18.2dns高级应用介绍

Posted 2020-10-23

1、dns主从：

    从dns服务器是区域级别的概念。

    主从同步：需要两台主机的时间一直，否则不能正确完成，命令ntpdate用来指定时间服务器。

2、配置一个正向区域的从DNS服务器的步骤：

    ①、主服务器上配置：

        a、确保区域数据文件中为每个从服务器配置NS记录；

        b、并且在正向区域文件需要为每个从（辅助）DNS服务器的NS记录的主机名配置一个A记录，且此A后面的地址为"真正从（辅助）服务器的IP地址"，否则同步过去

    ②、从服务器上配置：

       a、定义一个区域为从区域

        示例：

        zone "zone_name" IN {

            type slave；

            file "slaves/zone_name.zone";   //区域数据文件，放在此位置，不需要自己创建，自动同步过来

            masters { MASTER_IP; }       //指定主DNS服务器ip地址

        }

    为什么辅助区域配置文件放在/var/named/slaves目录下呢？

        [[email protected] slaves]# ps aux | grep named

        named      1980  0.0  1.5 157904 16044 ?        Ssl  19:08   0:00 /usr/sbin/named -u named    //named进程以named身份运行

        [[email protected] slaves]# ls /var/named/ -ld         //named目录的权限 不允许named组用户对其进行写操作，因此不能创建文件

        drwxr-x---. 5 root named 4096 Feb  4 19:07 /var/named/

        [[email protected] slaves]# ls /var/named/slaves/ -ld        //slaves目录允许named进程组用户有RWX权限，避免风险

        drwxrwx---. 2 named named 4096 Dec  5  2012 /var/named/slaves/

        [[email protected] slaves]# 

        

主从dns正向区域配置步骤示例：主dns：192.168.0.107；从dns：192.168.0.102

注意：主从同步要确保关闭了selinux和防火墙，除非策略通过，否则会同步不成功。

    ①、主服务器配置

        [[email protected] /]# cat /var/named/magedu.com.zone

        $TTL 1D

        $ORIGIN magedu.com.

        @              IN SOA @ admin.magedu.com. (

         2018020401     

         1H

         20M

         1D

         1W

        )

        @               IN NS  ns1.magedu.com.

        @               IN NS  ns2.magedu.com.

        ns2              IN A   192.168.0.102

        ns1    IN A  192.168.100.100

        www.magedu.com.     IN A  192.168.100.105

    IN A  192.168.100.106

        web1.magedu.com. IN CNAME www.magedu.com.

        [[email protected] /]# 

        [[email protected] /]# named-checkconf 

        [[email protected] /]# named-checkzone magedu.com /var/named/magedu.com.zone 

            注意：主配置文件中的“allow-query     { localhost; };”注释掉 ；每次更改区域数据配置文件都要手工改动serial（序列号）

        

        [[email protected] /]# systemctl restart named  或：[[email protected] /]# systemctl reload named

        [[email protected] /]# systemctl status named

    ②、从dns服务器配置：

         ]# vim /etc/named.rfc1912.zones  

        zone  "magedu.com"  IN {

                type slave;

                file "slaves/magedu.com.zone";

                masters { 192.168.0.107; };

        };

        [[email protected] slaves]# named-checkconf   //检查区域配置是否有语法错误

        [[email protected] slaves]# rndc reload    //重读配置文件

        [[email protected] slaves]# ls /var/named/slaves/   

        magedu.com.zone     //此文件会自动从主dns服务器通过不过来

    ③、验证：

        [[email protected] slaves]# dig -t a www.magedu.com @192.168.0.102

3、配置一个反向区域的从DNS服务器的步骤：（注意：反向区域要与正向区域的记录对应）

    ①、主服务器上配置：

        a、确保区域数据文件中为每个从服务器配置NS记录；

        b、并且在反向区域文件需要为每个从（辅助）DNS服务器的NS记录的主机名配置一个PTR记录，且此PTR的"name地址"为"真正从（辅助）服务器的IP地址"，否则同步过去

    ②、从服务器上配置：

       a、定义一个反向区域为从区域

        示例：

        zone "网段地址.in-addr.arpa" IN {

            type slave；

            file "slaves/zone_name.zone";   //区域数据文件，放在此位置，不需要自己创建，自动同步过来

            masters { MASTER_IP; }       //指定主DNS服务器ip地址

        }

主从dns反向区域配置步骤示例：主dns：192.168.0.107；从dns：192.168.0.102

    ①主dns服务器上配置：       

        [email protected] /]# cat /etc/named.rfc1912.zones 

        zone "0.168.192.in-addr.arpa" IN {

        type master;

        file "192.168.0.zone";

        };

     

     主dns反向区域数据文件配置：

        [[email protected] /]# cat /var/named/192.168.0.zone 

        $TTL 3600

        $ORIGIN  0.168.192.in-addr.arpa.

        @     IN  SOA  ns1.magedu.com.  admins.magedu.com. (

         2018020226

         1D

         2H

         30M

         1W

        )

            IN  NS ns1.magedu.com.

            IN  NS ns2.magedu.com.

        102   IN  PTR ns2.magedu.com.

        107   IN  PTR ns1.magedu.com.

        205   IN  PTR www.magedu.com.

        206   IN  PTR www.magedu.com.

        207   IN  PTR www.magedu.com.

        [[email protected] /]#

 

    ②、从服务器反向区域配置：

        [[email protected] slaves]# cat /etc/named.rfc1912.zones                 

        zone "0.168.192.in-addr.arpa" IN {

         type slave;

         file "slaves/192.168.0.zone";

         masters { 192.168.0.107; };

        };

 

    ③、验证：

        [[email protected] slaves]# ls /var/named/slaves/

        192.168.0.zone  magedu.com.zone

        [[email protected] slaves]# 

        [[email protected] slaves]# dig -x 192.168.0.207 @192.168.0.102   //查看102是否可以解析此地址

        [[email protected] slaves]# dig -t axfr 0.168.192.in-addr.arpa @192.168.0.102   //手动同步区域文件

        注意：手动传送存在风险，因为任何人都可以传送，需要访问控制来限制主从间的传送。

4、子域授权配置：

   如：父域：magedu.cn

     子域：ops.magedu.cn

    正向解析区域授权子域的方法：

      配置文件中添加：

        ops.magedu.com.     IN  NS ns1.ops.magedu.com.

        ns1.ops.magedu.com.  IN  A IP_ADDR

      注意：如果有多个子域都要在此处添加相应记录。

    

子域授权配置示例：