该区主服务器必须回答的查询数.
4、DNS 相关概念
（1）DNS 服务器
运行DNS 服务器程序的计算机,储存DNS 数据库信息.DNS 服务器会尝试解析客户机的查询请求.
在解答查询时,如果DNS 服务器能提供所请求的信息,就直接回应解析结果,如果该DNS 服务器没有相应的域名信息,则为客户机提供另一个能帮助解析查询的服务器地址,如果以上两种方法均失败,则回应客户机没有所请求的信息或请求的信息不存在.
（2）DNS 缓存
DNS 服务器在解析客户机请求时,如果本地没有该DNS 信息,则可以会询问其他DNS 服务器,当其他域名服务器返回查询结果时,该DNS 服务器会将结果记录在本地的缓存中,成为DNS 缓存.当下一次客户机提交相同请求时,DNS 服务器能够直接使用缓存中的DNS 信息进行解析.
2）DNS查询过程:
看一个DNS查询过程:
通过8个步骤的解析过程就使得客户端可以顺利访问www.163.com 这个域名,但实际应用中,通常这个过程是非常迅速的
<1> 客户机提交域名解析请求,并将该请求发送给本地的域名服务器.
<2> 当本地的域名服务器收到请求后,就先查询本地的缓存.
如果有查询的DNS 信息记录,则直接返回查询的结果.
如果没有该记录,本地域名服务器就把请求发给根域名服务器.
<3> 根域名服务器再返回给本地域名服务器一个所查询域的顶级域名服务器的地址.
<4> 本地服务器再向返回的域名服务器发送请求.
<5> 接收到该查询请求的域名服务器查询其缓存和记录,如果有相关信息则返回客户机查询结果,否则通知客户机下级的域名服务器的地址.
<6> 本地域名服务器将查询请求发送给返回的DNS 服务器.
<7> 域名服务器返回本地服务器查询结果（如果该域名服务器不包含查询的DNS 信息,查询过程将重复<6>、<7>步骤,直到返回解析信息或解析失败的回应）.
<8> 本地域名服务器将返回的结果保存到缓存,并且将结果返回给客户机.
5、两种查询方式:
（1）递归查询
递归查询是一种DNS 服务器的查询模式,在该模式下DNS 服务器接收到客户机请求,必须使用一个准确的查询结果回复客户机.如果DNS 服务器本地没有存储查询DNS 信息,那么该服务器会询问其他服务器,并将返回的查询结果提交给客户机.
（2）迭代查询
DNS 服务器另外一种查询方式为迭代查询,当客户机发送查询请求时,DNS 服务器并不直接回复查询结果,而是告诉客户机另一台DNS 服务器地址,客户机再向这台DNS 服务器提交请求,依次循环直到返回查询的结果为止.
6、正向解析与反向解析
1）正向解析
正向解析是指域名到IP 地址的解析过程.
2）反向解析
反向解析是从IP 地址到域名的解析过程.反向解析的作用为服务器的身份验证.
http://dns.aizhan.com/ #一个反向解析服务器
7、DNS资源记录
1）SOA 资源记录(全区唯一)
每个区在区的开始处都包含了一个起始授权记录（Start of Authority Record）,简称SOA 记录.
SOA 定义了域的全局参数,进行整个域的管理设置.一个区域文件只允许存在唯一的SOA 记录.
2）NS 资源记录
NS（Name Server）记录是域名服务器记录,用来指定该域名由哪个DNS服务器来进行解析.每个区在区根处至少包含一个NS 记录.
3）A 资源记录
地址（A）资源记录把FQDN 映射到IP 地址. 因为有此记录,所以DNS服务器能解析FQDN域名对应的IP 地址.
4）PTR 资源记录
相对于A 资源记录,指针（PTR）记录把IP地址映射到FQDN. 用于反向查询,通过IP地址,找到域名.
5）CNAME 资源记录
别名记录（CNAME）资源记录创建特定FQDN 的别名.用户可以使用CNAME 记录来隐藏用户网络的实现细节,使连接的客户机无法知道真正的域名.
例:ping百度时,解析到了百度的别名服务器.百度有个cname=www.a.shifen.com.的别名
6）MX 资源记录
邮件交换（MX）资源记录,为DNS 域名指定邮件交换服务器.
邮件交换服务器是为DNS 域名处理或转发邮件的主机.处理邮件指把邮件投递到目的地或转交另一不同类型的邮件传送者.转发邮件指把邮件发送到最终目的服务器,用简单邮件传输协议SMTP 把邮件发送给离最终目的地最近的邮件交换服务器,或使邮件经过一定时间的排队.
以上是相关概念.
模式: C/S 模式
DNS服务器的安装及相关配置:
DNS服务器的安装:
BIND 简介:全称为Berkeley Internet Name Domain(伯克利因特网名称域系统).BIND 主要有三个版本:BIND4、BIND8、BIND9.
BIND8 融合了许多提高效率、稳定性和安全性的技术,而BIND9 增加了一些超前的理念:IPv6支持、密钥加密、多处理器支持、线程安全操作、增量区传送等等.
yum -y install bind bind-chroot bind-utils
bind ---> #该包为DNS服务的主程序包
bind-chroot ---> #该包提高安全性
# bind-chroot是bind的一个功能包,使bind可以在一个chroot的模式下运行.
# 也就是说,bind运行时的/(根)目录,并不是系统真正的/(根)目录,
# 只是系统中的一个子目录.这样做的目的是为了提高安全性.
# 因为在chroot模式下,bind只可以方位这个子目录的范围.
# 而不能进入这个子目录外其他的地方.
bind-utils ---> #该包为客户端工具,默认安装,用于搜索余名指令
DNS服务器的使用:
/etc/init.d/named <start | restart | stop | status >
或
service named <start | restart | stop | status >
#<start 启动 | restart 重启 | stop 停止 | status 状态 >
chkconfig add named #添加named开机启动项
chkconfig named on #设置named开机自启动
chkconfig --list named #查看named开机启动状态
DNS服务器监听端口:
vim /etc/services
PORT: udp/tcp 53 ---> 客户端查询
PORT: udp/tcp 953 ---> 主从服务器同步
DNS服务器配置文件:
rpm -ql bind
/etc/named.conf ---> 核心配置文件
没有安装bind-chroot情况下,可以备份配置文件后,直接修改/etc/name.conf.
(推荐)安装了bind-chroot情况下,直接运行
/etc/init.d/named start
后,执行mount命令,在对/var/named/chroot/etc/named.conf 进行修改
[root@xiaogan120 ~]# /etc/init.d/named start
Generating /etc/rndc.key: [ OK ]
Starting named: [ OK ]
[root@xiaogan120 ~]# mount
/dev/sda2 on / type ext4 (rw)
proc on /proc type proc (rw)
sysfs on /sys type sysfs (rw)
devpts on /dev/pts type devpts (rw,gid=5,mode=620)
tmpfs on /dev/shm type tmpfs (rw)
/dev/sda1 on /boot type ext4 (rw)
/dev/sda5 on /var type ext4 (rw)
/dev/sr0 on /mnt type iso9660 (ro)
none on /proc/sys/fs/binfmt_misc type binfmt_misc (rw)
/etc/named on /var/named/chroot/etc/named type none (rw,bind)
/var/named on /var/named/chroot/var/named type none (rw,bind)
/etc/named.conf on /var/named/chroot/etc/named.conf type none (rw,bind)
/etc/named.rfc1912.zones on /var/named/chroot/etc/named.rfc1912.zones type none (rw,bind)
/etc/rndc.key on /var/named/chroot/etc/rndc.key type none (rw,bind)
/usr/lib64/bind on /var/named/chroot/usr/lib64/bind type none (rw,bind)
/etc/named.iscdlv.key on /var/named/chroot/etc/named.iscdlv.key type none (rw,bind)
/etc/named.root.key on /var/named/chroot/etc/named.root.key type none (rw,bind)
配置文件详解:
vim /var/named/chroot/etc/named.conf #启动服务后,尽量使用这个路径.
options :对全局生效,定义了监听地址和端口,目录,临时目录,状态目录等配置信息
logging : 日志信息
zone : 针对某个区域生效
重点说一下type参数:
type 字段指定区域的类型,对于区域的管理至关重要,一共分为六种:
1. Master:
主DNS 服务器:拥有区域数据文件,并对此区域提供管理数据
2. Slave:
辅助DNS 服务器:拥有主DNS 服务器的区域数据文件的副本,辅助DNS 服务器会从主DNS服务器同步所有区域数据.
3. Stub:
stub 区域和slave 类似,但其只复制主DNS 服务器上的NS 记录而不像辅助DNS 服务器会复制所有区域数据.
4. Forward:
一个forward zone 是每个域的配置转发的主要部分.一个zone 语句中的type forward可以包括一个forward 和/或forwarders 子句,它会在区域名称给定的域中查询.如果没有forwarders 语句或者forwarders 是空表,那么这个域就不会有转发,消除了options 语句中有关转发的配置.
5. Hint:根域名服务器的初始化组指定使用线索区域hint zone,当服务器启动时,它使用根线索来查找根域名服务器,并找到最近的根域名服务器列表.
----------------- /var/named/chroot/etc/named.conf -------------------
//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
// 在/usr/share/doc/bind*/sample/ 文件夹中可查卡named配置案例
options {
listen-on port 53 { any; }; #监听地址,和端口 IPV4
listen-on-v6 port 53 { any; }; #监听地址,和端口 IPV6
directory "/var/named"; #工作目录
dump-file "/var/named/data/cache_dump.db"; #数据存放目录
statistics-file "/var/named/data/named_stats.txt";#数据存放目录
memstatistics-file "/var/named/data/named_mem_stats.txt";#数据存放目录
allow-query { any; }; #允许解析的IP地址
recursion yes; # 开启递归查询
dnssec-enable yes; #开启加密
dnssec-validation yes; #在递归查询服务器上开启DNSSEC验证
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key"; #isc dlv key 的地址
managed-keys-directory "/var/named/dynamic"; #key的保存目录
};
logging { #日志
channel default_debug {
file "data/named.run";
severity dynamic;
};
};
zone "." IN {
type hint;
file "named.ca";
};
include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";
这里也可以采用docker 的方式部署
docker run -d --name=bind \
--dns=127.0.0.1 \
--publish=192.168.6.146:53:53/udp \
--publish=192.168.6.146:10000:10000 \
--volume=/srv/docker/bind:/data \
--env='ROOT_PASSWORD=123456a?' sameersbn/bind:latest
实验环境:
Server: xiaogan64 ( CentOS6.8 ) IP: 192.168.31.64 ( eth0 )
Client: xiaogan63 ( CentOS6.8 ) IP: 192.168.31.63 ( eth0 )
Client端:
配置网卡选择vmnet6模式,ip地址 192.168.64.63
网关 192.168.64.1(server eth1 IPAddr)
Server端:
配置eth0 选择桥接模式,IP 192.168.31.64
配置eth1 选择vmnet6模式,IP 192.168.64.1
安装DNS服务
yum -y install bind bind-chroot bind-utils
启动bind服务
/etc/init.d/named start
service named start
添加开机启动项及相关设置
chkconfig --list named
chkconfig add named
chkconfig named on
chkconfig named off
- 实战:配置DNS服务器解析
修改配置文件:
vim /var/named/chroot/etc/named.conf
修改options如下:
options {
listen-on port 53 { any; }; # 监听任意IPV4地址53号端口
listen-on-v6 port 53 { any; }; #IPV6 同上
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; }; # 允许任何地址通过
recursion yes; # 默认,支持递归查询
dnssec-enable yes;
dnssec-validation yes;
dnssec-lookaside auto; # 添加这一行
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
managed-keys-directory "/var/named/dynamic";
};
添加zone如下:
zone "xiaogan.cn" IN { # 指定区域名为 xiaogan.cn
type master; # 指定工作模式 为主dns服务器
file "xiaogan.cn.zone"; # 指定配置文件为 xiaogan.cn.zone
};
:wq保存退出!
建立zone配置文件 xiaogan.cn.zone
cd /var/named/chroot/var/named
cp -a named.localhost xiaogan.cn.zone
在拷贝配置文件的时候,尽量使用-a选项 (拷贝所有属性)
不然,有时候,你都不知道怎么回事,什么都对了,就是实验不成功!!!我就是因为这个问题纠结了好几天!!!
# ls -l xiaogan.cn.zone
# -rw-r----- 1 root named 289 Oct 12 20:56 /var/named/chroot/var/named/xiaogan.cn.zone
vim xiaogan.cn.zone
修改如下: 配置信息 ; # 注释信息
1 $TTL 1D
# 设置有效地址解析记录的默认缓存时间，默认为1天也就是1D。
2 xiaogan.cn. IN SOA dns.xiaogan.cn. root.xiaogan.cn. (
# 起始授权记录SOA 定义了域的全局参数,进行整个域管理设置,一个区域文件只允许存在唯一的SOA记录
# 原来的@表示当前的域xiaogan.cn.，为方便大家记忆，我们这里，直接写成xiaogan.cn.
# 设置SOA记录为：dns.xuegod.cn.
# 在此配置文件中写域名时，都把根. 也要写上。
# 域管理邮箱root.xuegod.cn.0由于@有其他含义，所以用“.”代替@。
3 0 ; serial
# 更新序列号，用于标示数据库的变换，可以在10位以内，如果存在辅助DNS区域,建议每次更新完数据库，手动加1.
4 1D ; refresh
# 刷新时间，从域名服务器更新该地址数据库文件的间隔时间，默认为1天
5 1H ; retry
# 重试延时，从域名服务器更新地址数据库失败以后，等待多长时间，默认为为1小时
6 1W ; expire
# 到期，失效时间，超过该时间仍无法更新地址数据库，则不再尝试，默认为一周
7 3H ) ; minimum
# 设置无效地址解析记录（该数据库中不存在的地址）默认缓存时间。设置无效记录，最少缓存时间为3小时
8 xiaogan.cn. NS dns.xiaogan.cn.
# 域名服务器记录,指定该域名xiaogan.cn由dns.xiaogan.cn进行分析,每个区在区根处至少包含一个NS记录.
9 dns.xiaogan.cn. A 192.168.31.1
# 把FQDN(完全合格域名标识)映射到IP地址
# 即 把 dns.xiaogan.cn 映射到 192.168.64.1 位置
10 www.xiaogan.cn. A 192.168.31.1
# 同上
11 www2.xiaogan.cn. CNAME www.xiaogan.cn.
# 定义别名 www.xiaogan.cn 的别名为 www2.xiaogan.cn
NS @ ;域名服务器记录，用于设置当前域的DNS服务器的域名地址，
A 127.0.0.1 ; 设置域名服务器的A记录，地址为ipv4的地址127.0.0.1，可以设置成192.168.100.102
AAAA ::1 ; 设置域名服务器的A记录，地址为ipv6的地址。
保存退出,并重启named服务
/etc/init.d/named restart
客户端:修改DNS
vim /etc/resolv.conf
nameserver 192.168.31.64
为了避免不必要的误解,我们同时也修改了网卡配置文件(因为计算机的DNS可以在这两个文件中定义
/etc/reslove.conf
/etc/sysconfig/network-scripts/ifcfg-eth0)
ping www.xiaogan.cn
ping www2.xiaogan.cn
wps9374.tmp
2. 实战:使用DNS支持递归查询.
vim /var/named/chroot/etc/named.conf
20 # dnssec-enable yes;
21 # dnssec-validation yes;
22 # dnssec-lookaside auto;
# 但是要把这三条内容注释了，其它内容不用改，这样客户端才能通过这个DNS进行递归查询。把dns加密通讯功能关闭，才可以和根服务器时行迭代查询。
测试：
ping www.baidu.com
# 时好,时坏,我也不知道怎么回事,更新一下时间就又好了,好神奇!!!
#### 三、搭建DNS转发服务器
家庭路由器就是一个典型的转发服务器
# 注意,开启转发,需要保证时间一致!!!
# ntpdate time.windows.com
1、vim /var/named/chroot/etc/named.conf
改：
把上面添加的
zone "xuegod.cn"IN{
type master;
file "xuegod.cn.zone";
};
这三行内容注释或者删除，再添加两行内容：
forward only ; //仅执行转发操作 ，only:仅转发;first：先查找本地zone，再转发
forwarders { 8.8.8.8; }; //指定转发查询请求的DNS服务器列表
即：
options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes; //允许递归查询
#dnssec-enable yes; //注释这三行
#dnssec-validation yes;
#dnssec-lookaside auto;
forward only ; //仅执行转发操作 ，only:仅转发;first：先查找本地zone，再转发
forwarders { 8.8.8.8; }; //指定转发查询请求的DNS服务器列表
bindkeys-file "/etc/named.iscdlv.key";
};
四、搭建DNS主从服务器
1、搭建一个主DNS服务器A。配置内容如下：
[root@localhost etc]# vim named.conf
#dnssec-enable yes;
#dnssec-validation yes;
//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
options {
listen-on port 53 { any ; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes;
#dnssec-enable yes;
#dnssec-validation yes;
#dnssec-lookaside auto;
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
};
logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
}
zone "." IN {
type hint;
file "named.ca";
};
zone "xuegod.cn" IN {
type master;
file "xuegod.cn.zone";
allow-transfer { 192.168.31.0/24; };
#指定允许哪个网段的从DNS服务器，可以同步主DNS服务器zone文件，不写默认为所有。
};
include "/etc/named.rfc1912.zones";
2、从DNS服务器的配置
主从时间一定要保持一致
安装程序：
yum install bind bind-chroot bind-utils -y
[root@xuegod64 Packages]# service named restart
Stopping named: [ OK ]
Starting named: [ OK ]
[root@localhost etc]# vim named.conf
options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes;
bindkeys-file "/etc/named.iscdlv.key";
};
logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
};
zone "." IN {
type hint;
file "named.ca";
};
zone "xuegod.cn" IN {
type slave;
file "slaves/xuegod.cn.zone.file";
masters { 192.168.31.64; };
};
include "/etc/named.rfc1912.zones";
注：这样从DNS服务器就可以从主DNS服务器上获取DNS解析记录信息了。写时注意slave slaves master 单词的书写，有的加s有的不加
重启从DNS服务器会在：/var/named/chroot/var/named/slaves文件夹下自动创建一个文件xuegod.cn.zone.file 这个文件是从DNS服务器从主DNS服务器上获取的数据这样随便一个DNS就可以获取主DNS服务器的解析记录，不安全，文章的后面会讲如何进行主从认证。
注：主DNS记录中应该有两NS记录，一条是主DNS的NS记录，一条是从DNS服务器的域名记录。
测试：
service named restart
ls /var/named/chroot/var/named/slaves/ #看到这个文件，说明成功了
xuegod.cn.zone.file
五、zone文件中的其它记录信息。 通过DNS做负载均衡
编辑主DNS服务器上的配置文件：
cd /var/named/chroot/var/named
[root@localhost named]# vim xuegod.cn.zone
cat /var/named/chroot/var/named/xuegod.cn.zone
$TTL 1D
xuegod.cn. IN SOA dns.xuegod.cn. root.xuegod.cn. (
1 ; serial
1D ; refresh
1H ; retry
1W ; expire
3H ) ; minimum
xuegod.cn. NS dns.xuegod.cn.
dns.xuegod.cn. A 192.168.31.64
www.xuegod.cn. 1 A 192.168.31.64 #DNS做简单的负载均衡,1表示此记录在客户端保存1秒
www.xuegod.cn. 1 A 192.168.31.64
www.xuegod.cn. 1 A 192.168.31.1
www1.xeugod.cn. CNAME www.xuegod.cn.
xuegod.cn. MX 10 mail.xuegod.cn. #添加邮件记录
mail.xuegod.cn. A 192.168.31.64
bbs.xuegod.cn. CNAME www.xuegod.cn.
六、DNS主从密钥认证
主服务器重启时，会主动给从服务器发送信息，让从服务器更新自己的记录，通讯端口采用TCP 的53端口。
注：TSIG (主从DNS的时间必须一样)
1、同步时间：
vim /etc/ntp.conf //查看ntp服务器
ntpdate 0.rhel.pool.ntp.org #同步时间
2、生成密钥，进行主从认证。
在主DNS服务器上操作。
rpm -qf `which dnssec-keygen`
bind-9.7.3-8.P3.el6.x86_64
（1）、dnssec-keygen -a hmac-md5 -b 128 -n HOST 名字
cd /var/named/chroot/
dnssec-keygen -a hmac-md5 -b 128 -n HOST abc #生成一对 对称钥匙
-a hmac-md5：采用hmac-md5加密算法。
-b 128：生成的密钥长度为128位。
-n 密钥类型。我们选择主机类型：HOST 。
-n <nametype>: ZONE | HOST | ENTITY | USER | OTHER
(DNSKEY generation defaults to ZONE)
abc #为生成密钥的名字
生成时速度有点慢，因为生成密钥需要一些随机事件，因此我们可以通过移动鼠标或执行
[root@xuegod63 etc]# find /
来产生一些随机事件。
等待大约2分钟，查看生成的密钥对：
[root@xuegod63 chroot]# ls
dev etc Kabc.+157+36589.key Kabc.+157+36589.private usr var
[root@xuegod63 chroot]# cat Kabc.+157+54214.private
Private-key-format: v1.2
Algorithm: 157 (HMAC_MD5)
Key: nVk1s0B6XVB4BFfkr+vdfQ== #这是密钥
[root@xuegod63 chroot]# cat Kabc.+157+54214.key
abc. IN KEY 512 3 157 nVk1s0B6XVB4BFfkr+vdfQ==
（2）、修改主DNS配置：
[root@xuegod63 chroot]# vim /var/named/chroot/etc/named.conf
//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes;
dnssec-enable yes; #取原来注释
dnssec-validation yes; #取原来注释
dnssec-lookaside auto; #取原来注释
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
};
logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
};
zone "." IN {
type hint;
file "named.ca";
};
key abckey { #先定义密钥的名字
algorithm hmac-md5;
secret "nVk1s0B6XVB4BFfkr+vdfQ==";
};
zone "xuegod.cn." IN {
type master;
file "xuegod.cn.zone";
allow-transfer { key abckey; }; #采用密钥进行同步
};
include "/etc/named.rfc1912.zones";
重启服务
（3）、从DNS 服务器：192.168.1.64：
#先定义密钥
#采用密钥进行同步
vim /var/named/chroot/etc/named.conf
//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
options {
listen-on port 53 { any; };
listen-on-v6 port 53 { any; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { any; };
recursion yes;
dnssec-enable yes;
dnssec-validation yes;
dnssec-lookaside auto;
/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";
};
logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
};
zone "." IN {
type hint;
file "named.ca";
};
key abckey { #先定义密钥名
algorithm hmac-md5;
secret "nVk1s0B6XVB4BFfkr+vdfQ==";
};
zone "xuegod.cn." IN {
type slave;
file "slaves/xuegod.cn.zone.file";
masters { 192.168.31.64 key abckey; }; #采用密钥进行同步
};
include "/etc/named.rfc1912.zones";
重启服务进行测试：
[root@xuegod63 chroot]# cd
[root@xuegod63 ~]# service named restart
Stopping named: . [ OK ]
Starting named: [ OK ]
[root@xuegod63 ~]#
从DNS服务器：
rm -rf /var/named/chroot/var/named/slaves/xuegod.cn.zone.file
ls /var/named/chroot/var/named/slaves/
测试工具：
nslookup 测试域名解析
(1)非交互式模式
语法： nslookup 域名或IP 地址
例：
root@xuegod63 chroot]# nslookup www.xuegod.cn
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
Name: www.xuegod.cn
Address: 112.124.185.97
（2）交互模式
[root@xuegod63 ~]# nslookup
> www.g.cn
Server: 192.168.31.64
Address: 192.168.31.64#53
Non-authoritative answer:
Name: www.g.cn
Address: 203.208.49.178
Name: www.g.cn
Address: 203.208.49.179
Name: www.g.cn
Address: 203.208.49.180
Name: www.g.cn
Address: 203.208.49.176
Name: www.g.cn
Address: 203.208.49.177
dig命令：
linux下使用dig命令来查询域名信息,当然也可以使用nslookup，但dig比nslookup更方便更强大一些。
安装：
[root@xuegod63 ~]# rpm -qf `which dig`
bind-utils-9.7.3-8.P3.el6.x86_64
例：
使用114.114.114.114
DNS服务器解析www.xuegod.cn
[root@xuegod63 ~]# dig @114.114.114.114 www.xuegod.cn
; <<>> DiG 9.7.3-P3-RedHat-9.7.3-8.P3.el6 <<>> @114.114.114.114 www.xuegod.cn
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23192
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
;; QUESTION SECTION:
;www.xuegod.cn. IN A
;; ANSWER SECTION:
www.xuegod.cn. 30 IN A 112.124.185.97
;; Query time: 19 msec
;; SERVER: 114.114.114.114#53(114.114.114.114)
;; WHEN: Wed Mar 11 21:02:29 2015
;; MSG SIZE rcvd: 47
进入bind容器后，里面的 /etc/bind 目录对应的就是73主机中的 /opt/scs/openxxs/bind/bind/etc 目录。先执行如下命令对配置文件的语法进行检查：
named-checkconf
语法没有问题后，使用rndc命令重新加载配置信息：
rndc reconfig
如果只是修改了某个区域的一些条目，则更新该区域即可，如下命令更新了open.com区域：
rndc reload open.com
补充：双线智能DNS：
智能DNS（Bind-view）：
智能DNS的原理很简单：在用户解析一个域名的时候，判断一下用户 的IP，然后跟DNS服务器内部的IP表匹配一下，看看用户是电信还是网通用户，然后给用户返回对应的IP地址。目前的域名服务运营商不提供智能DNS服务，所以必须自行架设DNS服务或者使用网上免费的智能DNS服务，如DNSPOD.
https://www.dnspod.cn/
那我们为什么要使用智能DNS服务器：1、因为不同ISP厂商有竞争，使得我们成为受害者，细心的网友一定会发现，南方的网友访问北方的网站一般都比较慢，北方的网友访问南方的网站也很慢。这些都是厂商之间的竞争导致的。
http://gupt12.blog.51cto.com/7651206/1263525
http://linuxfun.me/?p=1023
