DNS服务和bind

DNS服务工作原理

简介
　　DNS（Domain Name Service）是应用层协议（C/S架构）,工作端口为53/udp（用来查询）, 53/tcp（数据传输）
　　Linux里DNS服务程序一般使用BIND（Bekerley Internat Name Domain）这个软件是由ISC（www.isc.org）组织维护。
　　本地名称解析配置文件：
　　　　Linux：/etc/hosts
　　　　Windows：%WINDIR%/system32/drivers/etc/hosts

DNS域名
一级域名：（Top Level Domain: tld）
　　com, edu, mil, gov, net, org, int,arpa
　　三类：组织域、国家域(.cn, .ca, .hk, .tw)、反向域
　　一级域名后面还有二级，三级域名，最多127级域名

    根域（.）
    ├── .com（一级域名）
    │   ├── magedu（二级域名）
    │   │	├──www（三级域名）
    │   │ 	└──blog
    │   ├── wang.com
    │   └── zhang.com
    ├── .cn
    ├── .edu
    ├── .gov
    ├── .jp
    ├── .mil
    ├── .net
    ├── .org
    └── .tw

DNS解析
　　DNS查询类型：
　　　　递归查询，发送一次请求
　　　　迭代查询，发送多次请求
　　名称服务器：域内负责解析本域内的名称的主机
　　解析类型（正反向解析是两个不同的名称空间，是两棵不同的解析树）：
　　　　正向解析：域名 --> IP
　　　　反向解析：IP --> 域名
　　一次完整的查询请求经过的流程：
　　　　Client -->hosts文件 -->DNS Service Local Cache --> DNS Server
(recursion) --> Server Cache --> iteration(迭代) --> 根--> 顶级域名DNS-->
二级域名DNS…
　　解析答案：
　　　　肯定答案：
　　　　否定答案：请求的条目不存在等原因导致无法返回结果
　　　　权威答案：
　　　　非权威答案：

DNS服务器的类型
　　主DNS服务器：管理和维护所负责解析的域内解析库的服务器
　　从DNS服务器：从主服务器或从服务器“复制”（区域传输）解析库副本
　　　　序列号：解析库版本号，主服务器解析库变化时，其序列递增
　　　　刷新时间间隔：从服务器从主服务器请求同步解析的时间间隔
　　　　重试时间间隔：从服务器请求同步失败时，再次尝试
　　　　时间间隔过期时长：从服务器联系不到主服务器时，多久后停止服务
　　　　通知机制：主服务器解析库发生变化时，会主动通知从服务器
　　缓存DNS服务器（转发器）

区域传输
　　完全传输：传送整个解析库 axfr
　　增量传输：传递解析库变化的那部分内容 ixfr
　　Domain: Fully Qualified Domain Name
　　　　正向：FQDN --> IP
　　　　反向: IP --> FQDN
　　负责本地域名的正向和反向解析库
　　　　正向区域
　　　　反向区域

资源记录
　　区域解析库：由众多RR组成：
　　　　资源记录：Resource Record, RR
　　　　记录类型：A, AAAA, PTR, SOA, NS, CNAME, MX
　　资源记录定义的格式：
　　　　语法：name　　[TTL]　　IN　　rr_type　　value
　　　　　　(1) TTL可从全局继承
　　　　　　(2) @可用于引用当前区域的名字
　　　　　　(3) 同一个名字可以通过多条记录定义多个不同的值；此时DNS服务器会以轮询
方式响应
　　　　　　(4) 同一个值也可能有多个不同的定义名字；通过多个不同的名字指向同一个值
进行定义；此仅表示通过多个不同的名字可以找到同一个主机

SOA记录(Start Of Authority):起始记录，一个区域解析库有且只能有一个SOA记录，而且必须放在第一条
　　　　name: 当前区域的名字，例如“magedu.com.”
　　　　value: 有多部分组成
　　　　　　　(1) 当前区域的主DNS服务器的FQDN，也可以使用当前区域的名字；
　　　　　　　(2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般用.替换
例如：admin.magedu.com
　　　　　　　(3) 主从服务区域传输相关定义以及否定的答案的统一的TTL
　　　　　例如：
　　　　　　　　magedu.com.　　86400　　IN　　SOA　　ns.magedu.com.
　　　　　　　　nsadmin.magedu.com. (
　　　　　　　　2015042201 ;序列号
　　　　　　　　2H ;刷新时间
　　　　　　　　10M ;重试时间
　　　　　　　　1W ;过期时间
　　　　　　　　1D ;否定答案的TTL值
　　　　　　　　)
NS记录(Name Service):域名服务记录，一个区域解析库可以有多个NS记录，其中一个为主的
　　　　name: 当前区域的名字
　　　　value: 当前区域的某DNS服务器的名字，例如ns.magedu.com.
　　　　　　　注意：
　　　　　　　(1)一个区域可以有多个NS记录
　　　　　　　　　例如：
　　　　　　　　　　　magedu.com.　　IN　　NS　　ns1.magedu.com.
　　　　　　　　　　　magedu.com.　　IN　　NS　　ns2.magedu.com.
　　　　　　　(2) 相邻的两个资源记录的name相同时，后续的可省略
　　　　　　　(3) 对NS记录而言，任何一个ns记录后面的服务器名字，都应该在后续有一个A记录
MX记录(Mail Exchange):邮件交换器
　　　　name: 当前区域的名字
　　　　value: 当前区域的某邮件服务器(smtp服务器)的主机名
　　　　一个区域内，MX记录可有多个；但每个记录的value之前应该有一个数字(0-99)，表示此服务器的优先级；数字越小优先级越高
　　　　例如：
　　　　　　magedu.com.　　IN　　MX　　10　　mx1.magedu.com.
　　　　　　IN　　MX　　20　　mx2.magedu.com.
　　　　　　注意：对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录
A记录(Address):地址记录，FQDN--->iPv4
　　　　name: 某主机的FQDN，例如：www.magedu.com.
　　　　value: 主机名对应主机的IP地址
　　　　　　例如：
　　　　　　　　www.magedu.com.　　IN　　A　　1.1.1.1
　　　　　　　　www.magedu.com.　　IN　　A　　2.2.2.2
　　　　　　　　mx1.magedu.com.　　IN　　A　　3.3.3.3
　　　　　　　　mx2.magedu.com.　　IN　　A　　4.4.4.4
　　　　　　　　$GENERATE 1-254　　HOST$　　IN　　A　　1.2.3.$
　　　　　　　　*.magedu.com.　　IN　　A　　5.5.5.5
　　　　　　　　magedu.com.　　IN　　A　　6.6.6.6
　　　　避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址
别名记录（CNAME）
　　　　name: 别名的FQDN
　　　　value: 真正名字的FQDN
　　　　　　例如：
　　　　　　　　 www.magedu.com.　　IN　　CNAME　　websrv.magedu.com.
其它记录
　　AAAA:
　　　　name: FQDN
　　　　value: IPv6
　　PTR:
　　　　name: IP，有特定格式，把IP地址反过来写，1.2.3.4，要写作4.3.2.1；而有特定后缀：in-addr.arpa.，所以完整写法为：4.3.2.1.in-addr.arpa.
　　　　value: FQDN
　　　　例如：
　　　　　　4.3.2.1.in-addr.arpa.　　IN　　PTR　　www.magedu.com.
　　　　　　如1.2.3为网络地址，可简写成：4　　IN　　PTR　　www.magedu.com.
　　　　注意：网络地址及后缀可省略；主机地址依然需要反着写

实现DNS主服务器

安装bind
　　DNS服务器软件：bind，powerdns，unbound
　　BIND相关程序包：yum list all bind*
　　　　bind：服务器
　　　　bind-libs：相关库
　　　　bind-utils:客户端
　　　　bind-chroot: /var/named/chroot/
　　BIND程序名：named
bind服务器
　　服务脚本和名称：/etc/rc.d/init.d/named /usr/lib/systemd/system/named.service
　　主配置文件：/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key
　　解析库文件：/var/named/ZONE_NAME.ZONE
　　　注意：
　　　　　(1) 一台物理服务器可同时为多个区域提供解析
　　　　　(2) 必须要有根区域文件；named.ca
　　　　　(3) 应该有两个（如果包括ipv6的，应该更多）实现localhost和本地回环地址的解析库
　　rndc：remote name domain controller，默认与bind安装在同一主机，且只能通过127.0.0.1连接named进程提供辅助性的管理功能；953/tcp
配置文件
　　主配置文件：
　　　　全局配置：options {};
　　　　日志子系统配置：logging {};
　　　　区域定义：本机能够为哪些zone进行解析，就要定义哪些zone
　　　　zone "ZONE_NAME" IN {};
　　缓存名称服务器的配置：
　　　　监听外部地址即可
　　　　dnssec: 建议关闭dnssec，设为no
　　注意：任何服务程序如果期望其能够通过网络被其它主机访问，至少应该监听在一个能与外部主机通信的IP地址上
配置主DNS服务器
　　主DNS名称服务器：
　　　　(1) 在主配置文件中定义区域

        zone "ZONE_NAME" IN {  
        type {master|slave|hint|forward};  
        file "ZONE_NAME.zone";  
        };

　　　　(2) 定义区域解析库文件
　　　　　　　出现的内容
　　　　　　　宏定义
　　　　　　　资源记录
　　主配置文件语法检查：
　　　　named-checkconf
　　解析库文件语法检查：
　　　　named-checkzone "magedu.com" /var/named/magedu.com.zone
　　　　配置生效：
　　　　　　　　rndc reload 或 service named reload
主区域示例

$TTL     86400
$ORIGIN     magedu.com.
@     IN     SOA     ns1.magedu.com.     admin.magedu.com (
2015042201
1H
5M
7D
1D )
IN       NS       ns1
IN       NS       ns2
IN       MX       10       mx1
IN       MX       20       mx2
ns1      IN       A       172.16.100.11
ns2      IN       A       172.16.100.12
mx1      IN       A       172.16.100.13
mx2      IN       A       172.16.100.14
websrv       IN       A       172.16.100.11
websrv       IN       A       172.16.100.12
www       IN       CNAME       websrv

测试命令dig
　　dig [-t type] name [@SERVER] [query options]
　　dig只用于测试dns系统，不会查询hosts文件进行解析
查询选项：
　　+[no]trace：跟踪解析过程 : dig +trace magedu.com
　　+[no]recurse：进行递归解析
测试反向解析：
　　dig -x IP = dig –t ptr reverseip.in-addr.arpa
模拟区域传送：

  • dig -t axfr ZONE_NAME @SERVER
  • dig -t axfr magedu.com @10.10.10.11
  • dig –t axfr 100.1.10.in-addr.arpa @172.16.1.1
  • dig -t NS . @114.114.114.114
  • dig -t NS . @a.root-servers.net

测试命令

host [-t type] name [SERVER]
    host –t NS magedu.com 172.16.0.1
    host –t soa magedu.com
    host –t mx magedu.com
    host –t axfr magedu.com
    host 1.2.3.4
nslookup命令： nslookup [-option] [name | -] [server]
    • 交互式模式：
        nslookup>
        server IP: 指明使用哪个DNS server进行查询
        set q=RR_TYPE: 指明查询的资源记录类型
        NAME: 要查询的名称

实现反向解析区域

反向区域
　　反向区域
　　　　区域名称：网络地址反写.in-addr.arpa.
　　　　172.16.100. --> 100.16.172.in-addr.arpa.
　　(1) 定义区域

    zone "ZONE_NAME" IN {
    type {master|slave|forward}；
    file "网络地址.zone"
    };

　　(2) 定义区域解析库文件
　　　　注意：不需要MX,以PTR记录为主
反向区域示例

    $TTL     86400
    $ORIGIN      100.16.172.in-addr.arpa.
    @      IN      SOA      ns1.magedu.com.      admin.magedu.com. (
    2015042201
    1H
    5M
    7D
    1D )
    IN      NS      ns1.magedu.com.
    IN      NS      ns2.magedu.com.
    11      IN      PTR      ns1.magedu.com.
    11      IN      PTR      www.magedu.com.
    12      IN      PTR      mx1.magedu.com.
    12      IN      PTR      www.magedu.com.
    13      IN      PTR      mx2.magedu.com.

实现从服务器

从服务器
　　1、应该为一台独立的名称服务器
　　2、主服务器的区域解析库文件中必须有一条NS记录指向从服务器
　　3、从服务器只需要定义区域，而无须提供解析库文件；解析库文件应该放置于/var/named/slaves/目录中
　　4、主服务器得允许从服务器作区域传送
　　5、主从服务器时间应该同步，可通过ntp进行；
　　6、bind程序的版本应该保持一致；否则，应该从高，主低

    定义从区域的方法：  
        zone "ZONE_NAME" IN {
        type slave;
        masters { MASTER_IP; };
        file "slaves/ZONE_NAME.zone";
        };

rndc命令
　　rndc：
　　　　rndc --> rndc (953/tcp)
　　　　rndc COMMAND
　　COMMAND:
　　　　reload: 重载主配置文件和区域解析库文件
　　　　reload zonename: 重载区域解析库文件
　　　　retransfer zonename: 手动启动区域传送，而不管序列号是否增加
　　　　notify zonename: 重新对区域传送发通知
　　　　reconfig: 重载主配置文件
　　　　querylog: 开启或关闭查询日志文件/var/log/message
　　　　trace: 递增debug一个级别
　　　　trace LEVEL: 指定使用的级别
　　　　notrace：将调试级别设置为 0
　　　　flush：清空DNS服务器的所有缓存记录

实现子域

子域
　　子域授权：分布式数据库
　　正向解析区域子域方法
　　定义一个子区域：

    ops.magedu.com.      IN       NS       ns1.ops.magedu.com.
    ops.magedu.com.      IN       NS       ns2.ops.magedu.com.
    ns1.ops.magedu.com.       IN       A       1.1.1.1
    ns2.ops.magedu.com.       IN       A       1.1.1.2
    fin.magedu.com.       IN       NS       ns1.fin.magedu.com.
    fin.magedu.com.       IN       NS       ns2.fin.magedu.com.
    ns1.fin.magedu.com.       IN       A       3.1.1.1
    ns2.fin.magedu.com.       IN       A       3.1.1.2

实现转发

转发服务器

注意：被转发的服务器需要能够为请求者做递归，否则转发请求不予进行
(1) 全局转发: 对非本机所负责解析区域的请求，全转发给指定的服务器

    Options {
    forward first|only;
    forwarders { ip;};
    };

　　　　(2) 特定区域转发：仅转发对特定的区域的请求，比全局转发优先级高

    zone "ZONE_NAME" IN {
    type forward;
    forward first|only;
    forwarders { ip;};
    };

　　　注意：关闭dnssec功能

    dnssec-enable no;  
    dnssec-validation no;

实现智能DNS

CDN: （Content Delivery Network）内容分发网络
　　CDN是构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。CDN的关键技术主要有内容存储和分发技术。由于中小型企业搭建私有CDN成本过高，一般采用服务厂商供应的CDN。
　　服务厂商：服务商：蓝汛，网宿，帝联等
智能DNS:
　　dnspod
　　dns.la
view:视图：实现智能DNS
　　一个bind服务器可定义多个view，每个view中可定义一个或多个zone
　　每个view用来匹配一组客户端
　　多个view内可能需要对同一个区域进行解析，但使用不同的区域解析库文件
bind view
　注意：
　　(1) 一旦启用了view，所有的zone都只能定义在view中
　　(2) 仅在允许递归请求的客户端所在view中定义根区域
　　(3) 客户端请求到达时，是自上而下检查每个view所服务的客户端列表

格式：
    view VIEW_NAME {
    match-clients { testacl; };
    zone “magedu.com” {
    type master;
    file “magedu.com.zone”;
    };
    include “/etc/named.rfc1912.zones”;
    };

编译安装

下载bind:
　　isc.org:
　　bind-9.10
　　bind-9.11
　　bind-10

编译安装bind

  • tar xvf bind-9.11.0a3.tar.gz

  • cd bind-9.11.0a3/

  • groupadd -r -g 53 named

  • useradd -r -u 53 -g 53 named

  • ./configure --prefix=/usr/local/bind9 --sysconfdir=/etc/named/ --withoutopenssl --disable-ipv6 --disable-chroot --enable-threads

  • make

  • make install

  • vim /etc/named/named.conf

      options {
  directory “/var/named/”;
  };
  zone "." IN {
  type hint;
  file "named.ca";
  };
  zone "localhost" IN {
  type master;
  file “named.localhost";
  allow-update {none;};
  };
  zone “1.0.0.127.in-addr.arpa" IN {
  type master;
  file "named.loopback";
  allow-update {none;};
  };

区域数据库

  • mkdir /var/named

  • named-checkconf

  • dig +norec @a.root-servers.net > /var/named/named.ca

  • vim /var/named/named.localhost

      $TTL 1d
  @ IN SOA localhost. admin.localhost. (
  2016061801
  1h
  5m
  7d
  1d)
  IN NS localhost.
  localhost. IN A 127.0.0.1

  • vim /var/named/named.loopback

      $TTL 1d
  @ IN SOA localhost. admin.localhost. (
  2016061801
  1h
  5m
  7d
  1d)
  NS @
  A 127.0.0.1
  PTR localhost.

设置权限

  • chmod 640 /var/named/*
  • chmod 640 /etc/named/named.conf
  • chgrp -R named /var/named/
  • chgrp named /etc/named/named.conf

启动服务和测试

  • man named
  • named -u named -f -g -d 3 前端级别3方式运行
  • named -u named 后台运行
  • killall named
  • ss -tuln
  • tail /var/log/message
  • named -u named

支持rndc

  • rndc reload 观察错误提示
  • rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key
  • tail /etc/named/rndc.conf >> /etc/named/named.conf
  • killall -SIGHUP named
  • rndc status

压力测试
/root/bind-xxx/contrib/scripts
编译压力测试工具

  • cd /root/bind-xxx/contrib/queryperf
  • ./configure
  • make
  • cp queryperf /usr/local/bind9/bin
  • queryperf -h

压力测试

  • vim test.txt

      www.magedu.com A
  magedu.com NS
  magedu.com MX
  pop3.magedu.com A
  web.magedu.com A

  • queryperf -d test.txt -s 127.0.0.1

打开日志功能

  • rndc querylog
  • rndc status
  • queryperf -d test.txt -s 127.0.0.1
  • wc -l /var/log/message

DNS排错

　　#dig A example.com
　　　　; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com
　　　　;; global options: +cmd
　　　　;; Got answer:
　　　　;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30523
　　　　...
　　　　SERVFAIL:The nameserver encountered a problem while processing the query.
　　　　ps:可使用dig +trace排错，可能是网络和防火墙导致
　　NXDOMAIN：The queried name does not exist in the zone.
　　　　可能是CNAME对应的A记录不存在导致
　　REFUSED：The nameserver refused the client's DNS request due to policyrestrictions.
　　　　可能是DNS策略导致
　　NOERROR不代表没有问题，也可以是过时的记录
　　　　查看是否为权威记录，flags:aa标记判断
　　被删除的记录仍能返回结果，可能是因为*记录存在
　　　　如：*.example.com． IN A 172.25.254.254
　　注意“.”的使用
　　避免CNAME指向CNAME记录，可能产生回环
　　　　test.example.com. IN CNAME lab.example.com.
　　　　lab.example.com. IN CNAME test.example.com.
　　正确配置PTR记录，许多服务依赖PTR，如sshd,MTA
　　正确配置轮询round-robin记录

posted @ 2019-04-23 21:32  绿鲤鱼与理理与驴  阅读(456)  评论(0)  编辑  收藏  举报