码迷,mamicode.com
首页 > 其他好文 > 详细

DNS服务

时间:2018-06-25 01:16:07      阅读:1899      评论:0      收藏:0      [点我收藏+]

标签:smt   mkdir   dns服务   51cto   exp   col   写法   简写   目录   

技术分享图片


本章内容

名字解析

DNS服务

实现主从服务器

实现子域

实现view

编译安装

压力测试

DNS排错

 

DNS服务

DNS:Domain Name Service 应用层协议

C/S,53/udp, 53/tcp

BINDBekerley Internat Name Domain

ISC www.isc.org

本地名称解析配置文件:hosts

/etc/hosts

%WINDIR%/system32/drivers/etc/hosts

122.10.117.2 www.abc.com

93.46.8.89 www.google.com

 

FQDN:全称域名

例:www.qq.com

       www:主机名,或者别名

       qq.comdomain       域名

分散式:/etc/hosts

集中式:NIS

分布式(既分散又集中):DNS

 

DNS域名

根域

一级域名:Top Level Domain: tld

com, edu, mil, gov, net, org, int,arpa

三类:组织域、国家域(.cn, .ca, .hk, .tw)、反向域

二级域名

三级域名

最多127级域名

ICANNThe Internet Corporation for Assigned Names and Numbers)互联网名称与数字地址分配机构,负责在全球范围内对互联网通用顶级域名(gTLD)以及国家和地区顶级域名(ccTLD)系统的管理、以及根服务器系统的管理

 

DNS解析

DNS查询类型:

递归查询(负责到底,例如小区的DNS服务器)

迭代查询(不负责到底,例如根服务器)

名称服务器:域内负责解析本域内的名称的主机

根服务器:13组服务器,对应13IP地址,每个IP地址都是1个根服务器集群,其中美国10个,日本1个,荷兰1个,瑞典1

解析类型:

FQDN --> IP  正向解析

IP --> FQDN  反向解析

注意:正反向解析是两个不同的名称空间,是两棵不同的解析树

 

DNS服务器类型

DNS服务器的类型:

DNS服务器

DNS服务器

缓存DNS服务器(转发器)

DNS服务器:管理和维护所负责解析的域内解析库的服务器

DNS服务器:从主服务器或从服务器“复制”(区域传输)解析库副本

序列号:解析库版本号,主服务器解析库变化时,其序列递增

刷新时间间隔:从服务器从主服务器请求同步解析的时间间隔

重试时间间隔:从服务器请求同步失败时,再次尝试时间间隔

过期时长:从服务器联系不到主服务器时,多久后停止服务

“通知”机制:主服务器解析库发生变化时,会主动通知从服务器

 

区域传输

区域传输:

完全传输:传送整个解析库

增量传输:传递解析库变化的那部分内容

Domain: Fully Qualified Domain Name

正向:FQDN --> IP

反向: IP --> FQDN

负责本地域名的正向和反向解析库

正向区域

反向区域

 

DNS解析

一次完整的查询请求经过的流程:

Client -->hosts文件 -->DNS Service Local Cache --> DNS Server (recursion) --> Server Cache --> iteration(迭代) --> --> 顶级域名DNS-->二级域名DNS

解析答案:

肯定答案:

否定答案:请求的条目不存在等原因导致无法返回结果

权威答案:

非权威答案:

 

资源记录

区域解析库:由众多RR组成:

资源记录:Resource Record, RR

记录类型:A, AAAA, PTR, SOA, NS, CNAME, MX

SOAStart Of Authority,起始授权记录;一个区域解析库有且仅能有一个SOA记录,必须位于解析库的第一条记录

Ainternet Address,作用,FQDN --> IP

AAAA: FQDN --> IPv6

PTR: PoinTeRIP --> FQDN

NS: Name Server,专用于标明当前区域的DNS服务器

CNAMECanonical Name,别名记录

MX: Mail eXchanger,邮件交换器

 

资源记录定义的格式:

语法:name [TTL] IN rr_type value

注意:

(1) TTL可从全局继承

(2) @可用于引用当前区域的名字

(3) 同一个名字可以通过多条记录定义多个不同的值;此时DNS服务器会以轮询方式响应

(4) 同一个值也可能有多个不同的定义名字;通过多个不同的名字指向同一个值进行定义;此仅表示通过多个不同的名字可以找到同一个主机

 

SOA记录

name: 当前区域的名字,例如“abc.com.

value: 有多部分组成

(1) 当前区域的主DNS服务器的FQDN,也可以使用当前区域的名字;

(2) 当前区域管理员的邮箱地址;但地址中不能使用@符号,一般用.替换,例如linuxedu.abc.com

(3) 主从服务区域传输相关定义以及否定的答案的统一的TTL

例如:

abc.com. 86400 IN SOA ns.abc.com. nsadmin.abc.com. (

       2018042201        ;序列号,10位及以下

       2H                       ;刷新时间

       10M                     ;重试时间

       1W                       ;过期时间

       1D                       ;否定答案的TTL

)

 

NS记录

name: 当前区域的名字

value: 当前区域的某DNS服务器的名字,例如ns.abc.com.

注意:一个区域可以有多个NS记录

例如:

abc.com. IN NS ns1.abc.com.

abc.com. IN NS ns2.abc.com.

注意:

(1) 相邻的两个资源记录的name相同时,后续的可省略 (2) NS记录而言,任何一个ns记录后面的服务器名字,都应该在后续有一个A记录

 

MX记录

name: 当前区域的名字

value: 当前区域的某邮件服务器(smtp服务器)的主机名

一个区域内,MX记录可有多个;但每个记录的value之前应该有一个数字(0-99),表示此服务器的优先级;数字越小优先级越高

例如:

abc.com.      IN MX 10 mx1.abc.com.

                            IN MX 20 mx2.abc.com.

注意:

(1) MX记录而言,任何一个MX记录后面的服务器名字,都应该在后续有一个A记录

 

A记录

name: 某主机的FQDN,例如www.abc.com.

value: 主机名对应主机的IP地址

例如:

www.abc.com.           IN           A            1.1.1.1

www.abc.com.           IN           A            2.2.2.2

mx1.abc.com.            IN           A            3.3.3.3

mx2.abc.com.            IN           A            4.4.4.4

$GENERATE 1-254 HOST$                     A            1.2.3.$ ;表示HOST1-254.abc.com分别对应1.2.3.1-254,就像循环一样

*.abc.com. IN A 5.5.5.5 ;略写:* A 5.5.5.5

abc.com. IN A 6.6.6.6 ;略写:@ A 6.6.6.6

避免用户写错名称时给错误答案,可通过泛域名解析进行解析至某特定地址

 

其它记录

AAAA:

name: FQDN

value: IPv6

PTR:

name: IP,有特定格式,把IP地址反过来写,1.2.3.4,要写作4.3.2.1;而有特定后缀:in-addr.arpa.,所以完整写法为:4.3.2.1.in-addr.arpa.

value: FQDN

例如:

4.3.2.1.in-addr.arpa. IN PTR www.abc.com.

1.2.3为网络地址,可简写成:

4 IN PTR www.abc.com.

注意:网络地址及后缀可省略;主机地址依然需要反着写

 

别名记录

CNAME

name: 别名的FQDN

value: 真正名字的FQDN

例如:

www.abc.com. IN CNAME websrv.abc.com.

 

子域

子域授权:每个域的名称服务器,都是通过其上级名称服务器在解析库进行授权

类似根域授权tld

.com. IN NS ns1.com.

.com. IN NS ns2.com.

ns1.com. IN A 2.2.2.1

ns2.com. IN A 2.2.2.2

abc.com. .com的名称服务器上,解析库中添加资源记录

abc.com. IN NS ns1.abc.com.

abc.com. IN NS ns2.abc.com.

abc.com. IN NS ns3.abc.com.

ns1.abc.com. IN A 3.3.3.1

ns2.abc.com. IN A 3.3.3.2

ns3.abc.com. IN A 3.3.3.3

glue record:粘合记录,父域授权子域的记录

 

互联网域名

域名注册:

代理商:万网, 新网, godaddy

注册完成以后,想自己用专用服务来解析

管理后台:把NS记录指向的服务器名称,和A记录指向的服务器地址

 

阿里云DNS

 技术分享图片

 

阿里云DNS

 技术分享图片

 

BIND安装

BIND的安装配置:

dns服务程序包:bindunbound

程序名:namedunbound

程序包:yum list all bind*

bind:服务器

bind-libs:相关库

bind-utils:客户端

bind-chroot: /var/named/chroot/

 

bind服务器

服务脚本和名称:/etc/rc.d/init.d/named /usr/lib/systemd/system/named.service

主配置文件:/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key

解析库文件:/var/named/ZONE_NAME.ZONE

注意:

(1) 一台物理服务器可同时为多个区域提供解析

(2) 必须要有根区域文件;named.ca

(3) 应该有两个(如果包括ipv6的,应该更多)实现localhost和本地回环地址的解析库

rndc: remote name domain controller

默认与bind安装在同一主机,且只能通过127.0.0.1连接named进程

提供辅助性的管理功能;953/tcp

 

配置文件

主配置文件:

全局配置:options {};

日志子系统配置:logging {};

区域定义:本机能够为哪些zone进行解析,就要定义哪些zone

zone "ZONE_NAME" IN {};

注意:任何服务程序如果期望其能够通过网络被其它主机访问,至少应该监听在一个能与外部主机通信的IP地址上

缓存名称服务器的配置:

监听外部地址即可

dnssec: DNS安全扩展,建议关闭dnssec,设为no

 

配置主DNS服务器

DNS名称服务器:

(1) 在主配置文件中定义区域

zone "ZONE_NAME" IN {

type {master|slave|hint|forward};

file "ZONE_NAME.zone";

};

(2) 定义区域解析库文件

出现的内容

宏定义

资源记录

主配置文件语法检查:

named-checkconf

解析库文件语法检查:

named-checkzone "abc.com" /var/named/abc.com.zone

rndc status|reload ;service named reload

 

实验:用3台虚拟机,192.168.30.6-8/24做实验,将其中192.168.30.8这台配置为主DNS服务器

 

vim /etc/named.conf

修改以下这两行为这个值

options {

        listen-on port 53 { localhost; };

        allow-query     { localhost;any; };

}

或者直接把这两行注释掉

技术分享图片

 

vim /etc/named.rfc1912.zones

添加如下内容

zone "abc.com" IN {

        type master;

        file "abc.com.zone";

};

技术分享图片

 

copy -p /var/named/named.localhost /var/named/abc.com.zone

named.localhost为模板复制一份abc.com.zone,注意文件的所有者所属组等权限问题!

 

主区域示例

vim /var/named/abc.com.zone

$TTL 1D

$ORIGIN abc.com.

       @ IN SOA dns1.abc.com. admin.abc.com(邮箱,不能用@符号) (

                                                 2018061001 ;序列号

                                                 1D;刷新时间

                                                 1H ;重试时间

                                                 1W ;过期时间

                                                 3H ) ;否定答案的TTL

               IN NS   dns1

        IN NS   dns2

        IN MX   10      mx1

        IN MX   20      mx2

dns1    IN A    192.168.30.8

dns2    IN A    192.168.30.7

mx1     IN A    192.168.30.6

mx2     IN A    192.168.30.7

websrv  IN A    192.168.30.6

websrv  IN A    192.168.30.7

www     IN CNAME        websrv

 技术分享图片

 

service named start  #启动DNS服务

dig www.abc.com @127.0.0.1  #在本机上测试,解析成功

技术分享图片

 

测试命令dig

dig [-t type] name [@SERVER] [query options]

dig只用于测试dns系统,不会查询hosts文件进行解析

查询选项:

+[no]trace:跟踪解析过程 : dig +trace abc.com

+[no]recurse:进行递归解析

测试反向解析:

dig -x IP = dig -t ptr reverseip.in-addr.arpa

模拟区域传送:

dig -t axfr ZONE_NAME @SERVER

dig -t axfr abc.com @10.10.10.11

dig -t axfr 100.1.10.in-addr.arpa @172.16.1.1

dig -t NS . @114.114.114.114

dig -t NS . @a.root-servers.net

 

测试命令

host [-t type] name [SERVER]

host -t NS abc.com 172.16.0.1

host -t soa abc.com

host -t mx abc.com

host -t axfr abc.com

host 1.2.3.4

nslookup命令: nslookup [-option] [name | -] [server]

?交互式模式:

nslookup>

server IP: 指明使用哪个DNS server进行查询

set q=RR_TYPE: 指明查询的资源记录类型

NAME: 要查询的名称

 

反向区域

反向区域:

区域名称:网络地址反写.in-addr.arpa.

172.16.100. --> 100.16.172.in-addr.arpa.

(1) 定义区域

zone "ZONE_NAME" IN {

type {master|slave|forward}

file "网络地址.zone"

};

(2) 定义区域解析库文件

注意:不需要MX,PTR记录为主

 

反向区域示例

vim /etc/named.rfc1912.zones

添加以下内容

zone "30.168.192.in-addr.arpa." IN {

        type master;                                                                  

        file "192.168.30.zone";

};

技术分享图片

 

vim /var/named/192.168.30.zone

$TTL 1D

@ IN SOA dns1.abc.com.  admin.abc.com. ( 1 1D 1H 1W 3H )

     NS  dns1.abc.com.

dns1.abc.com.   A       192.168.30.8

dns2.abc.com.   A       192.168.30.7

8               PTR     dns1.abc.com.

7               PTR     dns2.abc.com.

6               PTR     websrv.abc.com.

7               PTR     websrv.abc.com.

6               PTR     mx1.abc.com.

7               PTR     mx2.abc.com.

技术分享图片

注意文件权限!

 

systemctl reload named  #重新加载named服务


dig -x 192.168.30.6 @127.0.0.1  #测试,反向解析成功

技术分享图片


windows上测试

windows cmd>nslookup

>server 192.168.30.8

>set q=ptr

>192.168.30.7

技术分享图片

 

例:

dig -t ns . @a.root-servers.net  #查看根域

这也是/etc/named.ca的内容,如果/etc/named.ca丢失,可dig -t ns . @a.root-servers.net > /etc/named.ca重新生成

 

允许动态更新

指定的zone语句块中:Allow-update {any;};  #可以写192.168.30.0/24

chmod 770 /var/named

setsebool -P named_write_master_zones on

systemctl reload named

nsupdate

?>server 127.0.0.1

?>zone abc.com

?>update add ftp.abc.com 88888 IN A 8.8.8.8

?>send

?>update delete www.abc.com A

?>send

测试:dig ftp.abc.com @127.0.0.1

ll /var/named/abc.com.zone.jnl

named-journalprint abc.com.zone.jnl

这个日志文件过一会儿才会更新进abc.com.zone

cat /var/named/abc.com.zone

 

从服务器

1、应该为一台独立的名称服务器

2、主服务器的区域解析库文件中必须有一条NS记录指向从服务器

3、从服务器只需要定义区域,而无须提供解析库文件;解析库文件应该放置于/var/named/slaves/目录中

4、主服务器得允许从服务器作区域传送

5、主从服务器时间应该同步,可通过ntp进行;

6bind程序的版本应该保持一致;否则,应该从高,主低

定义从区域的方法:

zone "ZONE_NAME" IN {

       type slave;

       masters { MASTER_IP; };

       file "slaves/ZONE_NAME.zone";

};

 

例:

在主服务器

vim /etc/named.conf

       allow-transfer { slaveip; }; #添加此行,因在CentOS 6的从服务器上,/var/named/slaves目录里同步过来的解析库文件是明文的,可随便查看,是重大的安全隐患,因此主服务器应当只允许从服务器作区域传送

在从服务器

vim /etc/named.conf

       allow-transfer { none; };  添加此行,从服务器不允许区域传送

vim /etc/named.rfc1912.zones  添加如下内容

       zone "abc.com" IN {

               type slave;

               masters { 192.168.30.8; };

               file "slaves/abc.com.zone.slave";  

                      #这里slaves目录指/var/named/slaves目录,这个目录默认就有写权限

       };

systemctl start named

启动服务,发现在从服务器上/var/named/slaves/abc.com.zone.slave文件会随着主服务器的更新而更新,在从服务器上查询DNS也能查到了


iptables -A INPUT -p udp --dport 53 -j REJECT 关闭udp53端口,将无法被查询

iptables -A INPUT -p tcp --dport 53 -j REJECT 关闭tcpudp53端口,将无法被同步

 

rndc命令

rndc

rndc --> rndc (953/tcp)

rndc COMMAND

COMMAND:

status: 查看状态

reload: 重载主配置文件和区域解析库文件

reload zonename: 重载区域解析库文件

retransfer zonename: 手动启动区域传送,而不管序列号是否增加

notify zonename: 重新对区域传送发通知

reconfig: 重载主配置文件

querylog: 开启或关闭查询日志文件/var/log/message

trace: 递增debug一个级别

trace LEVEL: 指定使用的级别

notrace:将调试级别设置为 0

flush:清空DNS服务器的所有缓存记录

 

子域

子域授权:分布式数据库

正向解析区域子域方法

定义一个子区域:

ops.abc.com. IN NS ns1.ops.abc.com.

ops.abc.com. IN NS ns2.ops.abc.com.

ns1.ops.abc.com. IN A 1.1.1.1

ns2.ops.abc.com. IN A 1.1.1.2

fin.abc.com. IN NS ns1.fin.abc.com.

fin.abc.com. IN NS ns2.fin.abc.com.

ns1.fin.abc.com. IN A 3.1.1.1

ns2.fin.abc.com. IN A 3.1.1.2

注意:关闭dnssec功能:

vim /etc/name.conf

       dnssec-enable no;

       dnssec-validation no;

 

实验:实现子域

有三种方式

1 直接当成记录

       只有一台机的话,在abc.com.zone中直接加一条记录即可

       如直接加www.bj IN A 192.168.30.6

2 子域,本机独立域

       子域都可由一台机来管理的话,例如公司内部,可单独新建一个区域文件,例如bj.abc.com.zonesh.abc.com.zone,并在/etc/named.rfc1912.zones里添加上信息

3 委派给另一台主机维护子域

       子域由不同主机来管理的话,就需要委派了,例如互联网上com父域委派给abc.com子域。委派操作如下

 

在父域DNS服务器

关闭dnssec功能:

vim /etc/name.conf

       dnssec-enable no;

       dnssec-validation no;

       recursion no  #禁止递归:

子域委派

vim /var/named/abc.com.zone  #添加如下两行

       bj IN NS dns1.bj.abc.com

       dns1.bj IN A 192.168.30.6

rndc reload

 

在子域DNS服务器

建立bj.abc.com区域即可

vim /etc/named.rfc1912.zones  #添加以下信息

zone "bj.abc.com" IN {

       type master;

       file "bj.abc.com.zone";                                                                  

};

vim /var/named/bj.abc.com.zone  #注意文件权限

$TTL 1D

@ IN SOA dns1.bj.abc.com.  admin.bj.abc.com. ( 1 1D 1H 1W 3H )

                            NS          dns1.bj.abc.com.

dns1                    A       192.168.30.6

www                   A       192.168.30.7

 

从别的机器上dig测试父域DNS服务器,成功找到子域记录

技术分享图片

 

转发服务器

注意:被转发的服务器需要能够为请求者做递归,否则转发请求不予进行

如果DNS服务器只是在企业中用于内部解析的,不希望转到根上,则可以把递归取消掉

vim /etc/named.conf

       recursion yes|no

(1) 全局转发: 对非本机所负责解析区域的请求,全转发给指定的服务器

Options {

       forward first|only;  #first是指本机解析不了的话,优先转发到forwarders所指定的服务器,解析不了再找根,only是指forwarders的服务器解析不了就算了

       forwarders { ip;};

};

(2) 特定区域转发:仅转发对特定的区域的请求,比全局转发优先级高

zone "ZONE_NAME" IN {

       type forward;

       forward first|only;

       forwarders { ip;};

};

注意:关闭dnssec功能:

dnssec-enable no;

dnssec-validation no;

下图为192.168.30.8成功将从192.168.30.6来的DNS请求转发给192.168.30.7,并解析成功的配置

技术分享图片


bindACL

bind中基础的安全相关的配置:

acl: 把一个或多个地址归并为一个集合,并通过一个统一的名称调用

格式:

acl acl_name {

       ip;

       net/prelen;

       ……

};

示例:

acl mynet {

       172.16.0.0/16;

       10.10.10.10;

};

 

bind有四个内置的acl:

none: 没有一个主机

any: 任意主机

localhost: 本机

localnet: 本机的IP同掩码运算后得到的网络地址

注意:只能先定义,后使用;因此一般定义在配置文件中,处于options的前面

 

访问控制

访问控制的指令:

allow-query {} 允许查询的主机;白名单

allow-transfer {}:允许区域传送的主机;白名单

allow-recursion {}: 允许递归的主机,建议全局使用

allow-update {}: 允许更新区域数据库中的内容

 

智能DNS

 技术分享图片

 

CDN内容分发网络

 技术分享图片

 

bind view

CDN: Content Delivery Network内容分发网络

服务商:蓝汛,网宿,帝联等

智能DNS:

dnspod

dns.la

view:视图:实现智能DNS

一个bind服务器可定义多个view,每个view中可定义一个或多个zone

每个view用来匹配一组客户端

多个view内可能需要对同一个区域进行解析,但使用不同的区域解析库文件

 

注意:

(1) 一旦启用了view,所有的zone都只能定义在view

(2) 仅在允许递归请求的客户端所在view中定义根区域

(3) 客户端请求到达时,是自上而下检查每个view所服务的客户端列表

格式:

view VIEW_NAME {

       match-clients { testacl; };

       zone “abc.com” {

              type master;

              file “abc.com.zone”; };

       include “/etc/named.rfc1912.zones”;

};

 

实验:实现智能DNS

北京和上海分别转不同的DNS

这里以192.168.30.8这台虚拟机作为主DNS服务器,在其上

vim /etc/named.conf  #acl要放在前边

acl beijingnet {

              192.168.30.0/24;

              172.20.101.0/24;  //注意顺序,前边有的后边就不会看了,所以小的网段要往前放

};

acl shanghainet {

              172.20.0.0/16;

};

acl othernet {

              any;

};

技术分享图片


cp -p /var/named/abc.com.zone /var/named/abc.com.zone.bj

cp -p /var/named/abc.com.zone /var/named/abc.com.zone.sh

 

websrv  A  192.168.30.1-3  三个数据库里的地址改成不一样的,分别代表三个地区的websrv服务器

 

cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.bj -p

vim /etc/named.rfc1912.zones.bj

       zone "abc.com" IN {

        type master;

        file "abc.com.zone.bj";

       };

cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.sh -p

vim /etc/named.rfc1912.zones.sh

       zone "abc.com" IN {                                                    

        type master;

        file "abc.com.zone.sh";

       };

 

vim /etc/named.conf

view beijingview {

              match-clients {beijingnet;};

              include "/etc/named.rfc1912.zones.bj";  #语法1

};

view shanghaiview {

              match-clients {shanghainet;};

              zone "abc.com" {

                            type master;

                            file "abc.com.zone.sh";

              };     #语法2;两种语法都可以

};

view otherview {

              match-clients {othernet;};

              include "/etc/named.rfc1912.zones";

};

技术分享图片

把以下4行剪切到/etc/named.rfc1912.zones文件中

zone "." IN {

        type hint;

        file "named.ca";

};

view外边的倒数第二行的include "/etc/named.rfc1912.zones"这行也注释掉!


rndc reload

dig websrv.abc.com @192.168.30.X

dig websrv.abc.com @172.20.X.X

dig websrv.abc.com @127.0.0.1

可以看到,从不同的主机段查询,返回了不同的IP地址,实现了智能DNS

此处是www.abc.com而不是websrv.abc.com是因为加了CNAME别名

www  CNAME  websrv

技术分享图片 

编译安装bind

下载bind:

isc.org:

bind-9.10

bind-9.11

bind-10

编译安装bind

tar xvf bind-9.11.0a3.tar.gz

cd bind-9.11.0a3/

groupadd -r -g 53 named

useradd -r -u 53 -g 53 named

./configure --prefix=/usr/local/bind9

       --sysconfdir=/etc/named/ --without-openssl

       --disable-ipv6 --disable-chroot --enable-threads

make

make install

 

环境变量

?vim /etc/profile.d/named.sh

       export PATH=/usr/local/bind9/bin:

       /usr/local/bind9/sbin/:$PATH

库和头文件

?vim /etc/ld.so.conf.d/named.conf

       /usr/local/bind9/lib

?ldconfig -v

?ls -sv /usr/local/bind9/include /usr/include/named

man帮助

?vim /etc/man.config | /etc/man_db.conf

       MANPATH /usr/local/bind9/share/man

?man named.conf

 

vim /etc/named/named.conf

options {

       directory "/var/named/"

};

zone "." IN {

       type hint;

       file "named.ca";

};

zone "localhost" IN {

       type master;

       file “named.localhost";

       allow-update {none;};

};

zone “1.0.0.127.in-addr.arpa" IN {

       type master;

       file "named.loopback";

       allow-update {none;};

};

 

区域数据库

?mkdir /var/named

?named-checkconf

?dig +norec @a.root-servers.net > /var/named/named.ca

?vim /var/named/named.localhost

$TTL 1d

@ IN SOA localhost. admin.localhost. (

              2016061801

              1h

              5m

              7d

              1d)

IN NS localhost.

localhost. IN A 127.0.0.1

 

vim /var/named/named.loopback

$TTL 1d

@ IN SOA localhost. admin.localhost. (

              2016061801

              1h

              5m

              7d

              1d)

       NS @

A     127.0.0.1

PTR localhost.

 

设置权限

?chmod 640 /var/named/*

?chmod 640 /etc/named/named.conf

?chgrp -R named /var/named/

?chgrp named /etc/named/named.conf

启动服务和测试

?man named

?named -u named -f -g -d 3 前端级别3方式运行

?named -u named 后台运行

?killall named

?ss -tuln

?tail /var/log/message

?named -u named

 

支持rndc

?rndc reload 观察错误提示

?rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key

?tail /etc/named/rndc.conf >> /etc/named/named.conf

?killall -SIGHUP named

?rndc status

 

压力测试

/root/bind-xxx/contrib/scripts

编译压力测试工具

?cd /root/bind-xxx/contrib/queryperf

?./configure

?make

?cp queryperf /usr/local/bind9/bin

?queryperf -h

 

压力测试

压力测试

?vim test.txt

www.abc.com A

abc.com NS

abc.com MX

pop3.abc.com A

web.abc.com A

?queryperf -d test.txt -s 127.0.0.1

打开日志功能

?rndc querylog

?rndc status

?queryperf -d test.txt -s 127.0.0.1

?wc -l /var/log/message

 

DNS排错

#dig A example.com

?; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com

?;; global options: +cmd

?;; Got answer:

?;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30523

?...

?SERVFAIL:The nameserver encountered a problem while processing the query.

?可使用dig +trace排错,可能是网络和防火墙导致

NXDOMAINThe queried name does not exist in the zone.

?可能是CNAME对应的A记录不存在导致

REFUSEDThe nameserver refused the client's DNS request due to policy restrictions.

?可能是DNS策略导致

 

NOERROR不代表没有问题,也可以是过时的记录

查看是否为权威记录,flags:aa标记判断

被删除的记录仍能返回结果,可能是因为*记录存在

如:*.example.com IN A 172.25.254.254

注意“.”的使用

避免CNAME指向CNAME记录,可能产生回环

test.example.com. IN CNAME lab.example.com.

lab.example.com. IN CNAME test.example.com.

正确配置PTR记录,许多服务依赖PTR,如sshd,MTA

正确配置轮询round-robin记录

 

DNS服务

标签:smt   mkdir   dns服务   51cto   exp   col   写法   简写   目录   

原文地址:http://blog.51cto.com/13695854/2132307

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!