【子域授权】
【实验说明】：新增一台服务器ip为192.168.0.112，配置成为test.com子域（a.test.com）的主DNS
【实验验证】：子域可以实现自我管理，通过父域DNS可以查询解析子域，但子域无法查询解析父域。
【实验步骤】：
1、进行正向子域授权，只需要在父域的区域解析库中添加“胶水记录”；
[root@www ~]# vim /var/named/test.com.zone $TTL 86400 @ IN SOA ns.test.com. admin.test.com. ( 2015052613 2H 10M 7D 1D ) IN NS ns.test.com. a IN NS ns.a.test.com. #添加子域的NS记录； IN MX 10 mail.test.com. ns IN A 192.168.0.111 ns.a IN A 192.168.0.112 #添加子域的A记录； www IN A 192.168.0.113 mail IN A 192.168.0.114 web IN A 192.168.0.115 pop3 IN CNAME mail.test.com.
2、配置子域服务器的配置文件与数据库解析文件；
[root@dns ~]# vim /etc/named.rfc1912.zones #在子域服务器上配置区域；
zone "a.test.com" IN {
type master;
file "a.test.com.zone";
};
zone "0.168.192.in-addr.arpa" IN {
type master;
file "192.168.0.zone";
};
[root@dns ~]# vim /var/named/a.test.com.zone #配置正向解析库文件；
$TTL 86400;
a.test.com. IN SOA ns.a.test.com. admin.a.test.com (
2015052800
1H
5M
7D
3H )
a.test.com. IN NS ns.a.test.com.
mail IN MX 10 mail
ns IN A 192.168.0.112
mail IN A 192.168.0.118
www IN A 192.168.0.119
[root@dns ~]# vim /var/named/192.168.0.zone #配置反向解析库文件；
$TTL 86400
@ IN SOA ns.a.test.com. admin.a.test.com (
2015052800
1H
5M
7D
8H )
IN NS ns.a.test.com.
112 IN PTR ns.a.test.com.
118 IN PTR mail.a.test.com.
119 IN PTR3、通过以上两部一个简单的子域就创建好了，现在测试下；
[root@www ~]# dig -t A www.a.test.com @192.168.0.111 #在父域上测序解析子域主机； ; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.a.test.com @192.168.0.111 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 27976 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1 #看到没有flags里面没有aa，验证通过父域来解析得到的不是权威应答； ;; QUESTION SECTION: ;www.a.test.com. IN A ;; ANSWER SECTION: #解析成功！ ;; AUTHORITY SECTION: a.test.com. 86400 IN NS ns.a.test.com. ;; ADDITIONAL SECTION: ns.a.test.com. 86400 IN A 192.168.0.112 ;; Query time: 39 msec ;; SERVER: 192.168.0.111#53(192.168.0.111) ;; WHEN: Fri May 29 19:51:29 2015 ;; MSG SIZE rcvd: 81 [root@dns ~]# dig -t A www.a.test.com @192.168.0.112 #子域自己解析测试； ; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.a.test.com @192.168.0.112 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13045 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1 #flags里面有aa，验证其自己解析时得到的是权威响应； ;; QUESTION SECTION: ;www.a.test.com. IN A ;; ANSWER SECTION: #解析成功！ ;; AUTHORITY SECTION: a.test.com. 86400 IN NS ns.a.test.com. ;; ADDITIONAL SECTION: ns.a.test.com. 86400 IN A 192.168.0.112 ;; Query time: 1 msec ;; SERVER: 192.168.0.112#53(192.168.0.112) ;; WHEN: Fri May 29 19:49:40 2015 ;; MSG SIZE rcvd: 81 [root@dns ~]# dig -t A www.test.com @192.168.0.112 #通过子域DNS来解析父域服务器； ; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.test.com @192.168.0.112 ;; global options: +cmd ;; connection timed out; no servers could be reached #无法解析到，验证了子域无法解析父域；
【转发】
通过上面的实验我们可以发现，子域是不知道父域是在什么地方的，当然也就不能解析父域，那有什么办法可以解决这个问题呢？当然有，而且很简单，我们只需要配置子域转发就可以了。
[root@dns ~]# vim /etc/named.conf #编辑子域的配置文件；
options {
forward first ; #设置为转发且模式为first，还可以把模式设置为only；
#only为递归请求，如转发服务器返回目标无法解析，则接受这个结果；
#first:首先发送递归请求，如果转发服务器返回目标无法解析，则本机再次自行去查询请求；
forwarders { 192.168.0.111; };#转发至何处，具体值可以看随后补充说明；
};
[root@dns ~]# service named restart
Stopping named: . [ OK ]
Starting named: [ OK ]
[root@dns ~]# dig -t A www.test.com @192.168.0.112 #测试通过子域查询父域；
; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.test.com @192.168.0.112
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 18252
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 13, ADDITIONAL: 0
;; QUESTION SECTION:
;www.test.com. IN A
;; ANSWER SECTION:
;; Query time: 1198 msec
;; SERVER: 192.168.0.112#53(192.168.0.112)
;; WHEN: Fri May 29 20:41:09 2015
;; MSG SIZE rcvd: 257
#经过这样简单的配置，可以查询解析父域，但同时引入了另外一个问题，我们修改的是全局配置，导致
#所有通过子域的其他域查询都会转发到父域去，本不该是父域负责的解析父域都要去做，这肯定是不合
#理的，为此我们需要单独指定只有对父域的查询才转发到父域。
[root@dns ~]# vim /etc/named.rfc1912.zones #只需要在配置文件中指定针对父域进行转发；
zone "test.com" IN {
type forward;
forward first;
forwarders { 192.168.0.111; } ;
};补充说明：
访问控制：
allow-transfer {}; 定义允许传输的白名单；
allow-query {}; 定义允许查询的白名单；
allow-update {}; 定义允许更新的白名单；
allow-recursion {}; 定义允许递归的白名单；
recursion yes; 所有主机都可以递归；
bind的访问控制列表（ACL）:
内置的ACL：
none（都不允许）, any（所有都允许）, local(本机), localnet(本机所在网络)
自定义acl:
acl ACL_NAME {
ip;
ip;
network;
};
例： acl localnetwork {
172.16.0.0/16;
192.168.0.0/24;
};
allow-recursion { localnetwork; };
【视图】
根据客户端来源的不同，将同一个名称解析至不同的值，也可以叫做智能解析，我们可以把来自电信的解析到电信机房的服务器，把来自联通的请求解析到联通机房的服务器。下面我们假设我们电信机房的WEB服务器ip为192.168.0.113，联通机房的WEB服务器地址为：172.16.0.10
第一步，修改配置文件定义ACL与view;
[root@www ~]# vim /etc/named.conf
acl unicom { #定义联通的ACL，名为unicom；
192.168.0.111;
};
view "unicom" { #定义联通视图，名为unicom
match-clients { unicom; }; #匹配该选项的，使用如下区域进行解析；
zone "test.com" {
type master;
file "unicom.test.com.zone";
};
};
view "telnet" {
match-clients { any; }; #按顺序执行，只要没有匹配到unicom的都匹配该选项的，使用如下区
域进行解析；
zone "test.com" {
type master;
file "test.com.zone";
};
};第二步，创建区域库解析文件unicom.test.com与test.com,此处不在做说明演示；
第三步，测试结果；
[root@www ~]# dig -t A www.test.com @192.168.0.111 #在Ip为192.168.0.111的主机上进行查询； ; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.test.com @192.168.0.111 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39197 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1 ;; QUESTION SECTION: ;www.test.com. IN A ;; ANSWER SECTION: #、解析到了联通机房的服务器； ;; AUTHORITY SECTION: test.com. 86400 IN NS ns.test.com. ;; ADDITIONAL SECTION: ns.test.com. 86400 IN A 192.168.0.111 ;; Query time: 1 msec ;; SERVER: 192.168.0.111#53(192.168.0.111) ;; WHEN: Fri May 29 21:30:01 2015 ;; MSG SIZE rcvd: 79 [root@dns ~]# dig -t A www.test.com @192.168.0.111 #在ip为192.168.0.112的主机上进行查询； ; <<>> DiG 9.8.2rc1-RedHat-9.8.2-0.17.rc1.el6_4.6 <<>> -t A www.test.com @192.168.0.111 ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7626 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1 ;; QUESTION SECTION: ;www.test.com. IN A ;; ANSWER SECTION: #解析到了电信机房的服务器； ;; AUTHORITY SECTION: test.com. 86400 IN NS ns.test.com. ;; ADDITIONAL SECTION: ns.test.com. 86400 IN A 192.168.0.111 ;; Query time: 4 msec
好了，就实验至此，希望各位大神多多拍砖！谢谢！
本文出自 “飞奔的蜗牛” 博客，请务必保留此出处http://ljmsky.blog.51cto.com/2878/1656516
Linux下的DNS服务器配置实践（三）-子域授权、转发、视图
原文地址：http://ljmsky.blog.51cto.com/2878/1656516
