引用地址：http://pangge.blog.51cto.com/6013757/1273087

基礎認知篇

DNS服務的概述

DNS是Domain Name System 的縮寫，即域名系統。DNS服務主要功能是將域名轉換為相應的IP地址，提供DNS服務的系統就是DNS服務器。形如它能夠把www.baidu.com這樣的域名轉換為61.135.169.125這樣的IP地址;沒有DNS，瀏覽baidu.com這個網站時，就必須用61.135.169.125這么難記的數字來訪問。

DNS服務器可以分為3種，即主域名服務器(Master DNS)、輔助域名服務器(Slave DNS)、緩存服務器。

uMaster DNS:本身提供DNS 服務，並且本身含有區域數據文件。

uSlave DNS：和Master一起提供DNS服務，當Master服務器上的配置信息修改的時候，會同步更新到Slave服務器上

u緩存服務器：沒有自己的區域數據文件，只是幫助客戶端向外部DNS請求查詢，然后將查詢的結果保存到它的緩存中。

在linux系統下DNS服務的功能是通過bind軟件實現的，幾乎每個linux發行版都自帶了這個DNS服務軟件。下面將具體講述DNS服務的安裝、配置和使用。

 

服務器搭建篇

 第一部分：主DNS服務的搭建實現（包含知識點闡述）

環境介紹：CentOS6.4-x86_64

    bind版本：bind 9.8.2-0.17.rc1.el6

 

一.安裝bind軟件：

CentOS系統下安裝bind時，一般都需要同時安裝bind-utils、bind-chroot、ypbind、bind-libs和caching-nameserver幾個支持bind的軟件包。

注：bind-chroot：安裝上這個包之后讓named進程有限的活動在/var/named/chroot/中防止黑客攻擊導致服務器的崩潰。這里就不安裝了，因為安裝之后除了路徑改變之后其他均不變。所以為了更好的熟悉過程就暫時不裝了。

上面的幾個軟件包都可以從系統光盤中查找，可以通過指向yum源進行安裝：

[root@localhost ~]#yum install bind

 

 

二.配置DNS服務

l 准備工作：

dig（域信息搜索器）命令是個用於詢問 DNS 域名服務器的靈活的工具。他執行 DNS 搜索，顯示從受請求的域名服務器返回的答復。多數 DNS 管理員利用 dig 作為DNS 問題的故障診斷，因為他靈活性好、易用、輸出清楚。雖然通常情況下 dig 使用命令行參數，但他也能夠按批處理模式從文檔讀取搜索請求。不同於早期版本，dig 的 BIND9 實現允許從命令行發出多個查詢。除非被告知請求特定域名服務器，dig 將嘗試 /etc/resolv.conf 中列舉的任何服務器。當未指定任何命令行參數或選項時，dig 將對“.”（根）執行 NS 查詢。

dig命令格式：

dig –t 資源記錄類型名稱@server-ip

dig –x IP @server-ip   反向解析

dig –t axfr zone    驗證完全區域傳送

dig –t ixfr zone    驗證增量區域傳輸（通常需要指定序列號）

 

l 配置工作：

主配置文件：named.conf，主要作用是定義區域，定義各區域的全局配置，定義視圖，定義日志，注意每個完整語句都要使用分號結尾，否則視為語法錯誤。

bind安裝完畢之后，主程序目錄默認為/var/named。

 

1).named.conf文件詳解

 

 

 

2).定義本地區域文件解析

首先更改/etc/named.rfc1912.zones主區域配置文件，在文件尾部新增下面一段內容：

   上面這段設置是用zone關鍵字來定義的一個正向區域，對應的域名為magedu.com。在這里type類型有三種，他們分別為master、slave、hint，含義如下：

    master：表示定義的主域名服務器

    slave：表示定義的是輔助域名服務器

    hint：表示是互聯網中的根域名服務器

   file用來指定存放DNS記錄的文件（一般都是區域名稱.zone），allow-update定義是否允許客戶主機或服務器自行更新DNS記錄，上面指定的這個正向區域不允許更新DNS記錄。

 

 

 

 

 

3).定義區域數據文件：

[root@localhost ~]# cd /var/named/                 #切換到區域文件存放目錄

 

 

 

下面我們分析一下我們已經設定好的magedu.com正向區域數據文件的格式和含義：

可以看出，區域數據文件的內容很簡單。

第一行是一個TTL設定，定義區域數據文件里面的各項記錄的宏，缺少此行不影響使用，但是會出現警告信息。

第二行是一個SOA記錄的設定，“@“代表相應的域名，也就是在/etc/named.rfc1912.zones，如在這里表示magedu.com，IN表示后面的數據使用的是Internet標准。SOA表示目前區域授權開始。每一個區域數據文件只能有一個SOA，不能重復，並且必須是所負責的zone中第一個”記錄“。在SOA后面分別指定這個區域的授權主機名稱和管理者的郵箱。

注：授權主機名和管理員信箱后面都要有一個”.”。由於”@”在區域數據文件中有其他含義，因此管理員郵箱地址中用”.”代替“@“符號。

接下來包含在括弧內的5組數字是作為服務器同步信息而設置的，含義如下：

第一段表示配置文件的修改版本，格式是年月日加上修改的次數，每次修改這個配置文件時都應該修改這個數值，因為當DNS進行信息同步時，會比較這個數值的值。如果這個數值比自身的數值大，就進行更新，否則忽略更新。（這個設置很重要，如果修改區域數據后沒有更新該值，那么所做的更改就不會同步到其他DNS服務器）

第二段表示用來設定DNS服務器進行同步的間隔時間又稱刷新時間。只通知給本區域解析庫文件中定義NS記錄的所有主機；

第三段表示同步更新失敗之后，在進行重試的間隔時間。

第四段表示同步更新失敗之后，多長時間清除對應的記錄，又稱過期時間

第五段表示否定的TTL值

接下來是對域名解析的具體設置，第1列表示不同的主機域名，但是省略了后面的域信息（若為空白表示與上面域名相同）。例如：”www”其實是www.magedu.com等。“IN“后面的指令含義說明如下：

NS：用來定義這個主機是個域名服務器，是個區域名稱

MX：定義郵件服務器，這里需要定義優先級的哦！這里定義的交換級別為10

A：定義了一個A記錄，即域名到IP的記錄

CNAME：定義了域名的別名

 

[root@localhostnamed]# cp magedu.com.zone 172.16.18.zone   #定義反向區域文件

 

 

分析：可以看出，反向區域文件基本結構和正向區域數據文件基本完全相同，只不過這里多出了一個PTR選項。PTR用來定義一個反向記錄，也就是通過IP可以查到對應的域名信息。最后四行的第一列表示是主機的IP地址，只不過省略了網絡地址部分，系統會自動補全，如20對應的是172.16.18.20.

至此，DNS文件配置部分已經基本配置完成，從過程可以看出DNS配置文件對格式的要求非常嚴格。因此，在以后的配置中要格外的小心。

 

 

4).定義區域文件的權限關系：

 

 

在這里我們通過編輯創建的magedu.com.zone文件，然后將該文件的權限屬組更改成系統默認設定權限，這個授權很重要，要不然DNS無法正常工作。

 

 

這里的named屬組屬主都是創建DNS時系統默認創建的。

 

 

5).檢查區域文件語法錯誤與否：

 

 

 

 

 

三.測試DNS配置

在對DNS文件的所有配置完成后，需要重啟服務，以使配置生效。由於我們這里還未啟動過服務所以執行如下命令啟動DNS服務：

 

 

建議：若之前啟動過服務，配置完成之后想重新啟動新數據，建議不要使用restart重啟，因為這樣可能導致網絡服務斷掉，所以要使用reload重新載入信息。

 

下面我們使用dig命令對DNS正向區域解析情況進行測試。

 

 

 

 

 

下面我們使用dig命令對DNS反向區域解析情況進行測試

 

 

 

從上面的輸出信息可以看出，DNS都可以正確解析，說明我們的配置沒有問題，DNS服務器已經正常工作了。

小拓展：如何不用指向本機就能做本地解析？？

#直接將DNS指向本機即可

 

 

 

 

 

第二部分：創建從DNS服務器（主從同步實現）

 說明：如果有多台DNS服務器，必須為每個DNS服務器建立NS記錄，否則主DNS將無法向其發送通知.

     從服務器IP地址：172.16.18.1

 

 

u正向區域從服務器創建過程：

1、安裝Bind軟件（同上，不再演示）

2、設置配置文件

 3、編輯區域配置文件

 

 

 

 4、檢查配置文件語法錯誤與否

 5、切換之主服務器，給此服務器添加一個NS記錄

 

 

 6、檢查主服務器上解析文件語法錯誤與否：

 

 

 7、將主服務器上的數據同步一下

 

 

 8、檢測NS記錄是否同步完成

 

 

 9、切換至從服務器，啟動服務

 

 

 10、查看數據文件是否已同步

 

 

 11、查看數據解析情況

 

 

 

u反向區域從服務器創建：

說明：創建過程與正向基本相同。

1）編輯區域配置文件

 

 

    保存配置過程，之后不要立即重啟哦！！

    下面的過程就不重復進行了，相信你的能力和我一樣完全可以勝任這一切！！

 

    總結：當主從DNS服務器聯通之后，改動主服務器上的數據后，重新載入配置文件會將數據立即同步到從服務器上（這里筆者也不再演示了）。謹記：改動解析文件后一定將配置文件版本號更改一下！！

 

拓展：關於DNS安全的防護

當我們創建完成之后任何一個外界服務器都可以到我們的主服務器上進行區域傳送這樣會導致我們的網絡結構丟失，因此我們不能讓外部服務器同步，只允許從服務器同步；我們該怎么做到呢？？

使用allow-transfer {IP;}   只允許誰（IP）傳送。任何人不允許傳送使用{none;}

例如：定義只允許172.16.18.1進行傳送

 

 

 

第三部分：DNS子域授權（優化部分）

DNS本來的數據結構就是一個層級結構，猶如一個倒立的樹狀結構，由一點出發，一層層的向下分成了多個分支，而這些分支就是其上級域的子域，其上級域就是相對的父域，子域是從父域中划出來的一個域，子域中的DNS服務器負責這個子域中的地址解析，從而減輕了父域中DNS服務器的壓力，這不僅提高了解析服務的效率，同樣也提高了解析服務的穩定性，此部分我們就是學習如何給一個域划分出一個子域，並讓這個子域中的DNS服務器能夠進行子域中的域名解析服務，這個過程也叫做子域授權。

 

正向子域授權實現方式：

        主父服務器：172.16.18.20

        從服務器：172.16.18.1

        子域服務器：172.16.251.144

 

首先設置子域的地址名稱

 

 

然后將數據再同步一下

 

 

 

最后建立子域服務器：

1、安裝bind並啟動服務

2、編輯主配置文件

3、更改區域文件

4、定義區域數據文件

5、更改區域數據文件的權限屬組

6、檢查語法錯誤與否

 

7、重新啟動服務，同步數據

 

8、測試解析（本機解析）

9、切換至父服務器測試解析

 10、子域解析父服務器

    11、利用轉發實現子域解析父域

      12、利用子域解析網絡其他主機

 

 

注：這里如果解析www.magedu.com會通過172.16.18.20進行解析，說明在/etc/named.rfc1912.zones中定義的內容優先級別高。

 

  反向子域授權方式

    反向區域子域授權方式和正向過程基本類似這里也不過多闡述，如有疑問請留言，筆者將以最大的努力幫看客們排憂解難。。。