Linux自学笔记——DNS和bind应用

Posted 2020-10-11

DNS（Domain Name System，域名系统），因特网上作为域名和ip地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网，而不用去记住能够被机器直接读取的ip数串。通过主机名，最终得到该主机名对应的ip地址的过程叫做域名解析（或主机名解析）。DNS协议运行在UDP协议之上，使用端口53.
Sockets：
 C/S：
  Client：发起应用请求的程序；
  Server：响应请求（提供服务）的程序；
   LISTEN：socket
 传输层协议：TCP,UDP,SCTP
  TCP：Transmission Control Protocol
   面向连接的协议：双方通信之前需要事先建立虚连接；
  UDP：User Datagram Protocol
   无连接的协议：双方无须通信之前需要事先建立虚连接；
DNS：domain name service，应用层协议
 C/S：
  53/UDP,53/tcp
 www.baidu.com：FQDN（Full Qualified Domain Name）
 tld：Top Level  Domain
  组织域：.com, .net, .org , .gov , .edu, .mil
  国家域：.iq,  .tw, .hk
 DNS查询类型：
  递归查询；
  迭代查询；
 DNS名称解析方式：
  名称 --> IP：正向解析
  IP --> 名称：反向解析
  Note：二者的名称空间，非为同一个空间，即非为同一棵树；因此，也不是同一个解析库；
 DNS服务类型：
负责解析至少一个域：
   主名称服务器；
   辅助名称服务器；
  不负责解析；
   缓存名称服务器；
 一次完整的查询请求经过的流程：
  Client --> hosts文件 --> DNS Local Cache --> DNS Server (recursion递归) -->
   自己负责解析的域：直接查询数据库并返回答案；
   不是自己负责解析域：Server Cache --> iteration（迭代）
  解析答案：
   肯定答案：
   否定答案：不存在查询的键，因此，不存在与其查询键对应的值；

   权威答案：由直接负责的DNS服务器返回的答案；
   非权威答案：
 主-辅DNS服务器：
  主DNS服务器：维护所负责解析的域数据库的那台服务器；读写操作均可进行；
从DNS服务器；从主DNS服务器那里或其它的从DNS服务器那里“复制”一份解析库；但只能进行读操作；
  “复制”操作的实施方式：
   序列号：serial，也即是数据库的版本号；主服务器数据库内容发生变化时，其版本号递增；
   刷新时间间隔：refresh，从服务器每多久到主服务器检查序列号的更新状况；
 重试时间间隔：retry，从服务器从主服务器请求同步解析库失败时，再次发起尝试请求的时间间隔；
过期时长：expire，从服务器始终联系不到主服务器时，多久之后放弃从主服务器同步数据，停止提供服务；
否定答案的缓存时长：
   主服务器“通知”从服务器随时更新数据：
   
   区域传送：
    全量传送：axfr，传送整个数据库；
    增量传送：ixfr，仅传送变量的数据；
 区域（zone）和域（domain）
  magedu.com域
   FQDN --> IP
    正向解析库；区域
   IP --> FQDN
    反向解析库；区域
 区域数据库文件：
  资源记录：Resource  Record，简称rr；
   记录类型有 ：A,AAAA,PTR,SOA,NS,CNAME,MX
SOA：Start  Of Authority，起始授权记录；一个区域解析库有且只能有一个SOA记录，而且必须放在第一条；
  NS：Name Service，域名 服务记录；一个区域解析库可以有多个 NS记录；其中一个为主的；
  A：Address，地址记录，FQDN --> IPv4；
  AAAA：地址记录，FQDN --> IPv6；
  CNAME：Canonical Name，别名记录；
  PTR：Pointer，IP --> FQDN
  MX：Mail eXchanger，邮件交换器；
   优先级：0-99，数字越小优先级越高；
  资源记录的定义格式：
   语法：name  [TTL]  IN   RR_TYPE    value
  SOA：起始授权记录
   name：当前区域的名字；例如“claude.com.”，或者“2.3.4.in-addr.arpa.”;
   value：有多部分组成
1) 当期区域的区域名称（也可以使用主DNS服务器名称）；
2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般使用点号来替代；
3) （主从服务协调属性的定义以及否定答案额TTL）
例如：
  claude.com.       86400     IN   SOA   magedu.com.     mail.claude.com.   (
       2017010801 ；serial 序列号
       2H   ；refresh时间刷新间隔
       10M  ；retry 重试时间间隔
       1W  ；expire 过期时长
       1D  ；negative answer ttl 否定答案的缓存时长
    ）
  NS：域名服务记录
   name：当前区域的区域名称；
   value：当前区域的某DNS服务器的名字，例如ns.magedu.com.；
    注意：一个区域可以有多个ns记录；
   例如：
    claude.com.     86400   IN    NS    ns1.claude.com.
    claude.com      86400    IN    NS    ns2.claude.com.
  MX：
   name：当前区域的区域名称
   value：当前区域某邮件交换器的主机名；
    注意：MX记录可以有多个；但每个记录的value之前应该有一个数字表示其优先级；
   例如：
    www.claude.com IN A 1.1.1.1
    www.claude.com   IN A 1.1.1.2 
    bbs.claude.com IN A 1.1.1.1
  AAAA：
   name：FQDN
   value：IPv6
  PTR：
   name：IP地址，有特定格式，IP反过来写，而且加特定后缀；例如1.2.3.4的记录 应该写成4.3.2.1.in-addr.arpa.
   value:FQDN
   例如：
    4.3.2.1.in-addr.arpa.  IN PTR  www.claude.com 
  CNAME：
   name：FQDN格式的别名；
   value：FQDN格式的正式名字；
   例如：
    web.claude.com. IN CNAME www.claude.com
 注意：
1) TTL可以从全局继承；
2) @表示当前区域的名称；
3) 相邻两条记录其name相同时，后面的可省略；
4) 对于正向区域来说，各MX，NS等类型的记录的value为FQDN，此FQDN应该有一个A记录；

DNS and Bind（2）
Bind的安装配置
BIND：Berkeley Internet Name Domain，ISC.org
 DNS：协议
 Bind：dns协议的一种实现
 named：bind程序的运行的进程名；
程序包：
 bind-libs：被bind和bind-utils波阿虎总的程序共同用到的库文件；
 bind-utils：bind客户端程序集，例如dig，host，nslookup等；
 
 bind：提供的dns server程序、以及几个常用的测试程序；
 bind-chroot：选装，让named运行于jail模式下；
 Bind：
 服务脚本：/etc/rc.d/init.d/named
  

日志文件：/var/log/named.log
  检查主配置文件是否有语法错误：/usr/sbin/named-checkconf（named-checkconf命令）
 检查区域配置是否有语法错误：/usr/sbin/named-checkzone（named-checkzone命令）
 主配置文件：/etc/named.conf
   

或包含进来其它文件：
  /etc/named.iscdlv.key
  

  /etc/named.rfc1912.zones
  

  /etc/named.root.key
  

解析库文件：
  /var/named/目录下：
   一般名字为：ZONE_NAME.zone
  

  注意 ：
1)一台DNS服务器可同时为多个区域提供解析；
   2)必须要有根区域解析库文件:named.ca
      

3)还应该有两个区域解析库文件：localhost和127.0.0.1的正反向解析库；
    正向：named.localhost
    反向：named.loopback
   

 rndc：remote name domain controller
  953端口/tcp协议 ，但默认监听与127.0.0.1地址，因此仅允许本地使用；
 bind程序安装完成之后，默认即可做缓存名称服务器使用，如果没有专门负责解析的区域，直接即可启动服务；
  
 主配置文件格式：
  全局配置段：
   options { … }
  日志配置段：
   logging { … }
  区域配置段：
   zone { … }
    那些由本机负责解析的区域，或转发的区域
   注意：每个配置语句必须以分号结尾；
  

缓存名称服务器的配置：
缓存名称服务器通常架设在公司的局域网内，主要目的提高域名解析速度，减少对互联网访问出口的流量
1.配置文件修改主要为以下部分
 1)监听能与外部主机通信的地址；
  listen-on port 53；
  listen-on port 53 {192.168.19.128；127.0.0.1；}；
 2)学习测试时，建议关闭dnssec
  dnssec-enable no;
  dnssec-validation no;
  dnssec-lookaside no;
 3)关闭仅允许本地查询；
  //allow-query  { localhost; };
 具体修改配置如下：
 

2.检查配置文件语法错误：无信息输出则没有语法错误（但不代表无逻辑错误）
 named-checkconf    [/etc/named.conf]
 

3.启动named服务，启动之后看tcp，udp53端口是否处于监听状态，处于监听则启动成功

4.验证缓存域名服务器；

测试工具：
 dig [ -t  RR_TYPE]   name  [@SERVER]  [query options]
  用于测试dns系统，因此其不会查询hosts文件；
    

查询选项：
   +[no]trace：跟踪解析过程；
    

 +[no]recurse：进行递归解析；
  注意：反向解析测试
   dig  -x IP
   

  模拟完全区域传送；
   dig –t  axfr  DOMAIN  [@server]
 host命令：
  host [-t RR_TYPE] name  server_ip
  

 nslookup命令：
  nslookup [option]  [name] [server]
  交互式模式：
   nslookup>
    server   IP：以指定的ip为DNS服务器进行查询；
    set  q=RR_TYPE：要查询的资源记录类型；
    name：要查询的名称；
  

 rndc命令：named服务控制命令
  rndc status
  rndc flush
  rndc reload

配置解析一个正向区域：
 以claude666.com为例；
1) 定义区域
在主配置文件中或主配置文件辅助配置文件中实现：
 zone “ZONE_NAME”IN {
  type {master|slave|hint|forward};
  file “zone_NAME.zone”;
 };
 注意：区域名字即为域名；

2) 建立区域数据文件（主要记录为A或AAAA记录）
在/var/named目录下建立区域数据文件；
 文件为：/var/named/claude666.com.zone

之后修改正向解析库文件属组权限修改；

检查语法错误；

3) 让服务器重载配置文件和区域数据文件

4) 使用客户端解析验证；

配置解析一个反向区域：
1) 定义区域
在主配置文件中或主配置文件辅助配置文件中实现；
 zone “ZONE_NAME”IN {
  type  {master|slave|hint|forward};
  file“ZONE_NAME.zone”;
 };

 注意：反向区域的名字
  反写的网段地址.in-addr.arpa
编辑/etc/named.rfc1912.zones文件，添加内容如下；

2) 定义区域解析库文件（主要记录为PTR）

权限及属组修改；

检查语法错误；

3) 让服务器重载配置文件和区域数据文件，并验证；

主从服务器：
 注意：从服务器是区域级别的概念；
配置一个从区域：
以上已配置好主服务器：192.168.19.128
另准备一台主机作从服务器 :192.168.19.134
首先 是从区域配置成一个缓存dns服务器 ，在主配置文件中修改配置；
 

1) 修改主服务器区域库文件，使库文件中有指向从服务器的ip地址

2) 定义区域
定义一个从区域；
 zone “ZONE_NAME”IN {
  type  slave;
  file “slaves/ZONE_NAME.zone”;
  masters { MASTER_IP; };
 };
定义从区域的正向和反向区域；

3) 检查语法错误并重载配置文件和区域数据文件

可以发现，本来/var/named/slaves目录下没有文件，重载之后，从服务器同步了主服务器的文件，并且进行归类和注释；

我们查看/var/log/messages文件可以查看同步的日志记录；

Note：从服务器应该为一台独立的服务器；
on master，确保区域数据文件中每个从服务器NS记录，并且在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录，且此后面的地址为真正的从服务器的IP地址；
从服务器只需要定义区域，而无需提供解析库文件；
主服务器得允许从服务器作区域传送；
时间必须同步，可通过ntp进行；
Bind程序的版本应该保持一致；否则，应该从高，主低。
主名称服务器数据库修改完之后一定要使相应的序列号加1，这样从服务器才可以检测到并及时更新，并且重载。