dns服务

本章概要

DNS服务
实现主从服务器
实现子域
实现view
编译安装
压力测试
DNS排错

1、DNS服务

1.1 DNS服务相关

DNS服务

DNS:Domain Name Service 应用层协议
C/S,53/udp, 53/tcp
BIND：Bekerley Internat Name Domain
ISC （www.isc.org）
本地名称解析配置文件：hosts
/etc/hosts
%WINDIR%/system32/drivers/etc/hosts
122.10.117.2 www.magedu.com
93.46.8.89 www.google.com

示例：

/etc/hosts文件的优先级高于dns
更改优先级： vim /etc/nsswitch.conf
 39 hosts:      files dns myhostname
files 是指/etc/hosts文件，dns是指dns服务，根据文件前后顺序指定优先级(在前优先级高，在后优先级低)

DNS域名

根域
一级域名：Top Level Domain: tld
com, edu, mil, gov, net, org, int,arpa
分为三类：组织域、国家域(.cn, .ca, .hk, .tw)、反向域
二级域名：如baidu.com,taobao.com,magedu.com等
三级域名：如：www.magedu.com，www.taobao.com,www.jd.com等
最多127级域名
ICANN（The Internet Corporation for Assigned Names and Numbers）互联网名称与数字地址分配机构，负责在全球范围内对互联网通用顶级域名（gTLD）以及国家和地区顶级域名（ccTLD）系统的管理、以及根服务器系统的管理

DNS解析

DNS查询类型：
递归查询:主机向本地域名服务器的查询一般都是采用递归查询。
所谓递归查询就是：如果主机所询问的本地域名服务器不知道被查询的域名的IP地址，那么本地域名服务器就以DNS客户的身份，向其它根域名服务器继续发出查询请求报文(即替主机继续查询)，而不是让主机自己进行下一步查询。因此，递归查询返回的查询结果或者是所要查询的IP地址，或者是报错，表示无法查询到所需的IP地址。
迭代查询:本地域名服务器向根域名服务器的查询的迭代查询。
迭代查询的特点：当根域名服务器收到本地域名服务器发出的迭代查询请求报文时，要么给出所要查询的IP地址，要么告诉本地服务器：“你下一步应当向哪一个域名服务器进行查询”。然后让本地服务器进行后续的查询。根域名服务器通常是把自己知道的顶级域名服务器的IP地址告诉本地域名服务器，让本地域名服务器再向顶级域名服务器查询。顶级域名服务器在收到本地域名服务器的查询请求后，要么给出所要查询的IP地址，要么告诉本地服务器下一步应当向哪一个权限域名服务器进行查询。最后，知道了所要解析的IP地址或报错，然后把这个结果返回给发起查询的主机。
名称服务器：域内负责解析本域内的名称的主机
根服务器：13组服务器
知识扩展:
ipv4 dns根服务器,全球共有13个，其中10个在美国，2个在荷兰，1个在日本
ipv6 根服务器全球共有25个,其中中国有1主3从
解析类型：
FQDN --> IP
IP --> FQDN
注意：正反向解析是两个不同的名称空间，是两棵不同的解析树
一次完整的查询请求经过的流程：
Client -->hosts文件 -->DNS Service Local Cache --> DNS Server (recursion) --> Server Cache --> iteration(迭代) --> 根--> 顶级域名DNS-->二级域名DNS…
解析答案：
肯定答案：对请求给予答复
否定答案：请求的条目不存在等原因导致无法返回结果
权威答案：由专门负责该域的服务器回复的结果
非权威答案：与权威答案相反，由不是负责该域的服务器给出的答复

DNS服务器类型

DNS服务器的类型：
主DNS服务器
从DNS服务器
缓存DNS服务器（转发器）
主DNS服务器：管理和维护所负责解析的域内解析库的服务器
从DNS服务器：从主服务器或从服务器“复制”（区域传输）解析库副本
序列号：解析库版本号，主服务器解析库变化时，其序列递增
刷新时间间隔：从服务器从主服务器请求同步解析的时间间隔
重试时间间隔：从服务器请求同步失败时，再次尝试时间间隔
过期时长：从服务器联系不到主服务器时，多久后停止服务
“通知”机制：主服务器解析库发生变化时，会主动通知从服务器

区域传输

区域传输：
完全传输：传送整个解析库
增量传输：传递解析库变化的那部分内容
* Domain: Fully Qualified Domain Name
正向：FQDN --> IP
反向：IP --> FQDN
负责本地域名的正向和反向解析库
正向区域
反向区域

1.2 资源记录

资源记录

区域解析库：由众多RR组成：
资源记录：Resource Record, RR
记录类型：A, AAAA, PTR, SOA, NS, CNAME, MX
SOA：Start Of Authority，起始授权记录；一个区域解析库有且仅能有一个SOA记录，必须位于解析库的第一条记录
A：internet Address，作用，FQDN --> IP
AAAA：FQDN --> IPv6
PTR：PoinTeR，IP --> FQDN
NS：Name Server，专用于标明当前区域的DNS服务器
CNAME ： Canonical Name，别名记录
MX：Mail eXchanger，邮件交换器
TXT：对域名进行标识和说明的一种方式，一般做验证记录时会使用此项，如：SPF（反垃圾邮件）记录，https验证等
示例：_dnsauth TXT 2012011200000051qgs69bwoh4h6nht4n1h0lr038x

资源记录定义的格式

语法格式：

name   [TTL]      IN           rr_type      value
名字   生命期   internet    资源记录类型     值

magedu.com域名的SOA记录写法：
magedu.com. 注意最后要加上"." ，否则系统会在域名后自动补上magedu.com
TTL 缓存生命期，以秒为单位，该时间统一定义，可以省略不写
IN：表示internet网络
rr_type：资源记录类型，如：SOA,A,NS
value的各项定义如下：
1、主dns服务器的名称；如果有主从dns服务器，此处写主dns服务器的名称，如：dns1.magedu.com
2、dns管理员的邮箱，在dns软件中，@符号有特殊含义，它表示本域的域名，用.来代替，因此邮箱格式为：admin.magedu.com,而不能写为admin@magedu.com
3、数据库版本号，主dns服务器的版本号是需要手动更新的，如果数据库内容有所更改，人为手动更新数据库版本号后，从dns服务器才能够从主dns服务器上获取更新的数据。另外，主服务器负责查询和修改，从服务器从主服务器获取数据，只负责查询，不能修改
从服务器数据库的更新是根据主服务器版本号来判断，如果主服务器的版本号比从版本号高，那么从服务器才会进行更新
4、主从同步时间间隔，默认以秒为单位，可指定时间单位，如一小时1h，一天1d
5、主从同步重试时间间隔，即同步失败后，隔多久进行再次同步
6、从数据库过期时长，如果一直同步失败，从服务器的数据库多久之后会过期
7、不存在的记录的缓存时长，把输入错误不存在的域名记录，如：wwww.magedu.com缓存下来，直接告知用户域名不存在，不再进行查询，节省流量
这七条记录中，第1-2条是括号前内容的定义，第3-7条是指括号内的内容定义

SOA记录

name: 当前区域的名字，例如“magedu.com.”
value: 有多部分组成
(1) 当前区域的主DNS服务器的FQDN，也可以使用当前区域的名字；
(2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般用.替换
例如：admin.magedu.com
(3) 主从服务区域传输相关定义以及否定的答案的统一的TTL

例如：

vim /var/named/magedu.com.zone
$TTL 1D            生命期，统一定义
@       IN SOA  magedu.com. admin.magedu.com. (                 @代表本域，  magedu.com.代表主dns服务器  admin.magedu.com.代表邮件服务器
                                        20180926        ; serial        版本号，注意该版本号位数不能超过10位
                                        1D      ; refresh               主从同步时间间隔
                                        1H      ; retry                 主从同步重试间隔
                                        1W      ; expire                同步失败后，数据库过期时长
                                        3H )    ; minimum               错误记录缓存时长
@       NS      dns1.magedu.com.        NS记录，表示本域的dns服务器，IN省略不写，可以从上条记录继承
dns1    A       192.168.32.129          主dns服务器的名字要配合A记录，把主dns服务器的名字解析为对应的ip地址
@       MX  10  mailsrv                 MX记录，表示邮件服务器，并指定邮件服务器的优先级
mailsrv A       192.168.32.100          邮件服务器的名字要配合A记录，把邮件服务器的名字解析为对应的ip地址
websrv1 A       192.168.32.130          
www     CNAME   websrv1                 定义websrv1服务器的别名为www
注意：如果域名不写全域后缀，系统会自动补全，如dns1相当于dns1.magedu.com，mailsrv相当于mailsrv.magedu.com等

NS记录

name: 当前区域的名字，也可以用@代替
value: 当前区域的某DNS服务器的名字，例如ns.magedu.com.
注意：一个区域可以有多个NS记录

例如：

magedu.com.   IN   NS   ns1.magedu.com.
magedu.com.   IN   NS   ns2.magedu.com.

注意：
(1) 相邻的两个资源记录的name相同时，后续的可省略
(2) 对NS记录而言，任何一个ns记录后面的服务器名字，都应该在后续有一个A记录

MX记录

name: 当前区域的名字
value: 当前区域的某邮件服务器(smtp服务器)的主机名
一个区域内，MX记录可有多个；但每个记录的value之前应该有一个数字(0-99)，表示此服务器的优先级；数字越小优先级越高

例如：

magedu.com. IN MX 10 mx1.magedu.com.
IN MX 20 mx2.magedu.com.

注意：对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录

A记录

name: 某主机的FQDN，例如www.magedu.com.
value: 主机名对应主机的IP地址

例如：

www.magedu.com.   IN   A   1.1.1.1
www.magedu.com.   IN   A   2.2.2.2
mx1.magedu.com.   IN   A   3.3.3.3
mx2.magedu.com.   IN   A   4.4.4.4
$GENERATE 1-254  HOST$ A   1.2.3.$
*.magedu.com.     IN   A   5.5.5.5
magedu.com.       IN   A   6.6.6.6

避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址
注意：A记录示例中多种写法在不同场景有不同作用，在下面会有详细示例

其他记录

AAAA:是指ipv6格式的A记录
name: FQDN
value: IPv6
PTR:反向解析记录
name: IP，有特定格式，把IP地址反过来写，1.2.3.4，要写作4.3.2.1；而有特定后缀：in-addr.arpa.，所以完整写法为：4.3.2.1.in-addr.arpa.
value: FQDN

例如：

4.3.2.1.in-addr.arpa. IN PTR www.magedu.com.
如1.2.3为网络地址，可简写成：
4 IN PTR www.magedu.com.

注意：网络地址及后缀可省略；主机地址依然需要反着写

别名记录

CNAME：
name: 别名的FQDN
value: 真正名字的FQDN
例如：
www.magedu.com. IN CNAME websrv.magedu.com.

子域

子域授权：每个域的名称服务器，都是通过其上级名称服务器在解析库进行授权
类似根域授权tld：

示例：

.com. IN NS ns1.com.
.com. IN NS ns2.com.
ns1.com. IN A 2.2.2.1
ns2.com. IN A 2.2.2.2

magedu.com. 在.com的名称服务器上，解析库中添加资源记录

示例：

magedu.com. IN NS ns1.magedu.com.
magedu.com. IN NS ns2.magedu.com.
magedu.com. IN NS ns3.magedu.com.
ns1.magedu.com. IN A 3.3.3.1
ns2.magedu.com. IN A 3.3.3.2
ns3.magedu.com. IN A 3.3.3.3

glue record：粘合记录，父域授权子域的记录

1.3 互联域名

互联网域名

域名注册：
代理商：万网, 新网, godaddy
注册完成以后，想自己用专用服务来解析
管理后台：把NS记录指向的服务器名称，和A记录指向的服务器地址

2、实现主从服务器

2.1 BIND软件介绍

在linux中，我们使用bind软件实现dns服务

BIND安装

BIND的安装配置：
dns服务程序包:bind，unbound
程序名：named，unbound
程序包：yum list all bind*
bind：服务器
bind-libs：相关库
bind-utils:客户端
bind-chroot: /var/named/chroot/

bind服务器

服务脚本和名称：/etc/rc.d/init.d/named /usr/lib/systemd/system/named.service
主配置文件：/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key
解析库文件：/var/named/ZONE_NAME.ZONE
注意：
(1) 一台物理服务器可同时为多个区域提供解析
(2) 必须要有根区域文件；named.ca
(3) 应该有两个（如果包括ipv6的，应该更多）实现localhost和本地回环地址的解析库
rndc：remote name domain controller，默认与bind安装在同一主机，且只能通过127.0.0.1连接named进程，提供辅助性的管理功能；端口号：953/tcp

配置文件

主配置文件：
全局配置：options {};
日志子系统配置：logging {};
区域定义：本机能够为哪些zone进行解析，就要定义哪些zone
zone "ZONE_NAME" IN {};
注意：任何服务程序如果期望其能够通过网络被其它主机访问，至少应该监听在一个能与外部主机通信的IP地址上
缓存名称服务器的配置：
监听外部地址即可
dnssec: 建议关闭dnssec，设为no

配置主DNS服务器

主DNS名称服务器：
(1) 在主配置文件中定义区域
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
(2) 定义区域解析库文件
出现的内容
宏定义
资源记录
主配置文件语法检查：
named-checkconf
解析库文件语法检查：
named-checkzone "magedu.com" /var/named/magedu.com.zone
rndc status|reload ;service named reload

主区域示例：

$TTL 86400
$ORIGIN magedu.com.
        @ IN SOA ns1.magedu.com. admin.magedu.com (
        2015042201
        1H
        5M
        7D
        1D )
     IN   NS   ns1
     IN   NS   ns2
     IN   MX   10 mx1
     IN   MX   20 mx2
ns1  IN   A   172.16.100.11
ns2  IN   A   172.16.100.12
mx1  IN   A   172.16.100.13
mx2  IN   A   172.16.100.14
websrv  IN  A   172.16.100.11
websrv  IN  A   172.16.100.12
www  IN  CNAME   websrv

测试命令dig

dig [-t type] name [@SERVER] [query options]
dig只用于测试dns系统，不会查询hosts文件进行解析
查询选项：
+[no]trace：跟踪解析过程 : dig +trace magedu.com
+[no]recurse：进行递归解析
测试反向解析：
dig -x IP = dig –t ptr reverseip.in-addr.arpa
模拟区域传送：
dig -t axfr ZONE_NAME @SERVER
dig -t axfr magedu.com @10.10.10.11
dig –t axfr 100.1.10.in-addr.arpa @172.16.1.1
dig -t NS . @114.114.114.114
dig -t NS . @a.root-servers.net

测试命令

host [-t type] name [SERVER]
host –t NS magedu.com 172.16.0.1
host –t soa magedu.com
host –t mx magedu.com
host –t axfr magedu.com
host 1.2.3.4
nslookup命令： nslookup [-option] [name | -] [server]
交互式模式：
nslookup >
server IP: 指明使用哪个DNS server进行查询
set q=RR_TYPE: 指明查询的资源记录类型
NAME: 要查询的名称

实验：实现magedu.com的主DNS

(1)yum install bind 
(2)vim /etc/named.conf
   listen-on port 53 { localhost; };
    allow-query     { any; };

(3)vim /etc/named.rfc1912.zones
zone "magedu.com" {
        type master;
        file "magedu.com.zone"; 
};

(4)vim /var/named/magedu.com.zone 
$TTL 1D
@       IN SOA  dns1.magedu.com. admin.magedu.com. (
                                        2018092528      ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
        NS      dns1
dns1    A       192.168.32.7
@       MX      10  mailsrv
mailsrv A       192.168.32.100
websrv1  A      192.168.32.17
www     CNAME   websrv1

(5)更改文件权限
chgrp named  /var/named/magedu.com.zone 
(6)重启服务
rndc reload 

查询邮件服务器
dig -t MX magedu.com    查询magedu.com域的邮件服务器
dig -t  ns  magedu.com    查询magedu.com的ns记录
dig  邮件服务器域名     可以查询到邮件服务器域名对应的ip地址

反向区域

反向区域：
区域名称：网络地址反写.in-addr.arpa.
192.168.32. --> 32.168.192.in-addr.arpa.
(1) 定义区域
zone "ZONE_NAME" IN {
type {master|slave|forward}；
file "网络地址.zone"
};
(2) 定义区域解析库文件
注意：不需要MX,以PTR记录为主
(3)ip地址反向解析为域名
dig -x 192.168.32.129 @192.168.32.129 反向解析
另外一种写法(不推荐):dig -t ptr 129.32.168.192.in-addr.arpa. @192.168.32.129

示例：

$TTL 86400
$ORIGIN 100.16.172.in-addr.arpa.
@    IN        SOA  ns1.magedu.com. admin.magedu.com. (
     2015042201
     1H
     5M
     7D
     1D )
     IN   NS   ns1.magedu.com.
     IN   NS   ns2.magedu.com.
11   IN   PTR  ns1.magedu.com.
11   IN   PTR  www.magedu.com.
12   IN   PTR  mx1.magedu.com.
12   IN   PTR  www.magedu.com.
13   IN   PTR  mx2.magedu.com.

实验：搭建反向解析

更改区域的域配置文件
vim /etc/named.rfc1912.zones
 29 zone "32.168.192.in-addr.arpa" {
 30         type master;
 31         file "192.168.32.zone"; 
 32 };
编辑数据库文件，可以参考named.loopback文件，注意文件权限
cp -a named.loopback 192.168.32.zone
[root@centos7-1 named]#vim 192.168.32.zone 
$TTL 1D
@ IN SOA  dns1 admin.magedu.com. (
          20181002 ; serial
          1D  ; refresh
          1H  ; retry
          1W  ; expire
          3H )  ; minimum
@     NS     dns1               NS记录，表示dns1是dns服务器
dns1  A     192.168.32.129   A记录配合把dns1域名解析为ip地址
129   PTR   dns1.magedu.com.    129后面的数据，系统会自动补全，相当于129.32.168.192.in-addr.apra
100   PTR   www.qq.com.      100相当于100.32.168.192.in-addr.apra
检查域文件
named-checkzone 32.168.192.in-addr.arpa 192.168.32.zone
重启服务
rndc reload

A记录多种写法示例：

如果登录www.magedu.com网站时，只写入magedu.com而不写www,会出现问题
在区域的域配置文件中添加一条A记录
vim /var/named/magedu.com
 15 @       A       192.168.32.130   @相当于magedu.com
注意：该记录要对应dns服务器的ip地址
curl  magedu.com

访问某网站时，写错域名也能访问
如访问京东：www.jd.com时，写错为wwwwww.jd.com也可以访问
泛域名解析：
vim /var/named/magedu.com.zone 
16 *      A        192.168.32.130   *相当于*.magedu.com
curl aaa.magedu.com

vim /var/named/magedu.com.zone 
17 $GENERATE 1-254 server$ A 3.3.3.$ 
3.3.3.$中的$符号调用servce$,而server$的范围为1-254，也就是说3.3.3.$的范围是3.3.3.(1-254),该命令可以生成254条记录
测试：
dig server1.magedu.com
解析地址为3.3.3.1
dig server100.magedu.com
解析地址为3.3.3.100

允许动态更新

指定的zone语句块中：Allow-update {any;};
chmod 770 /var/named
setsebool -P named_write_master_zones on
nsupdate

示例：

    >server 127.0.0.1
    >zone magedu.com
    >update add ftp.magedu.com 88888 IN A 8.8.8.8
    >send
    >update delete www.magedu.com A
    >send

测试：dig ftp.magedu.com @127.0.0.1
ll /var/named/magedu.com.zone.jnl
查看/var/named/magedu.com.zone文件

示例：

cat /var/named/magedu.com.zone  
zone "magedu.com" {
        type master;
        file "magedu.com.zone";
        allow-upadate {x.x.x.x}    x.x.x.x为允许更新的ip地址

};

从服务器
1、应该为一台独立的名称服务器
2、主服务器的区域解析库文件中必须有一条NS记录指向从服务器
3、从服务器只需要定义区域，而无须提供解析库文件；解析库文件应该放置于/var/named/slaves/目录中
4、主服务器得允许从服务器作区域传送
5、主从服务器时间应该同步，可通过ntp进行；
6、bind程序的版本应该保持一致；否则，应该从高，主低
定义从区域的方法：

示例：

zone "ZONE_NAME" IN {
     type slave;
     masters { MASTER_IP; };
     file "slaves/ZONE_NAME.zone";
};

实验：实现dns服务器的高可用性，搭建主从dns服务器
实现dns服务器的高可用性，搭建主从dns服务器
主服务器数据发生变化，向从服务器推送数据
触发条件：主服务器数据发生变化
从服务器从主服务器拉取数据
触发条件：时间，指定每隔多久拉取一次信息
规划如下：
192.168.32.129 主服务器
192.168.32.130 从服务器
192.168.32.128 测试服务器

更改配置文件
/etc/named.conf
//  listen-on port 53 { 127.0.0.1; };
//  allow-query     { localhost; };

配置管理域
/etc/named.rfc1912.zones
zone "magedu.com" {
        type slave;          指定从服务器类型
        masters { 192.168.32.129; };    指定主服务器ip地址
        file "slaves/magedu.com.zone.slave"  指定从服务器的库文件
};
注意：从服务器的库文件必须存放在/var/named/slaves目录下，文件中slaves/magedu.com.zone.slave是相对路径，系统会自动找到该文件

更改主服务器/var/named/magedu.com.zone
在主服务器数据库文件中添加从服务器地址
  8 @       NS      dns1          主服务器NS记录
  9 @       NS      dns2          从服务器NS记录
 10 dns1    A       192.168.32.129   A记录配合解析主服务器dns域名
 11 dns2    A       192.168.32.130   A记录配合解析从服务器dns域名 
更改后，重启服务 rndc reload

在从服务器查看文件是否从主服务器拉取过来
ls /var/named/slaves
magedu.com.zone.slave
注意：此文件可以从dns服务器获取，也可以手动创建

在测试主机网络配置文件中指定第二个dns地址
DNS1=192.168.32.129
DNS2=192.168.32.130
把主dns服务器的dns服务关闭，测试从dns服务器是否能够启动
dig www.magedu.com

在主服务器数据库文件中添加一条A记录，手动更新版本号，测试从服务器是否能够拉取主服务器已经更改的数据
bbs  A   1.1.1.1
在测试主机：
dig  bbs.magedu.com @192.168.32.130   指定从某主机查询记录

这样搭建从dns服务器存在着安全漏洞，因为从dns服务器的搭建没有经过主服务器的同意就能充当从dns服务器，连接到主dns服务器获取数据。
虽然在主服务器上/etc/named/magedu.com.zone文件中配置了一条关于从服务器NS记录和A记录，这两条记录只能影响主服务器向从服务器推送数据的操作，但并不影响从服务器向主服务器拉取数据的操作
如：dig -t axfr magedu.com仍然可以获取服务器的配置信息
解决方法：

在主dns服务器配置文件/etc/named.conf中添加策略
vim  /etc/named.conf
allow-transfer  { 192.168.32.130; }; 
此时，仍然能从从dns服务器抓取数据
在从dns服务器配置文件/etc/named.conf中添加策略
vim  /etc/named.conf
allow-transfer  { none; };

rndc命令

rndc：
rndc --> rndc (953/tcp)
rndc COMMAND
COMMAND:
reload: 重载主配置文件和区域解析库文件
reload zonename: 重载区域解析库文件
retransfer zonename: 手动启动区域传送，而不管序列号是否增加
notify zonename: 重新对区域传送发通知
reconfig: 重载主配置文件
querylog: 开启或关闭查询日志文件/var/log/message
trace: 递增debug一个级别
trace LEVEL: 指定使用的级别
notrace：将调试级别设置为 0
flush：清空DNS服务器的所有缓存记录

3、实现子域

子域

子域授权：分布式数据库
正向解析区域子域方法
定义一个子区域：

示例：

ops.magedu.com.       IN    NS    ns1.ops.magedu.com.
ops.magedu.com.       IN    NS    ns2.ops.magedu.com.
ns1.ops.magedu.com.   IN    A     1.1.1.1
ns2.ops.magedu.com.   IN    A     1.1.1.2
fin.magedu.com.       IN    NS    ns1.fin.magedu.com.
fin.magedu.com.       IN    NS    ns2.fin.magedu.com.
ns1.fin.magedu.com.   IN    A     3.1.1.1
ns2.fin.magedu.com.   IN    A     3.1.1.2

注意：关闭dnssec功能：

示例：

dnssec-enable no;
dnssec-validation no;

实验：子域的搭建
magedu.com的子域搭建

子域搭建的三种方法：
方法1：以子域：zhengzhou.magedu.com为例
如果子域访问量不大，可以拿一台服务器，既当父域magedu.com，又当子域zhengzhou.magedu.com
vim /var/named/magedu.com.zone 
20 www.zhengzhou  A  2.2.2.2   只需添加一条记录即可
在测试机进行测试：
dig www.zhengzhou.magedu.com
这种方法把www.zhengzhou.magedu.com作为一条A记录，并没有用域来实现

方法2：
以子域：shanghai.magedu.com为例
vim /etc/named.rfc1912.zones    在域文件中添加一个域
 17 zone "shanghai.magedu.com" {
 18         type master;
 19         file "shanghai.magedu.com.zone";
 20 };

[root@centos7-1 ~]#vim /var/named/shanghai.magedu.com.zone

  1 $TTL 1D
  2 @       IN SOA  dns1  admin.magedu.com. (
  3                                         20180928        ; serial
  4                                         1D      ; refresh
  5                                         1H      ; retry
  6                                         1W      ; expire
  7                                         3H )    ; minimum
  8 @       NS      dns1
  9 dns1    A       192.168.32.129
 10 websrv1 A       3.3.3.3
 11 www     CNAME   websrv1
测试：
dig www.shanghai.magedu.com

方法3：
以子域：shenzhen.magedu.com为例
主机：192.168.32.131
当dns服务器访问量过大时，需要把dns服务搭建到单独一台服务器上
这种方法称作子域委派，即把子域委派给某台服务器单独管理
在主服务器上建立委派
vim /var/named/magedu.com.zone
10 shenzhen NS     dns3           增加NS记录，表示其为子域dns服务器
13 dns3    A       192.168.32.131  A记录配合解析域名为ip地址

在子域服务器192.168.32.131上创建数据库文件/var/named/shenzhen.magedu.com.zone
[root@centos7-3 named]#vim shenzhem.magedu.com.zone

$TTL 1D
@       IN SOA  dns1 admin (
                                        20180928        ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@       NS      dns1
dns1    A       192.168.32.131
websrv1 A       5.5.5.5
www     CNAME   websrv1

vim /etc/named.rfc1912.zones   添加域
zone "shenzhen.magedu.com" {
        type master;
        file "shenzhen.magedu.com.zone";
};
测试：dig  www.shenzhen.magedu.com

注意：测试时要更改测试主机的dns地址

转发服务器

注意：被转发的服务器需要能够为请求者做递归，否则转发请求不予进行
(1) 全局转发: 对非本机所负责解析区域的请求，全转发给指定的服务器

示例：

Options {
       forward first|only;
       forwarders { ip;};
};

(2) 特定区域转发：仅转发对特定的区域的请求，比全局转发优先级高

示例：

zone "ZONE_NAME" IN {
      type forward;
      forward first|only;
      forwarders { ip;};
};

工作模式：forward first|only
first：如果用户的某请求本地dns服务器没有，就把请求转发到指定dns服务器上，如果指定dns服务器上也没有，那么本地dns服务器自己到互联网上寻找
only：如果用户的某请求本地dns服务器没有，就把请求转发到指定dns服务器上，如果指定dns服务器上也没有，那么将返回请求结果失败，不再进行查询

注意：关闭dnssec功能：

dnssec-enable no;
dnssec-validation no;

实验：实现DNS转发功能

三台主机做模拟：
192.168.32.128
192.168.32.129
192.168.32.131
128主机向129主机查询wang的域名，129主机上没有，转发到131主机，131主机上有wang的域名
在主机192.168.32.131上设置一个新的域：wang.com
/etc/named.rfc1912.conf
zone "wang.com" {
        type master;
        file "wang.com.zone";
};
/var/named/wang.com.zone
[root@centos7-3 named]#vim /var/named/wang.com.zone 

$TTL 1D
@       IN SOA  dns1  admin  (
                                        20180928        ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@       NS      dns1
dns1    A       192.168.32.131
websrv1 A       8.8.8.8
www     CNAME   websrv1
在129主机上设置转发
vim /etc/named.conf
options{
 21         forward only;          设置only转发策略
 22         forwards { 192.168.32.131; }   
};
在128主机上查询：
dig www.wang.com @192.168.32.129
由于转发策略设置的时foreword only，如果查询131主机上也不存在的域名，那么结果将会返回查询失败

把129主机上的转发策略设置为foreword first，并且确定该主机能够连接互联网
在128主机上查询：
dig www.baidu.com @192.168.32.129

rndc flush  清除dns缓存

bind中的ACL

bind中基础的安全相关的配置：
acl: 把一个或多个地址归并为一个集合，并通过一个统一的名称调用

格式：

acl acl_name {
       ip;
       net/prelen;
       ……
};

示例：

acl mynet {
       172.16.0.0/16;
       10.10.10.10;
};

bind有四个内置的acl:
none: 没有一个主机
any: 任意主机
localhost: 本机
localnet: 本机的IP同掩码运算后得到的网络地址
注意：只能先定义，后使用；因此一般定义在配置文件中，处于options的前面

访问控制

访问控制的指令：
allow-query {}：允许查询的主机；白名单
allow-transfer {}：允许区域传送的主机；白名单
allow-recursion {}: 允许递归的主机,建议全局使用
allow-update {}: 允许更新区域数据库中的内容

4、实现view

bind view

CDN: Content Delivery Network内容分发网络
服务商：蓝汛，网宿，帝联等
智能DNS:
dnspod
dns.la
view:视图：实现智能DNS：
一个bind服务器可定义多个view，每个view中可定义一个或多个zone
每个view用来匹配一组客户端
多个view内可能需要对同一个区域进行解析，但使用不同的区域解析库文件
注意：
(1) 一旦启用了view，所有的zone都只能定义在view中
(2) 仅在允许递归请求的客户端所在view中定义根区域
(3) 客户端请求到达时，是自上而下检查每个view所服务的客户端列表

格式：

view VIEW_NAME {
      match-clients { testacl; };
      zone “magedu.com” {
           type master;
           file “magedu.com.zone”; };
      include “/etc/named.rfc1912.zones”;
}

实验：智能dns模拟实验：

规划：
192.168.32.0/24   模拟 beijing
通过192.168.32.0访问www.magedu.com  返回6.6.6.6
172.20.0.0/16     模拟 shanghai
通过172.20.0.0访问www.magedu.com  返回8.8.8.8
通过本地网卡访问，返回192.168.32.130

在192.168.32.129主机上进行配置
注意：该内容一定要写在文件最上面(即卸载options行上面)
vim /etc/named.conf
acl beijingnet{ 192.168.32.0/24; };   
acl shanghainet{ 172.20.0.0./16; };
acl othernet{ any; };  

};
view  beijingview {
        match-clients { beijingnet; };
        include "/etc/named.rfc1912.zones.beijing";
};
view  shanghaiview {
        match-clients { shanghainet; };
        include "/etc/named.rfc1912.zones.shanghai";
};
view  otherview {
        match-clients { othernet; };
        include "/etc/named.rfc1912.zones";
};

include "/etc/named.root.key";

注意：一旦存在view信息，根域的区域信息必须存放在view里，否则，该信息将会失效
因此把该信息存放到/etc/named.rfc1912.zones文件中即可
vim /etc/named.rfc1912.zones
zone "." IN {
        type hint;
        file "named.ca";

cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.beijing -p
cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.shanghai -p

vim /etc/named.rfc1912.zones.beijing
zone "." IN {
        type hint;
        file "named.ca";
};

zone "magedu.com" {
        type master;
        file "magedu.com.zone.beijing";
};
;

vim /etc/named.rfc1912.zones.shanghai
zone "." IN {
        type hint;
        file "named.ca";
};

zone "magedu.com" {
        type master;
        file "magedu.com.zone.shanghai";
};

vim  /etc/named.rfc1912.zones 
zone "." IN {
        type hint;
        file "named.ca";
};
zone "magedu.com" {
        type master;
        file "magedu.com.zone";
};

[root@centos7-1 ~]#vim /var/named/magedu.com.zone

$TTL 1D
@       IN SOA  dns1.magedu.com. admin.magedu.com. (
                                        20180928        ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@       NS      dns1
dns1    A       192.168.32.129
websrv1 A       192.168.32.130
www     CNAME   websrv1

[root@centos7-1 ~]#vim /var/named/magedu.com.zone.shanghai 
$TTL 1D
@       IN SOA  dns1 admin (
                                        20180928        ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@       NS      dns1
dns1    A       192.168.32.129
mailsrv A       192.168.32.100
websrv1 A       8.8.8.8
www     CNAME   websrv1

[root@centos7-1 ~]#vim /var/named/magedu.com.zone.beijing 

$TTL 1D
@       IN SOA  dns1  admin  (
                                        20180928        ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@       NS      dns1
dns1    A       192.168.32.129
mailsrv A       192.168.32.100
websrv1 A       6.6.6.6
www     CNAME   websrv1

测试：
在129主机：
dig www.magedu.com @127.0.0.1
在其他主机：
dig www.magedu.com @172.20.129.131    
dig www.magedu.com @192.168.32.129
查看返回值是否正确

5、编译安装bind

编译安装bind

示例：

1、下载bind：
    isc.org:
            bind-9.10
            bind-9.11
            bind-10

2、编译安装bind  
    tar xvf bind-9.11.0a3.tar.gz
    cd bind-9.11.0a3/
    groupadd -r -g 53 named
    useradd -r -u 53 -g 53 named
    ./configure --prefix=/usr/local/bind9 --sysconfdir=/etc/named/ --without-openssl --disable-ipv6 --disable-chroot --enable-threads
    make
    make install

3、环境变量：  
vim /etc/profile.d/named.sh
    export PATH=/usr/local/bind9/bin:
    /usr/local/bind9/sbin/:$PATH

4、库和头文件  
vim /etc/ld.so.conf.d/named.conf
    /usr/local/bind9/lib
ldconfig –v
ls -sv /usr/local/bind9/include /usr/include/named

5、man帮助  
vim /etc/man.config | /etc/man_db.conf
    MANPATH /usr/local/bind9/share/man
man named.conf

6、配置/etc/named/named.conf文件  
vim /etc/named/named.conf
    options {
        directory "/var/named/"
    };
    zone "." IN {
        type hint;
        file "named.ca";
    };
    zone "localhost" IN {
        type master;
        file “named.localhost";
        allow-update {none;};
    };
    zone “1.0.0.127.in-addr.arpa" IN {
        type master;
        file "named.loopback";
        allow-update {none;};
    };

7、区域数据库  
mkdir /var/named
named-checkconf
dig +norec @a.root-servers.net > /var/named/named.ca
vim /var/named/named.localhost
    $TTL 1d
    @ IN SOA localhost. admin.localhost. (
                  2016061801
                  1h
                  5m
                  7d
                  1d)
    IN NS localhost.
    localhost. IN A 127.0.0.1

8、配置/var/named/named.loopback文件    
vim /var/named/named.loopback
    $TTL 1d
    @ IN SOA localhost. admin.localhost. (
                  2016061801
                  1h
                  5m
                  7d
                  1d)
    NS   @
    A   127.0.0.1
    PTR localhost

9、设置权限  
chmod 640 /var/named/*  
chmod 640 /etc/named/named.conf  
chgrp -R named /var/named/  
chgrp named /etc/named/named.conf  
* 启动服务和测试  
man named  
named -u named -f -g -d 3 前端级别3方式运行  
named -u named 后台运行  
killall named  
ss -tuln  
tail /var/log/message  
named -u named

支持rndc
rndc reload 观察错误提示
rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key
tail /etc/named/rndc.conf >> /etc/named/named.conf
killall -SIGHUP named
rndc status

6、压力测试

压力测试

/root/bind-xxx/contrib/scripts
编译压力测试工具
cd /root/bind-xxx/contrib/queryperf
./configure
make
cp queryperf /usr/local/bind9/bin
queryperf -h
压力测试
vim test.txt
www.magedu.com A
magedu.com NS
magedu.com MX
pop3.magedu.com A
web.magedu.com A
queryperf -d test.txt -s 127.0.0.1
打开日志功能
rndc querylog
rndc status
queryperf -d test.txt -s 127.0.0.1
wc -l /var/log/message

7、DNS排错

DNS排错

dig A example.com

示例：

; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30523
...
SERVFAIL:The nameserver encountered a problem while processing the query.

可使用dig +trace排错，可能是网络和防火墙导致

NXDOMAIN：The queried name does not exist in the zone.
可能是CNAME对应的A记录不存在导致
REFUSED：The nameserver refused the client's DNS request due to policy restrictions.
可能是DNS策略导致
NOERROR不代表没有问题，也可以是过时的记录
查看是否为权威记录，flags:aa标记判断
被删除的记录仍能返回结果，可能是因为*记录存在
如：*.example.com． IN A 172.25.254.254
注意“.”的使用
避免CNAME指向CNAME记录，可能产生回环
test.example.com. IN CNAME lab.example.com.
lab.example.com. IN CNAME test.example.com.
正确配置PTR记录，许多服务依赖PTR，如sshd,MTA
正确配置轮询round-robin记录
显示127.0.0.1#953: connection refused，说明named服务未启动