DNS是什么及BIND讲解内容

域名系统（英文：Domain Name System，缩写：DNS）是internet的一项服务。它作为将域名和IP地址相互映射服务，能够使人更方便地访问互联网。DNS使用TCP和UDP端口53。当前，对于每一级域名长度的限制是63个字符，域名总长度则不能超过253个字符。
讲解内容：
    DNS名称解析方式
    DNS查询类型
    DNS服务器类型
    区域数据库文件详解
    Centos7安装配置BIND
    BIND主从服务器配置
    BIND安全相关配置
    BIND view视图配置

一、DNS名称解析方式

DNS名称解析方式分为两种：

    名称 ---> IP   

例如：此处命令会在后面工具中具体详解

      # 可以看出“名称”www.magedu.com对应的ip是101.200.188.230

例如：此处命令会在后面工具中具体详解

      # 可以看出“IP"172.16.0.1对应的名称是server.mageliunx.com.

    IP   ---> 名称

二、DNS查询类型

DNS查询类型分为：
              递归查询     
              迭代查询
下图是本人对dns查询过程的理解

三、DNS服务器类型

主DNS服务器：维护所负责解析的域数据库的那台服务器：读写操作均可进行；

从DNS服务器：从主DNS服务器那里或其他的从DNS服务器那里“复制”一份解析库；但只能进行读操作
    “复制”操作的实施方式
           序列号：serial，也即是数据库版本号；主服务器数据库内容发生变化时，其版本号递增；
           刷新时间间隔：refresh，从服务器每多久到从服务器检查序列号更新情况；
           重试时间间隔：retry，从服务器从主服务器请求同步解析失败时，再次发起请求尝试的时间间隔
           过期时长：expire，从服务器始终联系不到主服务器时，多久之后放弃主服务器同步；停止提供服务。
           否定答案的缓存时长：缓存错误的地址的时间

此内容在BIND中的区域文件中配置

例如：

四、区域数据库文件详解

区域文件一般存于/var/named/下，以ZONE_NAME.zone命名，其中包含了很多参数。
    资源记录：Resource Record，简称rr
      记录类型有：A，AAAA，PTR，SOA，NS，CNAME，MX
      语法：
        name  [TTL]  IN    RR_TYPE     value
    SOA:Start Of Authority，其实授权记录()额区域解析库有且只能有一个SOA记录，而且必须放在第一条
    NS:Name Service，域名服务记录；一个区域解析库可以有多个NS记录；其中一个为主的
    A：Address，地址记录，FQDN --> IPV4
    AAAA:地址记录， FQDN --> IPv6
    CNAME：Canonical Name，别名记录
    PTR：Pointer，反向指针记录：IP --> FQDN
        MX：Mail eXchanger，邮件交换器
      优先级：0-99，数字越小优先级越高

使用方法及格式：

 SOA:

name: 当前区域的名字；例如”mageud.com.”，或者“2.3.4.in-addr.arpa.”；

value：有多部分组成

(1) 当前区域的区域名称（也可以使用主DNS服务器名称）；

(2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般使用点号来替代；

(3) (主从服务协调属性的定义以及否定答案的TTL)

例如：

1 2 3 4 5 6 7 8 9

$TTL 33600    @       IN      SOA     ns1.magedu.com. admin.magedu.com. (                  2016040801 ;seria                  2H         ;refresh                  10M        ;retry                  1W         ;expire                  1D         ;negative answer ttl )

  NS:

name：当前区域的区域名称

value：当前区域的某DNS服务器的名字，例如ns.magedu.com.

    注意：一个区域可以有多个ns记录

    例如：

        zhaoxin.com.    86400    IN    NS    ns1.zhaoxin.com.

        zhaoxin.com.    86400    IN    NS    ns2.zhaoxin.com.

 MX:

name: 当前区域的区域名称

value：当前区域某邮件交换器的主机名；

    注意：MX记录可以有多个；但每个记录的value之前应该有一个数字表示其优先级；

    例如：

zhaoxin.com.  IN  MX  10   mx1.zhaoxin.com.

zhaoxin.com.  IN  MX  20   mx2.zhaoxin.com.

 A:

name:某FQDN，例如www.maged.com.

value:某IPV4地址

    例如：

        www.zhaoxin.com.    IN    A     222.145.33.26

        www.zhaoxin.com.    IN    A     222.145.33.26

 AAAA:

name:FQDN

value:IPV6

 PTR:

name:IP地址，有特定格式，IP反过来写，而且加特定后缀：例如172.16.100.10应该写为10.100.16.172.in-addr.arpa

value:FQDN

    例如：

        10.100.16.172.in-addr.arpa    IN    PTR    www.zhaoxin.com.

CNAME:

name:FQDN格式的别名；

value：FQDN格式的正式名字；

    例如：

        web.zhaoxin.com.    IN    CNAME    www.zhaoxin.com. 

有以下几点需要注意：

    (1) TTL可以从全局继承；

    (2) @表示当前区域的名称；

    (3) 相邻的两条记录其name相同时，后面的可省略；

    (4) 对于正向区域来说，各MX，NS等类型的记录的value为FQDN，此FQDN应该有一个A记录；

五、Centos 7安装配置BIND

主配置文件

介绍配置文件之前先介绍一下BIND

BIND： Berkeley Internet Name Domain（由伯克利学校开发）

    dns：协议

    bind：dns协议的一种实现

    named：bind程序运行的进程名

程序包组成：

    bind-libs：被bind和bind-utils包中的程序共同用到的库文件；

    bind-utils：bind客户端程序集，例如dig, host, nslookup等；

        bind：提供的dns server程序、以及几个常用的测试程序；

    bind-chroot：选装，让named运行于jail模式下；

centos 7 bind配置文件：

    主配置文件:/etc/named.conf

        或包含进来其他文件

            /etc/named.iscdly.key

            /etc/named.rfc1912.zones

            /etc/named.root.key

centos 7中一般配置区域在/etc/rfc1912.zones，全局配置在/etc/named.conf中

    1、主配置文件格式：

        全局配置段：

            options { ... } # 注意内容前后有空格

        日志配置端：

            logging { ... }

        区域配置端：

            zone { ... }

                配置那些由本机负责解析的区域，或转发的区域

                注意：每个语句必须以分号结尾

     2、缓存名称服务器的配置：（注意此处的配置应该在使用前操作） 

            监听能与外部主机通信的地址：

                listen-on port 53 { 172.18.4.1; };

            学习时，建议关闭dnssec

                dnssec-enable no;

                dnssec-validation no;

                dnssec-lookaside no;

            关闭仅允许本地查询：

                //allow-query { localhost; }; 单行注释用“//”

解析库文件

/var/named/目录下：

    一般名字为：ZONE_NAME.zone

                例如：magedu.com.zone

                      172.16.100.zone

    注意：

        1、一台DNS服务器可同时为多个区域提供解析

        2、必须要有跟区域解析库文件：named.ca

        3、还应该有两个区域解析库文件：localhost和127.0.0.1的正反向解析库

            正向：named.localhost

            反向：named.loopback

检查配置文件语法错误

named-checkconf [/etc/named.conf]

named-checkzone ZONE_NAME ZONE_FILE

测试及管理工具

dig命令：

    语法：dig  [-t RR_TYPE]  name  [@SERVER]  [query options]

    作用：用于测试dns系统，因此其不会查询hosts文件

    查询选项：

        +[no]trace:跟踪解析过程

        +[no]recurse:进行递归解析

    反向解析：

        dig -x IP

    模拟完全区域传送：

        dig -t axfr DOMAIN [@server]

host命令：

    host [-t RR_TYPE] name SERVER_IP

nslookup命令：

    nslookup  [-options]  [name]  [server]

rndc命令：named服务控制命令

配置一个正向区域

以zhaoxin.com域为例：

1、定义区域

    在主配置文件中或主配置文件辅助配置文件中实现；

    # 注意：区域名字即为域名

2、建立区域数据文件（主要记录为A或AAAA记录等）

    在/var/named目录下建立区域数据文件

        文件为：/var/named/zhaoxin.com.zone

3、检查配置文件及区域配置文件，修改属组和权限

4、让服务器重载配置文件和区域数据文件：

    # rndc reload 或者

    # systemctl reload named.service

5、验证

# 注意：此处的172.18.250.108是我本机ip，可以再/etc/resolv.conf中修改dns地址后就可以省略次ip；

配置一个反向区域

1、定义区域

    在主配置文件中或主配置文件辅助配置文件中实现；

    # 注意：反向区域的名字

2、建立区域数据文件（主要记录为PTR）

    在/var/named目录下建立区域数据文件

        文件为：/var/named/172.18.250.zone

3、检查配置文件及区域配置文件，修改属组和权限

4、让服务器重载配置文件和区域数据文件：

    # rndc reload 或者

    # systemctl reload named.service

5、验证

# 注意：此处的172.18.250.108是我本机ip，可以再/etc/resolv.conf中修改dns地址后就可以省略次ip；

六、BIND主从服务器

注意：从服务器是区域级别的概念

主区域配置：可以参照上面的正向区域配置和反向区域配置

 配置一个从区域：

On Master配置

注意：

    a、确保区域数据文件中为每个从服务配置NS记录，并且在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录，且此A后面的地址为真正的从服务器的IP地址

    b、时间要同步

        ntpdate命令

1、添加从dns服务器地址

2、同步时间

# 我本地有时间服务器，如果没有时间服务器的可以去网络上搜一下，保证两台服务器时间一直就好

3、重载配置

On Slav配置

1、定义区域

2、同步时间并修改配置文件

3、重载配置

# 此处可以看到，文件已经同步过来，下面进行测试

# 注意，在Centos 7中同步数据是加密的，所以不能查看文件内容

4、添加新记录并测试测试

ON master：

ON Slave：

#　注意：slave上面没有进行任何操作就可以解析到。

七、子域授权和DNS转发

1、子域配置

主域服务器配置：

子域服务器配置：

a、修改配置文件

b、修改区域文件

c、修改权限

d、启动服务并测试

通过子域测试

通过主域测试

2、dns转发

dns转发，一般指向外网的dns服务器，当本地没有记录时会向外网dns服务器发起查询请求。

注意：被转发的服务器必须允许为当前服务做递归；

    (1) 区域转发：仅转发对某特定区域的解析请求；

zone  "ZONE_NAME"  IN {

         type  forward;

forward  {first|only};

forwarders  { SERVER_IP; };

};

first：首先转发；转发器不响应时，自行去迭代查询；

only：只转发；

    (2) 全局转发：针对凡本地没有通过zone定义的区域查询请求，通通转给某转发器；

options {

... ...

forward  {only|first};

forwarders  { SERVER_IP; };

.. ...

};

a、首先用本地查询www.baidu.com（此时没有做dns转发）

b、配置dns转发

添加forward

检查配置文件并重载配置：

测试：

八、BIND安全相关配置（acl）

acl：访问控制列表：把一个或多个地址归并一个命名的集合，随后通过次名称即可对此集全内的所有主机实现统一调用

    acl acl_bame {    

        ip；

        net/prelen;

    };

 示例：

        acl mynet {

            172.18.0.0/16;

            127.0.0.0/8;

        };

    bind有四个内置的acl

none：没有一个主机；

any：任意主机；

local：本机；

localnet：本机所在的IP所属的网络；

    访问控制指令：

allow-query  {};  允许查询的主机；白名单；

allow-transfer {};  允许向哪些主机做区域传送；默认为向所有主机；应该配置仅允许从服务器；

allow-recursion {}; 允许哪此主机向当前DNS服务器发起递归查询请求； 

allow-update {}; DDNS，允许动态更新区域数据库文件中内容；

    测试：

1、修改文件，仅允许172.16.0.0/16网段可查询

测试是否能解析

#　可以看出此服务器不在规定范围内，不能解析

2、修改为18网段测试是否能够解析

本文转自 赵大鑫 51CTO博客，原文链接：http://blog.51cto.com/xinzong/1763604，如需转载请自行联系原作者