47.DNS and Bind.md · cqbscxh/Linux学完就忘系列

### DNS and BIND

### BIND的安装配置  
BIND:Berkeley Internet Name Domain,ISC.org  
dns:协议  
bind:dns协议的一种实现  
named:bind程序运行的进程名

### 程序包:  
bind-libs:被bind和bind-utils包中的程序共同用到的库文件;  
bind-utils:bind客户端程序集,例如dig,host,nslookup等;  
bind:提供的dns server程序、以及几个常用的测试程序;  
bind-chroot:选装,让named运行于jail模式下;

```shell
#查看bind的简要信息
yum info bind
#查看bind相关的包
yum list all bind*
#查看bind-libs所安装的库文件
rpm -ql bind-libs
#查看bind-utils所安装的程序
rpm -ql bind-utils
#查看bind-utils的简要信息
yum info bind-utils
#查看bind的简要信息
yum info bind
```

### bind:  
#### 主配置文件:/etc/named.conf  
或包含进来其它文件:  
/etc/named.iscdlv.key  
/etc/named.rfc1912.zones  
/etc/named.root.key

```shell
#安装bind
yum install -y bind
#查看bind的安装文件
rpm -ql bind
```

### 解析库文件:  
/var/named/目录下;  
一般名字为:ZONE_NAME.zone

注意:  
(1) 一台DNS服务器可同时为多个区域提供解析;  
(2) 必须要有根区域解析库文件:named.ca;  
(3) 还应该有两个区域解析库文件:localhost和127.0.0.1的正反向解析库;  
正向解析库named.localhost  
```shell
cat /var/named/named.localhost
```
反向解析库：named.loopback  
```shell
cat /var/named/named.loopback
```

#### rndc:remote name domain controller  
rndc工作在tcp的53端口,默认监听于127.0.0.1地址,因此仅允许本地使用;

### bind程序安装完成之后,默认即可做缓存名称服务器使用;如果没有专门负责解析的区域,直接即可启动服务;    
CentOS 6:`service named start`    
CentOS 7:`systemctl start named.service`  
  
### 主配置文件格式(/etc/named.conf):  
全局配置段:  
options{...}  
日志配置段:    
logging{...}  
区域配置段:  
zone{...}  
那些由本机负责解析的区域,或转发的区域;

注意:每个配置语句必须以分号结尾;

### 缓存名称服务器的配置:  
`vim /etc/named.conf`
监听能与外部主机通信的地址;  
监听特定地址:`listen-on port 53{ 192.168.147.152; };`(注意{}内的文本前后必须要有空格)

学习时,建议关闭dnssec  
```shell
dnssec-enable no;  
dnssec-validation no;  
dnssec-lookaside no;  
```

把关闭仅允许本地查询,注释掉;(这样就允许所有DNS到本机查询,这是默认选项)  
```
//allow-query { localhost }
```

检查配置文件语法错误:  
```shell
#不指定配置文件默认为检查/etc/named.conf
named-checkconf
#指定检查的配置文件
named-checkconf /etc/named.conf
```

启动服务  
```shell
#启动服务
systemctl start named.service
#查看状态
systemctl status named.service
#查看tcp和udp的53号端口侦听是否是named
ss -tunlp
```

修改dns配置文件`vim /etc/resolv.conf`  
```shell
#修改dns地址为192.168.147.152
nameserver 192.168.147.152
```

确保防火墙是关闭的:  
```shell
#查看防火墙规则
iptables -L -n
#清空防火墙规则
iptables -F
#停止防火墙
systemctl stop firewalld
#禁止防火墙开机自启动
systemctl disable firewalld
```

测试工具:  
dig,host,nslookup等

dig命令:  
dig [-t RR_TYPE] name [@SERVER] [query options]  
用于测试dns系统,因此其不会查询hosts文件;  
查询选项:  
+[no]trace:跟踪解析过程;  
+[no]recurse:进行递归解析;

反向解析测试  
dig -x ip

模拟完全区域传送:  
dig -t axfr DOMAIN [@server]

```shell
#没有写@server表示通过本机作为DNS服务器测试
dig -t A www.baidu.com  
dig -t A www.sina.com

#+trace跟踪正向解析过程
dig +trace -t A www.baidu.com

#反向解析测试
dig -x 180.76.76.95
```

host命令:  
host [-t RR_TYPE] name SERVER_IP  
SERVER_IP:代表指定DNS服务器IP测试,不指定表示通过本机作为DNS服务器测试  
```shell
#查询A记录对应的ip
host -t A www.baidu.com
#查询百度这个域的域名服务器
host -t NS baidu.com
#查询百度这个域的邮件服务器
host -t MX baidu.com
```

nslookup命令:  
nslookup [-options]

交互式模式:  
nslookup>  
server IP:以指定的IP为DNS服务器进行查询;  
set q=RR_TYPE:要查询的资源记录类型;  
name:要查询的名称;

```shell
#进入交互模式
nslookup 
#指定IP对应的DNS服务器来查询
server 192.168.147.2
#设置查询A记录类型
set q=A
#查询sohu的A记录
www.sohu.com
#退出
exit
```

rndc命令:named服务控制命令  
```shell
#查看服务器状态
rndc status
#清空缓存
rndc flush  
```

### 配置解析一个正向区域:  
以baidu.com域为例:

(1) 定义区域  
在主配置文件中或主配置文件辅助配置文件中实现;  
格式如下:  
```shell
zone "ZONE_NAME" IN {
     type {master|slave|hint|forward};     
     file "ZONE_NAME.zone";  
}
```

注意:区域名字(ZONE_NAME)即为域名;

(2) 建立区域数据文件(主要记录为A或AAAA记录)  
在/var/named目录下建立区域数据文件;  
以下示例建立了:/var/named/baidu.com.zone区域数据文件

权限及属组修改:  
```shell
cd /var/named/
chgrp named baidu.com.zone
chmod o= baidu.com.zone
```

检查语法错误:  
named-checkconf  
named-checkzone ZONE_NAME ZONE_FILE

(3) 让服务器重载配置文件和区域数据文件  
`rndc reload`或者`systemctl reload named.service`

编辑配置文件`vim /etc/named.rfc1912.zones`在末尾加入如下:  
```shell
zone "baidu.com" IN {
      type master;
      file "baidu.com.zone";
};
```

创建对应的区域数据库文件,默认路径在/var/named下:  
```shell
cd /var/named
```
编辑文件如下:`vim baidu.com.zone`:  
```shell
$TTL 3600
$ORIGIN baidu.com.
@     IN     SOA   ns1.baidu.com.   dnsadmin.baidu.com.  (
             2019082701
             1H
             10M
             3D
             1D  )
      IN     NS    ns1
      IN     MX 10 mx1
      IN     MX 20 mx2
ns1   IN     A     192.168.147.152
mx1   IN     A     192.168.147.153
mx2   IN     A     192.168.147.154
www   IN     A     192.168.147.152
web   IN     CNAME www
bbs   IN     A     192.168.147.155
bbs   IN     A     192.168.147.156
```

`$TTL 3600`:(Time To Live)单位是秒;  
`$ORIGIN baidu.com.`:域,比如以下ns1、mx1、mx2后面没写会自动补全这个ORIGIN的这个域;

检查主配置文件是否有语法错误:  
```shell
#修改权限,将属组改成named
chown :named /var/named/baidu.com.zone
#修改其他用户没有任何权限
chmod o= /var/named/baidu.com.zone
#检查主配置文件
named-checkconf
#检查区域数据库文件
named-checkzone baidu.com /var/named/baidu.com.zone
#完成整个区域内容重载
rndc reload
#通过指定本机作为DNS服务器来解析A记录
dig -t A www.baidu.com @192.168.18.146
#通过指定本机作为DNS服务器来解析A记录,使用主机名web.baidu.com
dig -t A web.baidu.com @192.168.18.146
#通过指定本机作DNS服务器来解析A记录,使用主机名bbs.baidu.com
dig -t -A bbs.baidu.com @192.168.18.146
#host来解析,并指定146作为DNS服务器
host -t A bbs.baidu.com 192.168.18.146
#解析ns记录
dig -t NS baidu.com
#解析mx记录
dig -t MX baidu.com
#host来解析mx记录
ost -t MX baidu.com
```

### 配置解析一个反向区域

(1) 定义区域  
在主配置文件中或主配置文件辅助配置文件中实现;  
格式如下:  
```shell
zone "ZONE_NAME" IN {
     type {master|slave|hint|forward};     
     file "ZONE_NAME.zone";  
}
```
注意:反向区域的名字是反写的网段地址.in-addr.arpa  
18.168.192.in-addr.arpa

(2) 定义区域解析库文件(主要记录为PTR)

(3) 让服务器重载配置文件和区域数据文件

示例:区域区域名称为:18.168.192.in-addr.arpa:   
编辑:`vim /etc/named.rfc1912.zones`文件,在末尾新增如下:  
```shell
zone "18.168.192.in-addr.arpa" IN {
      type master;
      file "192.168.18.zone";
};
```

```shell
cd /var/named/
```
编辑区域解析库文件`vim 192.168.18.zone`文件:  
```shell
$TTL 3600
$ORIGIN 18.168.192.in-addr.arpa.
@       IN      SOA     ns1.kecloud.com.         nsadmin.kecloud.com.(
                2019082701
                1H
                10M
                3D
                12H )
        IN      NS      ns.kecloud.com.
67      IN      PTR     ns.kecloud.com.
68      IN      PTR     mx1.kecloud.com.
69      IN      PTR     mx2.kecloud.com.
70      IN      PTR     bbs.kecloud.com.
71      IN      PTR     bbs.kecloud.com.
67      IN      PTR     www.kecloud.com.
```

```shell
#修改属组
chgrp named /var/named/192.168.18.zone
#修改权限
chmod o= /var/named/192.168.18.zone
#检查主配置文件
named-checkconf
#检查区域数据库文件
named-checkzone 18.168.192.in-addr.arpa  /var/named/192.168.18.zone
#完成整个区域内容重载
rndc reload
#查看dns服务器状态,number of zones选项值加了1
rndc status
#反向解析IP
dig -x 192.168.18.67
```

### 主从服务器:  
注意:从服务器时区域级别的概念;

配置一个从区域:  
On Slave  
(1) 定义区域  
定义一个从区域,格式如下:;  
```shell
zone "ZONE_NAME" IN { 
      type slave;  
      file "slaves/ZONE_NAME.zone";  
      masters { MASTER_IP; };
};
```

配置文件语法检查:`named-checkconf`

(2) 重载配置  
```shell
rndc reload  
systemctl reload named.service  
```

On Master  
(1) 确保区域数据文件中为每个从服务配置NS记录,并且在正向区域文件中,为每个从服务器的NS记录的主机名配置一个A记录,且此A后面的地址为真正的从服务器的IP地址;

注意:主从DNS服务器时间要同步;(多台服务器基于某种特定的应用同时协调的进程和服务都应该做时间同步)  
ntpdate命令;

```shell
#新开一台IP为192.168.147.212作为DNS从服务器,并安装bind
yum install -y bind
#编辑DNS服务器的主配置文件,让其能监听到外部IP地址上
vim /etc/named.conf
```
在配置文件中新增一个地址192.168.147.212,并关闭dnssec功能:  
```shell
listen-on port 53 { 127.0.0.1; 192.168.147.212; };

dnssec-enable no;
dnssec-validation no;
dnssec-lookaside no;
```

把关闭仅允许本地查询,注释掉;(这样就允许所有DNS到本机查询,这是默认选项)  
```
//allow-query { localhost }
```

检查配置文件语法错误并启动named服务:  
```shell
#检查主配置文件是否有语法错误
named-checkconf
#启动dns服务
systemctl start named.service
#查看dns服务状态
systemctl status named.service
```
编辑配置文件,将其配置为正向区域的从服务器,`vim /etc/named.rfc1912.zones`,在末尾加入如下配置:  
```shell
zone "baidu.com" IN {
        type slave;
        file "slaves/baidu.com.zone";
        masters { 192.168.147.152; };
};
```
检查配置文件语法错误:`named-checkconf`

到主DNS服务器IP为192.168.147.152加一条ns记录`vim /var/named/baidu.com.zone`:
![](https://images.gitee.com/uploads/images/2019/0828/140421_f7af12b8_1479682.png)  
检查主服务器区域配置文件是否存在错误,并让服务器重载配置文件和区域数据文件:  
```shell
#检查主服务器区域配置文件是否存在错误
named-checkzone baidu.com /var/named/baidu.com.zone
#让服务器重载配置文件和区域数据文件
rndc reload
#查看状态,有选项为server is up and running表示启动正常
rndc status
```

回到从服务器212  
```shell
#让服务器重载配置文件和区域数据文件
rndc reload
#查看dns服务器状态,可以看到日志中有如下字样,表示传输完成
#transfer of 'baidu.com/IN' from 192.168.147.152#53: Transfer completed: .....
systemctl status named.service
#查看主DNS服务器传过来的区域数据库文件
ll /var/named/slaves/
#查看传输过来的文件是二进制格式
cat /var/named/slaves/baidu.com.zone
#使用从服务器做解析测试
dig -t A www.baidu.com @192.168.147.212
```

切换到主服务器152  
编辑`vim /var/named/baidu.com.zone`文件,加入A记录pop3,并修改版本号:  
![](https://images.gitee.com/uploads/images/2019/0828/143716_4587d1e5_1479682.png)

```shell
#让服务器重载配置文件和区域数据文件
rndc reload
#查看状态
systemctl status named.service
```

切换到从服务器212,查看dns服务状态:    
![](https://images.gitee.com/uploads/images/2019/0828/144616_7dd896b6_1479682.png)
```shell
#对新增的pop3做解析测试
dig -t -A pop3.baidu.com @192.168.147.212
```
手动测试区域传送:  
```shell
#测试从主DNS服务器152，向子DNS服务器212上做区域传送
dig -t axfr baidu.com @192.168.147.152
```

### 子域授权:  
正向解析的区域授权子域的方法:  
```shell
ops.baidu.com.       IN   NS   ns1.ops.baidu.com.  
ops.baidu.com.       IN   NS   ns1.ops.baidu.com.  
ns1.ops.magedu.com.  IN   A    IP.AD.DR.ESS(主子域名称服务器的IP地址)  
ns2.ops.magedu.com.      IN   NS   IP.AD.DR.ESS(次子域名称服务器的IP地址)  
```

修改主DNS服务器192.168.147.152区域数据库文件:`vim /var/named/baidu.com.zone`:  
![](https://images.gitee.com/uploads/images/2019/0828/173902_59f1e76c_1479682.png)
```shell
#让服务器重载配置文件和区域数据文件
rndc reload
```

切换到192.168.147.139服务器作子域DNS服务器  
```shell
#安装bind程序
yum install bind -y
#编辑DNS服务器的主配置文件,让其能监听到外部IP地址上
vim /etc/named.conf
```

在配置文件中新增一个地址192.168.147.139,并关闭dnssec功能:  
```shell
listen-on port 53 { 127.0.0.1; 192.168.147.139; };

dnssec-enable no;
dnssec-validation no;
dnssec-lookaside no;
```

把关闭仅允许本地查询,注释掉;(这样就允许所有DNS到本机查询,这是默认选项)  
```
//allow-query { localhost }
```

启动服务和查看状态:  
```shell
systemctl start named.service
systemctl status named.service
#查看53号端口ip是否是192.168.147.139
ss -tnlp
```

编辑配置文件,添加子域,`vim /etc/named.rfc1912.zones`,末尾添加如下:  
```shell
zone "ops.baidu.com" IN {
        type master;
        file "ops.baidu.com.zone";
};
```

创建区域解析库`vim /var/named/ops.baidu.com.zone`:
```shell
$TTL 3600
$ORIGIN ops.baidu.com.
@       IN      SOA     ns1.ops.baidu.com.      nsadmin.ops.baidu.com.  (
                2019082801
                1H
                10M
                1D
                2H )
        IN      NS      ns1
ns1     IN      A       192.168.147.139
www     IN      A       192.168.147.139
```

```shell
#修改权限
chmod o= /var/named/ops.baidu.com.zone
chgrp named /var/named/ops.baidu.com.zone
#让服务器重载配置文件和区域数据文件
rndc reload
#解析测试
dig -t A www.ops.baidu.com @192.168.147.139
```

定义转发:  
注意:被转发的服务器必须允许为当前服务器做递归;  
(1) 区域转发:仅转发对某特定区域的解析请求;   
格式:   
```shell
zone "ZONE_NAME" IN {
    type forward;
    forward {first|only};
    forwarders { SERVER_IP; }
};
```
first:首先转发;转发器不响应时,自行去迭代查询;  
only:只转发;

对于子域而言,由于它不知道父域在什么地方,我们可以定义区域转发,这样就不用专门去找根DNS服务器去查询  
编辑:`vim /etc/named.rfc1912.zones`,在末尾加入:  
```shell
zone "baidu.com" IN {
        type forward;
        forward only;
        forwarders { 192.168.147.152; 192.168.147.212; };
};
```

```shell
#检查主配置文件语法错误
named-checkconf
#完成整个区域内容重载
rndc reload
```

切换到主DNS的服务器152  
父域解析子域测试:  
```shell
dig -t A www.ops.baidu.com @192.168.147.152
```

切换到子域服务器139  
子域解析父域测试
```shell
dig -t A www.baidu.com @192.168.147.139
```

(2) 全局转发:针对凡本地没有通过zone定义的区域查询请求,通通转发给某转发器;  
格式:  
```shell
options{
    ... ...   
    forward {only|first};  
    forwarders { SERVER_IP; };  
};
```

编辑配置文件:`vim /etc/named.conf`,在options选项中加入:  
```shell
forward only;
forwarders { 192.168.147.152; };
```

```shell
rndc reload
#这样子域服务器不是自己解析的内容转发给152解析
dig -t A www.sina.com.cn @192.168.147.139
```

### bind中的安全相关的配置:  
acl:访问控制列表;把一个或多个地址归并一个命名的集合,随后通过此名称即可对此集合内的所有主机实现统一调用;  
格式:  
```shell
acl acl_name{
   ip;  
   net/prelen;  
};
```

示例:  
```shell
acl mynet{
    192.168.147.0/24;
    127.0.0.0/8;
};
```

bind有四个内置的acl  
none:没有一个主机;  
any:任意主机;  
local:本机;  
localnet:本机所在的IP所属的网络;

访问控制指令:  
allow-query {};允许查询的主机;白名单;  
allow-transfer{};允许向哪些主机做区域传送;默认为向所有主机;应该配置仅允许从服务器;  
allow-recursion{};允许哪些主机向当前DNS服务器发起递归查询请求;  
allow-update{};DDNS,允许动态更新区域数据库文件中内容;

cqbscxh/Linux学完就忘系列

About

Releases

Contributors

Activities

cqbscxh/Linux学完就忘系列 .gitee-modal { width: 500px !important; }

About

Releases

Contributors

Activities

Search

cqbscxh/Linux学完就忘系列