linux DNS

Posted 2020-11-02

linux DNS

笔记日期20180503

目录

专业名词解释

DNS and Bind

主DNS名称服务器

反向区域

主从复制

Bind 高级

定义转发服务器

DNS中基础的安全相关的配置

View功能

bind性能测试

专业名词解释

DNS (Domain Name Server)

tld Top Leven Domain

DNS查询类型

递归查询

迭代查询

名称服务器：域内负责解析本域内的名称主机

根服务器：全世界只有13组

解析类型

Name --> IP

IP --> Name

注意：正反向解析是两个不同的名称空间，是两棵不同的解析树

DNS服务器的类型

主DNS服务器

辅助DNS服务器

缓存DNS服务器

转发器

主DNS服务器：维护所负责的域内解析库服务器，解析库由管理员维护

从DNS服务器：从主DNS服务器或其它的从服务器那里“复制”（区域传递）一份解析库

序列号：解析库的版本号；前提；主服务器解析库内容发生变化，其序列递增。

刷新时间间隔：从服务器从主服务器请求同步解析库的时间间隔；

重试时间间隔：从服务器从主服务器请求同步解析库失败时，再次尝试的时间间隔；

过期时长：从服务器始终联系不到主服务器时，多久之后放弃从服务器角色，停止提供服务；

"通知"机制: 

区域传递

全量传送：传送整个解析库

增量传送：传递解析库变化的那部分内容

DNS

Domain

正向: FQDN --> IP

反向: IP --> FQDN

各需要一个解析库来分别负责本地域名的正向和反向解析

正向区域

反向区域

FQDN: Full Qualified Domain Name

www.winthcloud.com.

一次完整的查询请求经过流程

Client --> hosts文件 -->(递归) DNS Service

Local Cache --> DNS Server --> Server Cache --> iteration(迭代)

区域解析库: 由众多RR组成

资源记录: Resource Record, RR

记录类型: A, AAAA, PTR, SOA, NS, CNAME, MX

SOA: Start Of Authority 起始授权记录：一个区域解析库有且仅能有一个SOA记录，而且必

须为解析库的第一条记录；

A: Internet Address, 作用FQDN --> IP

AAAA: FQDN --> IPv6

PTR: PoinTeR IP --> FQDN

MS: Name Server, 专用于标明当前区域的DNS服务器

CNAME: Canonical Name, 别名记录

MX: Mail eXchanger, 邮件交换器

资源记录定义格式

语法 name  [TTL]    IN  rr_type    value

注意

1. TTL可从全局继承

2. @可用于引用当前区域的名字

3. 同一个名字可以通过多条记录定义多个不同的值；此时DNS服务器会以轮询方式响应

4. 同一个值也可能有多个不同的定义名字；通过多个不同的名字指向同一个值进行定义

SOA

name 当前区域的名字，例如"winthcloud.com"

value 有多部分组成

1. 当前区域的主DNS服务器FQDN，也可以使用当前区域的名字

2. 录前区域管理员的邮箱地址：但地址中不能使用@符号，一般用.来替换

  如Mini.winthcloud.com

3. 主从服务协调属性的定义以及否定的答案的统一的TTL

例如：

winthcloud.com    86400    IN    SOA    ns.winthcloud.com.   mini.winthcloud.com. (

 2018041301    ; 序列号

 2H ; 刷新时间

 10M ; 重试时间

 1W ; 过期时间

 1D ; 否定答案的TTL值

)

NS

name 当前区域的名字

value 当前区域的某DNS服务器的名字，例如ns.winthcloud.com.;

注意：一个区域可以有多个NS记录

例如

winthcloud.com. IN NS ns1.winthcloud.com.

winthcloud.com. IN NS ns2.winthcloud.com.

注意：

相邻的两个资源记录的name相同时，后续的可省略

对NS记录而言，任何一个ns记录后面的服务器名字，都应该在后续有一个A记录

MX

name 当前区域的名字

value 当前区域的某邮件服务器(smtp服务器)的主机名；

一个区域内，MX记录可有多个：但每个记录的value之前应该有一个数字(0-99),

表示此服务器的优先级；数字越小优先级越高；

例如

winthcloud.com. IN MX 10 mx1.winthcloud.com.

IN MX 20 mx2.winthcloud.com.

注意

对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录

A

name 某主机的FQDN 例如 www.winthcloud.com

value 主机名对应主机的IP地址

例如

www.winthcloud.com. IN A 1.1.1.1

www.winthcloud.com. IN A 1.1.1.2

mx1.winthcloud.com. IN A 1.1.1.3

mx2.winthcloud.com. IN A 1.1.1.3

注意

*.winthcloud.com. IN A 1.1.1.4

避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址;

AAAA

name FQDN

value IPv6

PTR

name IP, 有特定格式，把IP地址反过来写，IP 1.2.3.4 要写成 4.3.2.1;

in-addr.arpa.    因此完整写法为 4.3.2.1.in-addra.arpa.

value FQDN

例如

4.3.2.1.in-addra.arpa. IN PTR    www.winthcloud.com.

简写成

4 IN PTR www.winthcloud.com.

注意：网络地址及后缀可省略；主机地址依然需要反着写；

CNAME

name 别名的FQDN

value 正式名字的FQDN

例如

web.winthcloud.com. IN CNAME www.winthcloud.com.

DNS and BIND

子域授权：每个域的名称服务器，都是通过其上级名称服务器在解析库进行授权

类似根域授权tld

.com. IN NS ns1.com.

.com. IN NS ns2.com.

ns1.com. IN A 1.1.1.1

ns2.com. IN A 2.2.2.2

winthcloud.com 在.com的名称服务器上，解析库中加添资源记录

winthcloud.com. IN NS ns1.winthcloud.com.

winthcloud.com. IN NS ns2.winthcloud.com.

ns1.winthcloud.com. IN A 4.4.4.4

ns2.winthcloud.com. IN A 5.5.5.5

gjue record 粘合记录

域名注册

这个是要收费的如果想在互联网上注册一个域名，下方所提供几个供应域名的提供商

代理商：万网，新网，godaddy

注册完成后 进入管理后台：把NS记录指向的服务器名称，和A记录指向的服务器地址

BIND (Berkeley Internet Name Domain)

dns服务，程序包名bind, 程序名named

程序包

bind

bind-libs

bind-utils

bind-chroot /var/named/chroot

bind 配置文件(centos 7)

服务脚本 /usr/lib/systemd/system/named.service

主配置文件  /etc/named.conf

/etc/named.iscdlv.key

/etc/named.rfc1912.zones

/etc/named.root.key

/etc/rndc.conf

/etc/rndc.key

解析库文件 /var/named/ZONE_NAME.ZONE

注意

一台物理服务器可同时为多个区域提供解析

必须要有根区域文件 named.ca

应该有两个(如果包括ipv6的应该更多)实现localhost和本地回环地址的解析库

rndc (remote name domain controller),默认与bind安装在同一主机，且只能通过

127.0.0.1来连接named进程；提供辅助性的管理功能； 935/tcp

主配置文件内容解析

全局配置 options {}

日志子系统配置 logging {}

区域定义：本机能够为哪些zone进行解析，就要定义哪些zone

zone "ZONE_NAME" IN {}

注意：任何服务程序如果期望其能够通过网络被其它主机访问，至少应该监听在一个能与外

 部主机通信的IP地址上。

缓存名称服务器的配置

监听外部地址即可：

dnssec:

建议测试时关闭dnssec

主DNS名称服务器

1 在主配置文件中定义区域

zone "ZONE_NAME" IN {

type {master|slave|hint|forward};

file "ZONE_NAME.zone";

};

2 定义区域解析库文件

$TTL 86400

$ORIGIN winthcloud.com.

@       IN      SOA     ns1.winthcloud.com.     admin.winthcloud.com (

                       2018041701

                       1H

                       5M

                       7D

                       1D )

       IN      NS      ns1

       IN      NS      ns2

       IN      MX 10   mx1

       IN      MX 20   mx2

ns1     IN      A       10.10.100.142

ns2     IN      A       10.10.100.148

mx1     IN      A       10.10.100.142

mx2     IN      A       10.10.100.143

www     IN      A       10.10.100.142

ftp     IN      CNAME   www

注意

区域文件创建后需要修改属组和文件权限，不然无法访问

因为named的进程属主是named的用户运行的，如果你是以root编辑的文件

named会无法访问，区域文件建议权限为640,区域文件属组改为named

named的错误检查命令

named-checkconf 检查/etc/named.conf和关联的配置文件语法问题

named-checkzone 检查zone名称以及其配置文件是否存在语法问题

状态命令

rndc status  检查当前dns服务状态

测试命令

dig [-t type] name [@server]

dig用于测试dns服务，因此，不会查询hosts文件进行解析

测试反向解析

dig -x IP @SERVER

模拟区域传送

dig -t axfr ZONE_NAME @SERVER

dig -t axfr winthcloud.com

反向区域

区域名称 网络地址反写.in-addr.arpa.

172.16.100. --> 100.16.172.in-addr.arpa.

定义区域

zone "ZONE_NAME" IN {

type {master|slave|forward};

file "网络地址.zone";

};

定义区域解析库文件

$TTL 86400

$ORIGIN 128.10.10.in-addr.arpa.

@ IN SOA ns1.winthcloud.com. admin.winthcloud.com. (

2018042201

1H

5M

7D

1D )

IN NS ns1.winthcloud.com.

IN NS ns2.winthcloud.com.

142 IN PTR ns1.winthcloud.com.

143 IN PTR ns2.winthcloud.com.

142 IN PTR www.winthcloud.com.

143 IN PTR mx1.winthcluod.com.

注意：不需要MX和A，以及AAAA记录

主从复制：

DNS从服务器作用

减轻主DNS负责名称解析的任务

注意

1. 应该为一台独立的名称服务器

2. 主服务器的区域解析库文件中必须有一条NS记录指向从服务器

3. 从服务器只须定义区域，而无须提供解析库文件，它会自动从主服务器同步生成

解析库文件应放置于/var/named/slaves目录中

4. 主服务器得允许从服务器作区域传送

5. 主从服务器时间应该同步，可通过ntp进行

6. bind程序的版本应该保持一致;如有差异，从服务器版本理应比主版本要高

从服务器配置解析库文件放在刚刚那个目录是因为这个目录已经定义了相应的权限

定义从服务器区域的方法

zone "winthcloud.com" IN {

type slave;

masters { MASTER_IP; };

file "slaves/ZONE_NAME.zone";

};

rndc 命令使用

rndc --> rndc (953/tcp)

rndc command:

reload

reload zone

retransfer zone

freeze zone

notify zone

reconfig

status

trace level

querylog

Bind 高级

子域授权: 分布式数据库

正向解析区域添加子域

ops.winthcloud.com IN NS ns1.ops.winthcloud.com.

ops.winthcloud.com IN NS ns2.ops.winthcloud.com.

ns1.ops.winthcloud.com. IN A 10.10.10.200

ns1.ops.winthcloud.com. IN A 10.10.10.201

定义转发服务器

注意：被转发的服务器需要能够为请求者做递归，否则，转发请求不予进行

1. 全部转发：凡是对非本机所有负责解析的区域的请求，统统转发给指定的服务器

Options {

forward {first|only};

fowarders { ip; };

};

first 首一次转发，如果没有回信就找根

only 一直转发，如果查询不到，不会去找根迭代

2. 区域转发：仅转发对特定的区域请求至某服务器

zone "ZONE_NAME" IN {

type forward;

forward {first|only};

forwarders { IP; };

};

注意： 关闭options段中的 dnssec功能

dnssec-enable no;

dnssec-validation no;

DNS中基础的安全相关的配置

acl 把一个或多个地址归并为一个集合，并通过一个统一的名称调用

acl ACL_name {

ip;

ip;

network/mask;

}

示例

acl mynet {

10.10.10.0/24;

192.168.1.1;

};

bind 有四个内置的acl

none 没有一个主机

any 任意主机

local 本机

localnet 本机的IP同掩码运算后得到的网络地址

注意：只能先定义，后使用，因此，其一般定义在配置文件中的options的前面

访问控制的指令

allow-query {};  允许查询的主机：白名单；

allow-transfer {}; 允许区域传送的主机: 

allow-recursion {}; 允许递归的主机

allow-update {}; 允许更新区域数据库中的内容

View功能

可以将不同的客户端发来的同样的域名解析成为不同的IP地址

一个bind服务器可定义多个view,每个view中定义一个或多个zone

每个view用来匹配一组客户端

多个view内可能需要对同一个区域进行解析，但使用不同的区域解析库文件

view VIEW_NAME {

match-clients { ip|acl };

};

注意

1. 一旦启用了view，所有的zone都只能定义在view之中

2. 仅有必要在匹配到允许递归请求的客户所在view中定义根区域

3. 客户端请求到达时，是自上而下检查每个view所服务的客户端列表

CDN Content Delivery Network

编译安装bind

isc.org

1. 解压源码文件

2. 添加用户组和用户named

3. 配置bind安装初始化

4. make | make install

bind性能测试

在源码文件中有一个文件夹queryperf此文件夹里有测试bind解析性能

./configure | make 

会产生一个queryperf执行文件

执行文件

queryperf -d /path/somefile -s Server-IP

文件内容

网址 A

网址 NS

网址 max

测试时如果打开查询追踪和不打开，性能有差别很大，查询追踪就是在日志里记录哪个客户端来

服务器这里请求解析，由于写日志需要i/o所以会导入bind性能