dns

Posted 2020-10-19 小雪

http://www.lxway.com/611218211.htm   什么是DNS的肯定答案

max-cache-ttl

max-cache-ttl设定了服务器储存普通(肯定)答案的最大时间。默认值一周(7 天)。

说明下dnsany.com.txt

#########################cnc\dnsany.com.txt##############################
$TTL 3600
$ORIGIN dnsany.com.
@ IN SOA ns.hhmap.com. root.hhmap.com.(
2006111520 ;Serial
3600 ; Refresh ( seconds )
900 ; Retry ( seconds )
68400 ; Expire ( seconds )
15 );Minimum TTL for Zone ( seconds )
;
@ IN NS ns.hhmap.com.
@ IN MX 0 mail.
@ IN A 220.248.236.152
www IN A 220.248.236.152
webserver IN CNAME www
mail IN A 220.248.236.152
* IN A 220.248.236.152
;
;end
#########################cnc\dnsany.com.txt##############################

第一行是TTL设定，生存时间记录字段。它以秒为单位定义该资源记录中的信息存放在高速缓存中的时间长度。这里定义为604800秒，也就是1周.
第二行是$ORIGIN设定,说明下面的记录出自何处.请您加倍留意最后的一个小小数点”.”
然后,第三行,是一个 SOA 记录的设定,在这里我们看到一个特殊字符 @ ,它就是 ORIGIN 的意思,也就是刚刚所定义的$ ORIGIN dnsany.com. 的内容，您可以写成 dnsany.com. 也可以用 @ 来代替。
假如这个文件前面没有定义 $ ORIGIN 的话, 那這个 @ 的值就以 named.conf 里的 zone .
接着 SOA 后面，指定了这个区域的授权主机和管理者的信箱，这里分别是”hhmap.com.” 和”root.hhmap.com.”。我们平时使用的信箱通常是[email=]“[email protected]
[/email]“这样的格式，但因为@在 DNS 记录中是个保留字符，所以在 SOA 中就用”.”来代替了@。目前这个信箱是 “[email protected]

.”。
接下来的 SOA 设置，是被括在”( )”之间的 5 组数字，主要作为和 slave 服务器同步 DNS 资料所使用的资料：
Serial：其格式通常会是”年月日+修改次序”(但也不一定如此，您自己能够记得就行)。当 slave 要进行资料同步的时候，会比较这个号码。如果发现在这里的号码比它那边的数值”大”，就进行更新，否则忽略。不过设 serial 有一个地方您要留意：不能超过 10 位数字！
Refresh：这里是是告诉 slave 要隔多久要进行资料同步(是否同步要看 Serial 的比较结果)。
Retry：如果 slave 在进行更新失败后，要隔多久再进行重试。
Expire：这是记录逾期时间：当 slave 一直未能成功与 master 取得联系，那到这里就放弃 retry，同时这里的资料也将标识为过期(
expired )。
Minimum：这是最小默认 TTL 值，如果您在前面没有用”$TTL”来定义，就会以此值为准。
请注意：SOA 记录中这对 ” ( ) “符号之第一个 ” (“括号一定要和 SOA 写在同一行，而不能用 Enter 断行到下一行去,而且其左边最好有一个空格键或 tab 建。而最后一个 ” )”括号也不能写在注解符号 ” ；”的右边。 置 DNS 的 RR 记录档，其格式要求非常严格，我们丝毫不能掉以轻心。比方说：如果句子不是以空格键、Tab 键、 或注解符号 ( ; )开头，也不在 SOA 的 ” ( ) “之内， 则表示要定义一个”新记录项 (Entry) “；如果句子是以空格键或 tab 键开始的话，其设置被视为上一个”记录项”的内容。所以，如果您要为”同一个记录项”定义多个记录设置，而不想重复打字，您倒可以偷懒：在接着它的后面几行用空白或 Tab 来缩排就可以了。
NS表明负责dnsany.com.这个域的Name Server是ns.hhmap.com这台主机
MX记录标明发往mail域的邮件由mail.dnsany.com这台服务器接收
A记录标明了IP地址和域名之间的对应关系

—————————————————————————————————————–

BIND
配置文件详解（二）

 

6.options
语句

options
语句的定义和使用：

options语句用来设置可以被整个BIND使用的全局选项。这个语句在每个配置文件中只有
一处。如果出现多个options语句，则第一个options的配置有效，并且会产生一个警告信息。

如果没有options语句，则每个选项使用缺省值。

options {

[ version version_string; ]

[ directory path_name; ]

[ named-xfer path_name; ]

[ tkey-domain domainname; ]

[ tkey-dhkey key_name key_tag; ]

[ dump-file path_name; ]

[ memstatistics-file path_name; ]

[ pid-file path_name; ]

[ statistics-file path_name; ]

[ zone-statistics yes_or_no; ]

[ auth-nxdomain yes_or_no; ]

[ deallocate-on-exit yes_or_no; ]

[ dialup dialup_option; ]

[ fake-iquery yes_or_no; ]

[ fetch-glue yes_or_no; ]

[ has-old-clients yes_or_no; ]

[ host-statistics yes_or_no; ]

[ minimal-responses yes_or_no; ]

[ multiple-cnames yes_or_no; ]

[ notify yes_or_no | explicit; ]

[ recursion yes_or_no; ]

[ rfc2308-type1 yes_or_no; ]

[ use-id-pool yes_or_no; ]

[ maintain-ixfr-base yes_or_no; ]

[ forward ( only | first ); ]

[ forwarders { ip_addr [port ip_port] ; [ ip_addr [port ip_port] ; … ] }; ]

[ check-names ( master | slave | response )( warn | fail | ignore ); ]

[ allow-notify { address_match_list }; ]

[ allow-query { address_match_list }; ]

[ allow-transfer { address_match_list }; ]

[ allow-recursion { address_match_list }; ]

[ allow-v6-synthesis { address_match_list }; ]

[ blackhole { address_match_list }; ]

[ listen-on [ port ip_port ] { address_match_list }; ]

[ listen-on-v6 [ port ip_port ] { address_match_list }; ]

[ query-source [ address ( ip_addr | * ) ] [ port ( ip_port | * ) ]; ]

[ max-transfer-time-in number; ]

[ max-transfer-time-out number; ]

[ max-transfer-idle-in number; ]

[ max-transfer-idle-out number; ]

[ tcp-clients number; ]

[ recursive-clients number; ]

[ serial-query-rate number; ]

[ serial-queries number; ]

[ transfer-format ( one-answer | many-answers ); ]

[ transfers-in number; ]

[ transfers-out number; ]

[ transfers-per-ns number; ]

[ transfer-source (ip4_addr | *) [port ip_port] ; ]

[ transfer-source-v6 (ip6_addr | *) [port ip_port] ; ]

[ notify-source (ip4_addr | *) [port ip_port] ; ]

[ notify-source-v6 (ip6_addr | *) [port ip_port] ; ]

[ alsonotify { ip_addr [port ip_port] ; [ ip_addr [port ip_port] ; … ] }; ]

[ max-ixfr-log-size number; ]

[ coresize size_spec ; ]

[ datasize size_spec ; ]

[ files size_spec ; ]

[ stacksize size_spec ; ]

[ cleaning-interval number; ]

[ heartbeat-interval number; ]

[ interface-interval number; ]

[ statistics-interval number; ]

[ topology { address_match_list }];

[ sortlist { address_match_list }];

[ rrset-order { order_spec ; [ order_spec ; ... ] } };

[ lame-ttl number; ]

[ max-ncache-ttl number; ]

[ max-cache-ttl number; ]

[ sig-validity-interval number ; ]

[ min-roots number; ]

[ use-ixfr yes_or_no ; ]

[ provide-ixfr yes_or_no; ]

[ request-ixfr yes_or_no; ]

[ treat-cr-as-space yes_or_no ; ]

[ min-refresh-time number ; ]

[ max-refresh-time number ; ]

[ min-retry-time number ; ]

[ max-retry-time number ; ]

[ port ip_port; ]

[ additional-from-auth yes_or_no ; ]

[ additional-from-cache yes_or_no ; ]

[ random-device path_name ; ]

[ max-cache-size size_spec ; ]

[ match-mapped-addresses yes_or_no; ]

};

 

version

回答针对服务器版本的请求时的内容。缺省返回的是服务器的真实版本。

directory

服务器的工作目录。配置文件中所有使用的相对路径，指的都是在这里配置的目录下。大多数服务器的输出文件（如named.run）都缺省生成在这个目录下。如果没有设定目录，工作目录缺省设置为服务器启动时的目录‘.’。指定的目录应该是一个绝对路径。

named-xfer

这个选项已经被废弃了。它在BIND8 中，它用来给named-xfer程序设定路径名。在BIND9中，不需要单独的named-xfer程序；它的功能已经内置在域名服务器中。

tkey-domain

这个域名将会附带在由TKEY 生成的所有共享密匙名字的后面。当用户请求进行TKEY交换时，它会为密匙设定或不设定所要求的名称。如果设置了tkey_domain，共享密匙的名字将会是”client specified part”（用户设定的部分）+ “tkey-domain”。否则，共享密匙的名字将是”random hex digits”（随机的16 进制数）+ “tkey-domain”。在大多数情况下，domainname应该是服务器的域名。

tkey-dhkey

针对使用Diffie-Hellman 的TKEY模式的用户，服务器用来生成共享密匙的Diffie-Hellman 密匙。服务器必须可以从工作目录中调入公共和私人密匙。大多数情况下，密匙的名称应该是服务器的主机名。

dump-file

当执行rndc dumpdb命令时，服务器存放数据库文件的路径名。如果没有指定，缺省名字是named_dump.db。

memstatistics-file

服务器输出的内存使用统计文件的路径名。如果没有指定，默认值为named.memstats。

注意：还没有在BIND9中实现！

pid-file

进程ID文件的路径名。如果没有指定，默认为/var/run/named.pid。pid-file是给那些需要向运行着的服务器发送信号的程序使用的。

statistics-file

当使用rndc stats命令的时候，服务器会将统计信息追加到的文件路径名。如果没有指定，默认为named.stats在服务器程序的当前目录中。

port

服务器用来接收和发送DNS协议数据的UDP/TCP端口号。默认为53。这个选项主要用于服务器的检测；因为如果不使用53端口的话，服务器将不能与其它的DNS进行通讯。

random-device

服务器使用的entropy源：entropy主要用于DNSSEC操作，如TKEY的数据交换和加密域的动态更新。此选项指定了entropy将会从哪个设备（或文件）中读取信息。如果它是一个文件，则当文件耗尽后，需要entropy的操作将会失败。如果没有指定，默认值是/dev/random（或等价的），如果它存在，否则就是没有。random-device选项是在服务器启动时，初始化配置时起作用的，在以后的重启时则被忽略。

 

A.Boolean
选项

auth-nxdomain

如果是yes，那么AA位将一直设置成NXDOMAIN响应，甚至在服务器不是授权服务器的情况下都是这样的。默认值是no；这与BIND8不同。如果用户使用的是非常老版本的DNS软件，则有必要把它设置成yes。

deallocate-on-exit

此选项在BIND8中用于检查出口处内存泄露。BIND9忽略此选项，并始终进行检查。

dialup

如果是yes
，那么服务器将会像在通过一条按需拨号的链路进行域传送一样，对待所有的域（按需拨号就是在服务器有流量的时候，链路才连通）。根据域类型的不同它有不同的作用，并将集中域的维护操作，这样所有有关的操作都会集中在一段很短的时间内完成，每个heartbeat-interval一次，一般是在一次调用之中完成。它也禁止一些正常的域维护的流量。默认值是no。

dialup选项也可以定义在view和zone语句中，这样就会代替了全局设置中dialup的选项。

如果域是一个主域，服务器就会对所有辅域发送NOTIFY请求。这将激活辅域名服务器中的对域的序列号的检验。这样当建立一个连接时，辅域名服务器才能确认这个域的传输合法性。

如果这个域是一个辅域或是末梢域（stub zone），那么服务器将会禁止通常的“zone
up to date”（refresh）请求，为了能发送NOTIFY请求，只有在heartbeat-interval 过期
之后才执行。

通过下列的设置，可以实现更好的控制。

1、notify 只发送NOTIFY信息。

2、notify-passive 发送NOTIFY信息，并禁止普通的刷新（refresh）请求。

3、refresh 禁止普通的刷新处理，当heartbeat-interval 过期时才发送刷新请求。

4、passive 只用于关闭普通的刷新处理。

fake-iquery

在BIND8中，此选项用来模拟陈旧的DNS查询类型IQUERY。BIND9不再进行IQUERY模拟。

fetch-glue

这个选项以后不再使用。

has-old-clients

这个选项在BIND8中执行有问题，BIND9则忽略了这个选项。为了达到has-old-clients yes的预期效果，可以设定两个独立选项auth-nxdomain yes和rfc2308-type1 no来代替。

host-statistics

在BIND8中，它可以保留每台和域名服务器交互的主机统计信息。BIND9中不支持。

maintain-ixfr-base

此选项不再使用了。在BIND8用于判定是否保存了增量域传输的处理日志。BIND9任何可能的时候都会保存传输日志。如果需要禁止流出的增量域传输，可以使用provide-ixfr no。

minimal-responses

如果是yes，当产生响应的时候，服务器将只会按照需要将记录添加到authority和additional的数据部分。（例如，delegations，negative responses）。这样会改善服务器的性能。默认值为no。

multiple-cnames

这个选项在BIND8中使用，允许一个域名承认多条CNAME记录（与DNS标准相违

背）。BIND9.2在主hosts文件和动态更新中都严格强制执行CNAME规则。

notify

如果是yes（默认），当一个授权的服务器修改了一个域后，DNS NOTIFY信息被发送出去。此信息将会发给列在域NS记录上的服务器（除了由SOA MNAME标示的主域名服务器）和任何列在also-notify选项中的服务器。

如果是explicit，则notify将只发给列在also-notify中的服务器。如果是no，就不会发出任何报文。

notify选项也可能设定在zone语句中，这样它就替代了options中的notify 语句。如果notify会使得辅域名服务器崩溃，就需要将此选项关闭。

recursion

如果是yes，并且一个DNS询问要求递归，那么服务器将会做所有能够回答查询请求的工作。如果recursion是off的，并且服务器不知道答案，它将会返回一个推荐（referral）响应。默认值是yes。注意把recursion设为no，不会阻止用户从服务器的缓存中得到数据，它仅仅阻止新数据作为查询的结果被缓存。服务器的内部操作还是可以影响本地的缓存内容，如NOTIFY地址查询。

rfc2308-type1

设置成yes 将会使得服务器发送NS 记录和关于negative answer 的SOA记录。默认值为no。

注：BIND9 中还不支持。

use-id-pool

此选项已经不再使用。BIND9 始终都是从池中分配请求ID的。

zone-statistics

如果是yes，缺省情况下，服务器将会收集在服务器所有域的统计数据。这些统计数据可以通过使用rndc stats来访问，rndc stats命令可以将这些信息转储到statistics-file定义的文件中去。

use-ixfr

这个选项不再使用。如果需要针对一个或多个特殊的服务器关闭IXFR，可以参考provide-ixfr中的内容。

provide-ixfr

参阅中关于provide-ixfr的陈述。

request-ixfr

参阅关于request-ixfr的陈述。

treat-cr-as-space

这个选项应用于BIND8中，使服务器正确处理回车（”\r”）字符，就象其它的空格或tab字符一样。这样可以便于在unix系统上加载由NT或DOS系统生成的域文件。在BIND9中,UNIX”的\n”和DOS 的”\r\n”都可以正确处理为换新行，这个选项就被忽略了。

additional-from-auth

additional-from-cache

当回答具有additional数据的请求，或者当在CNAME 和DNAME串的后面时，这些选项控制一个权威服务器的操作。

当这两个选项都被设成yes(默认状态)，并且查询的是授权的数据（这个域就配置在本地服务器中）时，回答中的additional部分的数据将使用来自于其它授权域和cache。

在许多情况下这是不需要的，比如在缓存内容的正确性受到怀疑的情况下，或是在某些辅域可能被非法修改的服务器。还有，避免对这些additional数据的搜索将会加速服务器运转。

例如，如果一个查询需要主机foo.example.com的MX记录，找到的记录是”MX 10

mail.example.net”，如果知道的话, mail.example.net的地址记录(A,A6 和AAAA)也会被
提供出来。把选项设置为no，则禁止了这种操作。

这些选项用于授权的服务器，或者是授权的视图中。把它们设成no，但没有同时设置recursion no，将会使得服务器忽略这些选项，并记录一个警告日志。

设定additional-from-cache为no实际上针对additional信息的查询和正在响应的查询，都禁止了缓存的使用。这常常使用在一台授权的服务器中，因为在这里缓存数据的正确性非常重要。

当一台域名服务器不提供递归查询时，并且查询的名称并不在本地域中，一般会对根服务器或者其他已知的上级服务器回答”upwards referral(向上推荐)”。既然在向上查询中的数据来自于缓存，那么当additional-from-cache被设定为no时，服务器就不能提供向上推荐。相反，它会使用REFUSED(拒绝)回答这些查询。因为向上推荐不是在用户解析过程中需要的，所以就不会出任何问题。

match-mapped-addresses

如果是yes，那么一个ipv4映射成的ipv6地址就会匹配任何地址匹配表中能匹配于对应的ipv4 地址的记录。打开这个选项，对于运行了ipv6的linux系统有时非常有用，这样通过地址映射，就可以使得ipv4的TCP连接（如域传送）实现在Ipv6的soket上，因为地址匹配列表是给Ipv4设计的。

 

B.
转发

转发功能可以用来在一些服务器上产生一个大的缓存，从而减少到外部服务器链路上的流量。它可以使用在和internet没有直接连接的内部域名服务器上，用来提供对外部域名的查询。只有当服务器是非授权的，并且缓存中没有相关记录时，才会进行转发。

forward

此选项只有当forwarders列表中有内容的时候才有意义。当值是First，默认情况下，使服务器先查询设置的forwarders，如果它没有得到回答，服务器就会自己寻找答案。如果设定的是only，服务器就只会把请求转发到其它服务器上去。

forwarders

设定转发使用的ip地址。默认的列表是空的(不转发)。转发也可以设置在每个域上，这样全局选项中的转发设置就不会起作用了。用户可以将不同的域转发到服务器上，或者对不同的域可以实现forward only或first的不同方式，也可以根本就不转发。

 

C.
访问控制

可以根据用户请求使用的IP地址进行限制。

allow-notify

设定哪个主机上的辅域（不包括主域）已经进行了修改。allow-notify也可以在zone语句中设定，这样全局options中的allow-notify选项在这里就不起作用了。但它只对辅域有效。如果没有设定，默认的是只从主域发送notify信息。

allow-query

设定哪个主机可以进行普通的查询。allow-query也能在zone语句中设定，这样全局options中的allow-query选项在这里就不起作用了。默认的是允许所有主机进行查询。

allow-recursion

设定哪台主机可以进行递归查询。如果没有设定，缺省是允许所有主机进行递归查询。注意禁止一台主机的递归查询，并不能阻止这台主机查询已经存在于服务器缓存中的数据。

allow-v6-synthesis

设定哪台主机能接收对ipv6的响应。

allow-transfer

设定哪台主机允许和本地服务器进行域传输。allow-transfer也可以设置在zone语句中，这样全局options中的allow-transfer选项在这里就不起作用了。如果没有设定，默认值是允许和所有主机进行域传输。

blackhole

设定一个地址列表，服务器将不会接收来自这个列表的查询请求，或者解析这些地址。从这些地址来的查询将得不到响应。默认值是none。

 

D.
接口

接口和端口(服务器回答来自于此的询问)可以使用listen-on选项来设定。listen-on使用可选的端口和一个地址匹配列表（address_match_list）。服务器将会监听所有匹配地址列表
中所允许的端口。如果没有设定端口，就使用默认的53。

允许使用多个listen-on语句。例如:

listen-on

{ 5.6.7.8; };

listen-on port 1234 { !1.2.3.4; 1.2/16; };

将在5.6.7.8 的ip地址上打开53端口，在除了1.2.3.4的1.2 网段上打开1234 端口。

如果没有设定listen-on，服务器将在所有接口上监听端口53。

listen-on-v6选项用来设定监听进入服务器的ipv6请求的端口。

服务器并不象在ipv4中那样对每个IPV6端口地址绑定一个独立的socket。相反，它一直监听ipv6通配的地址。这样，对于listen-on-v6语句唯一的address_match_list的参数就是：
{ any; }和{ none;}

多个listen-on-v6选项可以用来监听多个端口:

listen-on-v6 port 53 { any; };

listen-on-v6 port 1234 { any; };

要使服务器不监听任何ipv6地址，使用：

listen-on-v6 { none; };

如果没有设定listen-on-v6语句，服务器将不会监听任何ipv6地址。

 

E.
查询地址

如果服务器查不到要解析的地址，它将会查询其它域名服务器。query-source

可以用来设定这类请求所使用的地址和端口。
对于使用ipv6发送的查询，有一个独立的query-source-v6选项。如果address是*或者被省略了，则将会使用一个通配的IP地址

(INADDR ANY)。如果port是*或者被省略了，则将会使用一个随机的大于1024的端口。

默认为:

query-source address * port *;

query-source-v6 address * port *;

注：
query-source
选项中设置的地址是同时用于
UDP
和
TCP
两种请求的，但是
port
仅仅用

于
UDP
请求。
TCP
请求使用的是随机的大于
1024
的端口。

 

 

F.
域传输

BIND有适当的机制来简化域传输，并限定系统传输的负载量。下列设定应用于域传输:

also-notify

定义一个用于全局的域名服务器IP地址列表。无论何时，当一个新的域文件被调入系统，域名服务器都会向这些地址，还有这些域中的NS记录发送NOTIFY信息。这有助于更新的域文件尽快在相关的域名服务器上收敛同步。如果一个also-notify列表配置在一个zone语句中，全局options中的also-notify语句就会在这里失效。当一个zone-notify语句被设定为no，系统就不会向在全局中also-notify列表中的IP地址发送NOTIFY消息。缺省状态为空表(没有全局通知列表)。

max-transfer-time-in

比设定时间更长的进入的域传输将会被终止。默认值是120分钟(2小时)。

max-transfer-idle-in

在设定时间下没有任何进展的进入域传输将会被终止。默认为60分钟(1小时)。

max-transfer-time-out

运行时间比设定的时间长的发出的域传输将会被终止。默认为120分钟(2小时).

max-transfer-idle-out

在设定时间下没有任何进展的发出的域传输将会被终止。默认为60分钟(1小时)。

serial-query-rate

辅域名服务器将会定时查询主域名服务器，来确定域的串号是否改变。每个查询将会占用一些辅域名服务器网络带宽。为限制占用的带宽，BIND9可以限制每个查询发送的频率。serial-query-rate的值是一个整数，就是每秒能发送的最大查询数。默认值为20。

serial-queries

在BIND8中, serial-queries选项设定了在任何时候允许达到的最大的并发查询数。BIND9不限制串号查询的数量并忽略了serial-queries选项。它会使用serial-query-rate选项来限制查询的频率。

transfer-format

域传输可以用两种不同格式，one-answer和many-answer。transfer-format选项使用在主域名服务器上，用来确定发送哪种格式。one-answer在每个资源记录传输中使用一个

DNS消息。many-answer则将尽可能多的资源记录集中在一个消息中。many-answer是

更加有效的，但只有相对比较新的辅域名服务器才支持它，如BIND9、BIND8.x 和打了补丁的BIND4.9.5。默认的设置为many-answer。使用server语句中的相关选项，可以替代全局选项中的transfer-format设置。

transfers-in

可以同时运行的进入的域传输的最大值。默认值为10。增加transfers-in的值，可以加速辅域的收敛速度，但也可能增加本地系统的负载。

transfers-out

可以同时运行的发出的传输的最大值。超过限定的域传输请求将会被拒绝。默认值为10。

transfers-per-ns

从一台指定的远程域名服务器，同时进行的进入的域传输的最大值。默认值2。增加

transfers-per-ns的值，会加速辅域的收敛速度，但也可能增加远程系统的负载。使用

server语句中的transfer短语可以替代全局选项中的transfers-per-ns。

transfer-source

transfer-source决定在从外部域名服务器上得到域传送数据时，选哪个本地的ip地址使用在IPV4的TCP连接中。它可以选定IPV4的源地址，和可选的UDP端口，用于更新的查询和转发的动态更新。不过不做设置，它会缺省挑选一个系统中的地址(常常是最靠近远程终端服务器的接口地址)。但这个地址必须已经配置在远程终端的allow-tranfer选项中，才能进行域传送。此语句为所有的域设定了transfer-source，但如果view或zone中也使用了transfer-source语句，则全局选项中的配置就在这里失效了。

transfer-source-v6

和transfer-source一样，只是域传输是通过IPV6执行的。

notify-source

notify-source确定使用哪些本地的源地址和可选的UDP端口，用于发送NOTIFY消息。这个地址必须在辅域名服务器的master域或在allow-notify中设置。它会为所有域设定

notify-source, 但如果view或zone中也使用了notify-source语句，则全局选项中的配置就在这里失效了。

notify-source-v6

与notify-source类似，但应用于ipv6地址的notify报文的发送。

 

G.
操作系统资源限制

可以限制服务器对许多系统资源的使用。这些就是通过调节资源限制的数值来完成的。例如，1G可以代替1073741824，限定一个十亿字节的限制。Unlimited 要求不限制使用，或者最大可用量。Default 将会使用服务器启动时的缺省值。

下列选项设定了域名服务器进程的操作系统资源占用限制。一些操作系统可能不支持一些

或所有的限制。在这样的系统中，当使用不被支持的限制时，会产生一个告警。

coresize

core dump文件的最大值尺寸。默认值为default

datasize

服务器可以使用的最大数据内存量。默认值为default。这是一个在服务器系统内存中

已经设置了的参数。如果服务器要超过这个限制的内存量，则会失败，这将使服务器不能

提供DNS服务。所以，这个选项作为一种限制服务器所使用的内存量的方式就不太有效，但是它能够将操作系统设置的太小的缺省数据尺寸增大。如果要限制服务器使用的内存量，可以使用max-cache-size和recursive-clients选项。

files

服务器可以同时打开的最大文件数。默认是unlimited。

stacksize

服务器可以使用最大的堆栈内存量。默认值为default。

 

H.
服务器资源限制

下列选项设定了服务器资源使用限制，这是由域名服务内部做的而不是操作系统设定的。

max-ixfr-log-size

此选项比较老；它由BIND8兼容接受或者忽略。

recursive-clients

服务器同时为用户执行的递归查询的最大数量。默认值1000，因为每个递归用户使用许多位内存，一般为20KB，主机上的recursive-clients选项值必须根据实际内存大小调整。

tcp-clients

服务器同时接受的TCP连接的最大数量，默认值100。

max-cache-size

服务器缓冲使用的最大内存量，用比特表示。但在缓存数据的量达到这个界限，服务器将会使记录提早过期这样限制就不会被突破。在多视图的服务器中，限制分别使用于每个视图的缓存。默认值没有限制，意味着只有当总的限制被突破的时候记录才会被缓存清除。

 

 

I.
周期性任务间隔

cleaning-interval

服务器将在cleaning-interval的每一时间中从缓存中清除过期的资源记录。默认为60分钟，如果设置为0，就不会有周期性清理。

heartbeat-interval

服务器将会为所有标记dialup的域运行维护任务，无论它的间隔在何时到期。默认为60分钟，合理值不超过1天(1440 分钟)。如果设定为0,不会为这些域产生域维护。

interface-interval

服务器将在每个interface-interval时间扫描网络接口表。默认为60分钟。如果设置为0，仅当配置文件被加载时才会进行接口扫描。在扫描之后，所有新接口上的监听器将会被打开(listen-on配置使用的接口)。关闭接口上的监听器将会被清除。

statistics-interval

域名服务器统计将会在每个statistics-interval时刻被记入日志。默认值60分钟，如果设为0，就没有统计数据记入日志。

注意:BIND9 不支持

 

J.
拓扑

当服务器从一个域名服务器列表中选择一个域名服务器查询时，这些域名服务器是没有什么不同的，但是服务器会先选择在拓扑结构上距离自己最近的服务器去做解析。拓扑语句使用一个地址匹配列表并且以一个特殊方式解释它。每个顶层列表元素被赋了一段距离，非否定元素得到它们在列表中的位置的距离，匹配距离表的开头越近，它离服务器的距离就越小。否定匹配元素将会从服务器分配最大距离；没有匹配的地址将会得到一个比任何非否定表元素都远的并且比任何否定元素近的距离。例如：

topology
{

10/8;

!1.2.3/24;

{ 1.2/16; 3/8; };

};

最优先网段10的服务器，然后是在网络1.2.0.0(网络掩码255.255.0.0)和3.0.0.0(网络掩

码255.0.0.0)；再就是没列出来的，但是没有否定的网段。否定的网段1.2.3 的主机(网络掩

码255.255.255.0)。

默认拓扑为:

topology { localhost; localnets; };

注意：BIND9不支持拓扑选项。

 

K. sortlist
语句
 

对一个DNS询问的响应包括形成一个资源记录集(RR集)的多资源记录(RRs)。名称服务器将会以不确定的顺序返回在RRset中的RRs(参见rrset-order语句)。用户端的解答器会重新适当的排列，也就是说，使用任何在本地网上的地址优先于其他的地址。尽管如此，不是所有的解答器可以做到或者正确配置。当用户使用一个本地服务器的时候，服务器可以基于用户地址进行分类。这只要求配置名称服务器，而不是所有用户端。

sortlist语句(如下)使用一个地址匹配表甚至比拓扑语句还要特殊的解释它。每个在sortlist 的顶层语句必须自己就是一个清楚的拥有一个或两个元素的地址匹配表。每个顶级表的第一个元素(可能是一个IP地址，一个IP前缀，一个ACL名称或者一个地址匹配表)与查询源地址进行匹配检查直到找到匹配的地址。

一旦查询的源地址被匹配，如果顶级语句只包括一个元素的话，真正的匹配于源地址的原始元素就被用来选择地址，对应的转移到了响应的开始。如果语句是两个元素的表，那么第二个元素遵照拓扑语句中地址匹配表的方式进行处理。每个顶级元素被赋予一个距离和与响应的开头距离最近的地址。

在下列例子中，任何来自于任何主机地址的查询将会得到本地网上第一首选地址的响应。下一个首选地址在网段192.168.1/24上，既可以在192.168.2/24或192.168.3/24网段之后。从一台在192.168.1/24网段上的主机收到的查询将会优先本网段和192.168.2/24和192.168.3/24网。而来自192.168.4/24或192.168.5/24上主机的查询将只优先直连的网段。

sortlist {

{ localhost; //IF 主机名

{ localnets;

192.168.1/24; //THEN 在下列网中最适合

{ 192.168.2/24; 192.168.3/24; }; }; }; //IF 在C类192.168.1

{ 192.168.1/24; //THEN 使用.1, 或.2 或.3

{ 192.168.2/24; 192.168.3/24; }; }; };

{ 192.168.2/24; //IF C类192.168.1

{ 192.168.2/24; //THEN使用2, 或.1 或.3

{ 192.168.1/24; 192.168.3/24; }; }; };

{ 192.168.3/24; //IF 在C类192.168.3

{ 192.168.1/24; 192.168.2/24; }; }; }; //THEN使用.3 或.1 或.2

};

};

下个例子将给出一个本地主机和直接连接到网上的主机的合理的状态(behavior)。它很象BIND4.9.x分类的地址状态。从本地主机发给查询的响应支持任何直接连接的网络，从其他直接连接网络上的主机发送给查询的响应优先在相同网段上的地址。对其他查询的响应没有分类。

sortlist {

{ localhost; localnets; };

{ localnets; };

};

 

 

L. RRset
排序

当多重记录在一个解答中被返回的时候，设定在响应中的记录顺序是很有用的.。

rrset-order语句允许对在多记录响应下的记录顺序的设定。参见sortlist语句。

一个order_spec定义如下：

[ class class_name ][ type type_name ][ name "domain_name"] order ordering

如果没有设定类，默认值为ANY。如果没有设定类型，默认值为ANY。如果没有设定

名称，默认值为”*”。

合法的排序值是：

fixed:记录以它们在域文件中的顺序

random:记录以随机顺序被返回

cyclic:记录以环顺序被返回

例如：

rrset-order {

class IN type A name “host.example.com” order random;

order cyclic;

};

将会使得任何处于IN类中的A类记录的响应以随机顺序返回，IN 类以”host.example.com”为后缀。其他的记录以循环记录被返回。

如果多重rrset-order语句出现，它们并不组合在一起，只适用于最后一个条。

注意：rrset-order语句不被BIND9支持，BIND9目前只支持”random-cyclic”排序，服务器随机选择RRset集中的开始点，有顺序返回在那个点开始的记录。如果需要的话围绕RRset

结尾。

 

M.
合成的
IPV6
响应

许多现存的子域解答器支持ipv6的DNS查询(定义在RFC1986 中，使用AAAA 记录进行前向查询和ip6.int域中的”nibble labels”进行反向查询)但是不支持RFC2874-style 查询(使用A6记录和在ip6.arpa 中的二进制标签)对于那些希望继续使用子域解答器而不是转到

BIND9 lightweight 解答器的人来说，BIND 9提供一种自动把RFC1886-型查询转换成

RFC2874-型查询的方法。返回合成的AAAA和PTR记录。

这个性质默认下是无效的，可以在分用户基础上添加一个allow-v6-synthesis

{ address_match_list };

子句到选项或者视图语句中。当它被激活时，递归AAAA查询使服

务器先进行A6查询，如果失败，执行AAAA查询。不管哪个成功，结果都作为一个合成的AAAA 记录返回。

类似的，在ip6.int中的递归PTR查询将会促使一个ip6.arpa查询使用二进制标签，如果失败，执行另一个在ip6.int中的查询，结果将会以在ip6.int中的合成PTR记录返回。合成记录的TTL 为0值。合成响应的DNSSEC确认当前并不被支持；也没有了AD标记。

注：allow-v6-synthesis仅为提供了递归服务的用户执行。

 

 

N.
调谐

lame-ttl

设定缓存有问题服务器指示的秒数。0使不缓存(不被推荐)。默认值600(10 分钟)。最大值1800(30 分钟)。

max-ncache-ttl

为降低网络流量和提升服务器存储否定回答的性能。max-ncache-ttl以秒为单位设定这些回答的保存时间。默认max-ncache-ttl是10800秒(3小时)。max-ncache-ttl不能超过7天，如果设成一个更大的值，则将会被自动减为7天。

max-cache-ttl

max-cache-ttl设定了服务器储存普通(肯定)答案的最大时间。默认值一周(7 天)。

min-roots

一个请求要求的最小的根服务器数量。默认为2。

注意:

不被BIND9

支持

sig-validity-interval

设定未来作为动态更新结果的自动生成的DNSSEC信号过期的天数。默认是30天。信号的初始时间无条件设为在当前时间的前一个小时，以允许一个有限的时钟偏差。

min-refresh-time

max-refresh-time

min-retry-time

max-retry-time

这些选项控制了服务器在更新一个域(询问SOA变化)或者重试失败的传输时的状态。通常域的SOA值(但是这些值是由主服务器设定的)几乎不给此级服务器管理者对它们内容的控制。

这些选项允许管理者为每域，每个视图或者全局设定一个最小或者最大更新和重试时间。这些选项对于此级和根域是有效的并且设定SOA更新和重试时间。

 

 

O.
统计文件

由BIND9产生的统计文件和由BIND8产生的类似，但不完全一样。

一个统计数据开始于行+++ Statistics Dump +++ (973798949)，这里出现的数字是一个标准UNIX型的时间戳，从1970年1月1日开始以秒计。紧跟这行的是一系列行，包括一个

记数器类型，记数器值，任意的域名和任意的视图名，没有所列的视图和域的行是整个服务器的整体统计。具有域和视图的行以给定的视图和域命名(对默认的视图来说视图名缺省)。

这个统计数据以行— Statistics Dump —(973798949)结束，在这数字是和开始行的数字一样的。Success对服务器或者域做出的成功查询。定义一个成功查询是查询返回非错误响应而不是返回推荐响应。

Referral：导致推荐响应查询

Nxrrset：导致没有数据的非错误查询的响应

Nxdomain：导致NXDOMAIN 的查询数量

Recursion：使服务器运行递归以找出最后答案的查询数量

Failure：导致失败的查询数量