DNS域名服务协议和其实现Bind应用

1、DNS概述

DNS(Domain Name Service,域名服务)是一种应用层协议,客户端和DNS服务器是C/S架构模式,监听在TCP的53号端口和UDP的53号端口上。tld(Top Level Domain)顶层域分为组织域(.com, .net, .org, .gov, .edu, .mil)和国家域(.iq, .tw, .hk, .jp, .cn, …)。类似于www.magedu.com,是FQDN(Full Qualified Domain Name)全量域名。

2、DNS原理

(1)DNS查询类型分为递归查询和迭代查询。
DNS名称解析方式分为正向解析(名称 --> IP)和反向解析(IP --> 名称)。
注意:二者的名称空间,非为同一个空间,即非为同一棵树,因此,也不是同一个解析库。
(2)DNS服务器类型
1)负责解析至少一个域的DNS服务器分为主名称服务器和辅助名称服务器;
2)不负责名称解析的DNS服务器为缓存名称服务器。
(3)一次完整的查询请求经过的流程
Client --> hosts文件 --> DNS Local Cache --> DNS Server (recursion) -->
自己负责解析的域:直接查询数据库并返回答案;
不是自己负责解析域:Server Cache --> iteration(迭代);
解析答案分为肯定答案(查询到了域的键对应的值)和否定答案(不存在查询的键,因此,不存在与其查询键对应的值);
权威答案:由直接负责的DNS服务器返回的答案;
非权威答案:通过查询DNS缓存获取的答案。
(4)主-辅DNS服务器
主DNS服务器:维护所负责解析的域数据库的那台服务器,读写操作均可进行;
从DNS服务器:从主DNS服务器那里或其它的从DNS服务器那里“复制”一份解析库,但只能进行读操作;
“复制”操作的实施方式:
序列号:serial, 也即是数据库的版本号;主服务器数据库内容发生变化时,其版本号递增;
刷新时间间隔:refresh, 从服务器每多久到主服务器检查序列号更新状况;
重试时间间隔:retry, 从服务器从主服务器请求同步解析库失败时,再次发起尝试请求的时间间隔;
过期时长:expire,从服务器始终联系不到主服务器时,多久之后放弃从主服务器同步数据;停止提供服务;
否定答案的缓存时长:查询不到键对应的值的答案的缓存时长;
主服务器”通知“从服务器随时更新数据;
(5)区域传送
全量传送:axfr,传送整个数据库;
增量传送:ixfr,仅传送变量的数据;
区域(zone)和域(domain):
FQDN --> IP:正向解析库(区域);
IP --> FQDN:反向解析库(区域);
而域名是一个域。
(6)区域数据库文件
资源记录:Resource Record, 简称rr;
记录有类型:A, AAAA, PTR, SOA, NS, CNAME, MX;
SOA:Start Of Authority,起始授权记录,一个区域解析库有且只能有一个SOA记录,而且必须放在第一条;
NS:Name Service,域名服务记录,一个区域解析库可以有多个NS记录,其中一个为主的;
A: Address, 地址记录,FQDN --> IPv4;
AAAA:地址记录, FQDN --> IPv6;
CNAME:Canonical Name,别名记录;
PTR:Pointer,IP --> FQDN;
MX:Mail eXchanger,邮件交换器;优先级:0-99,数字越小优先级越高;
(7)资源记录的定义格式
语法: name [TTL] IN RR_TYPE value
SOA:
name: 当前区域的名字,例如”magedu.com.”,或者“2.3.4.in-addr.arpa.”;
value:有多部分组成;
1)当前区域的区域名称(也可以使用主DNS服务器名称);
2)当前区域管理员的邮箱地址,但地址中不能使用@符号,一般使用点号来替代;
3)(主从服务协调属性的定义以及否定答案的TTL)
例如:

magedu.com. 	86400 	IN 		SOA 	magedu.com. 	admin.magedu.com.  (
		2017010801	; serial
		2H		; refresh
		10M		; retry
		1W		; expire
		1D		; negative answer ttl 
		)	

NS:
name:当前区域的区域名称;
value:当前区域的某DNS服务器的名字,例如ns.magedu.com.;
注意:一个区域可以有多个ns记录;
例如:

magedu.com. 	86400 	IN 	NS  	ns1.magedu.com.
magedu.com. 	86400 	IN 	NS  	ns2.magedu.com.

MX:
name: 当前区域的区域名称;
value:当前区域某邮件交换器的主机名;
注意:MX记录可以有多个;但每个记录的value之前应该有一个数字表示其优先级;
例如:

magedu.com. 		IN 	MX 	10  	mx1.magedu.com.
magedu.com. 		IN 	MX 	20  	mx2.magedu.com.

A:
name:某FQDN,例如www.magedu.com.;
value:某IPv4地址;
例如:

www.magedu.com.		IN 	A	1.1.1.1
www.magedu.com.		IN 	A	1.1.1.2
bbs.magedu.com.		IN 	A	1.1.1.1

AAAA:
name:FQDN;
value: IPv6;
PTR:
name:IP地址,有特定格式,IP反过来写,而且加特定后缀;例如1.2.3.4的记录应该写为4.3.2.1.in-addr.arpa.;
value:FQND;
例如:

4.3.2.1.in-addr.arpa.  	IN  PTR	www.magedu.com.

CNAME:
name:FQDN格式的别名;
value:FQDN格式的正式名字;
例如:

web.magedu.com.  	IN  	CNAME  www.magedu.com.

注意:
(1) TTL可以从全局继承;
(2) @表示当前区域的名称;
(3) 相邻的两条记录其name相同时,后面的可省略;
(4) 对于正向区域来说,各MX,NS等类型的记录的value为FQDN,此FQDN应该有一个A记录;

3、Bind

(1)BIND概述
BIND(Berkeley Internet Name Domain)由ISC.org开源组织维护。
dns是域名解析协议,而bind是dns协议的一种实现,named是bind程序的运行的进程名。
(2)Bind的组成
Bind共有以下程序包:
bind-libs:被bind和bind-utils包中的程序共同用到的库文件;
bind-utils:bind客户端程序集,例如dig,host,nslookup等;
bind:提供的dns server程序、以及几个常用的测试程序;
bind-chroot:选装,让named运行于jail模式下;
Bind的主配置文件为/etc/named.conf,辅助配置文件为/etc/named.iscdlv.key,/etc/named.rfc1912.zones和/etc/named.root.key。解析库文件位于/var/named/目录下,一般名字为:ZONE_NAME.zone。
注意:
1)一台DNS服务器可同时为多个区域提供解析;
2)必须要有根区域解析库文件: named.ca
3)还应该有两个区域解析库文件:localhost和127.0.0.1的正反向解析库;
正向解析库:named.localhost,反向解析库:named.loopback。
(3)rndc
rndc(remote name domain contoller),远程域名控制器,监听于TCP的953端口,但默认监听于127.0.0.1地址,因此仅允许本地使用。
(4)Bind的启动和关闭
bind程序安装完成之后,默认即可做缓存名称服务器使用;如果没有专门负责解析的区域,直接即可启动服务;
CentOS 6: service named start
CentOS 7: systemctl start named.service
(5)主配置文件格式:
全局配置段:options { … }
日志配置段:logging { … }
区域配置段:zone { … },配置那些由本机负责解析的区域或转发的区域;
注意:每个配置语句必须以分号结尾;
(6)缓存名称服务器的配置
监听能与外部主机通信的地址:
listen-on port 53;
listen-on port 53 { 172.16.100.67; };
(7)学习时,建议关闭dnssec

dnssec-enable no;
dnssec-validation no;
dnssec-lookaside no;	

(8)关闭仅允许本地查询:
//allow-query { localhost; };
(9)检查配置文件语法错误:
named-checkconf [/etc/named.conf]
(10)测试工具:dig, host, nslookup等
1)dig命令:用于测试dns系统,因此其不会查询hosts文件;
dig [-t RR_TYPE] name [@SERVER] [query options]
查询选项:
+[no]trace:跟踪解析过程;
+[no]recurse:进行递归解析;
注意:反向解析测试:dig -x IP
模拟完全区域传送:dig -t axfr DOMAIN [@server]
2)host命令:host [-t RR_TYPE] name SERVER_IP
3)nslookup命令:nslookup [-options] [name] [server]
交互式模式:
nslookup>
server IP:以指定的IP为DNS服务器进行查询;
set q=RR_TYPE:要查询的资源记录类型;
name:要查询的名称;
4)rndc命令:named服务控制命令
rndc status
rndc flush

4、区域解析配置

(1)配置解析一个正向区域(以magedu.com域为例)
1)定义区域,在主配置文件中或主配置文件辅助配置文件中实现;

zone  "ZONE_NAME"  IN  {
	type  {master|slave|hint|forward};
	file  "ZONE_NAME.zone"; 
};	

注意:区域名字即为域名;
2)建立区域数据文件(主要记录为A或AAAA记录)
在/var/named目录下建立区域数据文件:/var/named/magedu.com.zone

$TTL 3600
$ORIGIN magedu.com.
@       IN      SOA     ns1.magedu.com.   dnsadmin.magedu.com. (
			2017010801
			1H
			10M
			3D
			1D )
	IN      NS      ns1
	IN      MX   10 mx1
	IN      MX   20 mx2
ns1     IN      A       172.16.100.67
mx1     IN      A       172.16.100.68
mx2     IN      A       172.16.100.69
www     IN      A       172.16.100.67
web     IN      CNAME   www
bbs     IN      A       172.16.100.70
bbs     IN      A       172.16.100.71

3)权限及属组修改:
# chgrp named /var/named/magedu.com.zone
# chmod o= /var/named/magedu.com.zone
4)检查语法错误:
# named-checkzone ZONE_NAME ZONE_FILE
# named-checkconf
5)让服务器重载配置文件和区域数据文件
# rndc reload# systemctl reload named.service
(2)配置解析一个反向区域
1)定义区域,在主配置文件中或主配置文件辅助配置文件中实现;

zone  "ZONE_NAME"  IN  {
	type  {master|slave|hint|forward};
	file  "ZONE_NAME.zone"; 
};	

注意:反向区域的名字为反写的网段地址.in-addr.arpa ,例如100.16.172.in-addr.arpa。
2)定义区域解析库文件(主要记录为PTR)
示例:区域名称为100.16.172.in-addr.arpa;

$TTL 3600
$ORIGIN 100.16.172.in-addr.arpa.
@       IN      SOA     ns1.magedu.com.  nsadmin.magedu.com. (
		2017010801
		1H
		10M
		3D
		12H )
	IN      NS      ns1.magedu.com.
67      IN      PTR     ns1.magedu.com.
68      IN      PTR     mx1.magedu.com.
69      IN      PTR     mx2.magedu.com.
70      IN      PTR     bbs.magedu.com.
71      IN      PTR     bbs.magedu.com.
67      IN      PTR     www.magedu.com.	

3)权限及属组修改:
# chgrp named /var/named/172.16.100.zone
# chmod o= /var/named/172.16.100.zone
4)检查语法错误:
# named-checkzone ZONE_NAME ZONE_FILE
# named-checkconf
5)让服务器重载配置文件和区域数据文件
# rndc reload# systemctl reload named.service
(3)主从服务器配置
注意:从服务器是区域级别的概念;
1)配置一个从区域(On Slave):
定义一个从区域:

zone "ZONE_NAME"  IN {
	type  slave;
	file  "slaves/ZONE_NAME.zone";
	masters  { MASTER_IP; };
};

配置文件语法检查:named-checkconf
重载配置:
rndc reload
systemctl reload named.service
2)配置主区域(On Master):
确保区域数据文件中为每个从服务配置NS记录,并且在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录,且此A后面的地址为真正的从服务器的IP地址;
时间同步:ntpdate命令;
(4)子域授权
正向解析区域授权子域的方法:

ops.magedu.com.			IN 	NS	ns1.ops.magedu.com.
ops.magedu.com.			IN 	NS	ns2.ops.magedu.com.
ns1.ops.magedu.com.		IN 	A	IP.AD.DR.ESS
ns2.ops.magedu.com.		IN 	A	IP.AD.DR.ESS

定义转发(被转发的服务器必须允许为当前服务做递归):
1)区域转发:仅转发对某特定区域的解析请求;

zone  "ZONE_NAME"  IN {
	type  forward;
	forward  {first|only};
	forwarders  { SERVER_IP; };
};

first:首先转发;转发器不响应时,自行去迭代查询;
only:只转发;
2)全局转发:针对凡本地没有通过zone定义的区域查询请求,通通转给某转发器;

options {
	... ...
	forward  {only|first};
	forwarders  { SERVER_IP; };
	.. ...
};

(5)bind中的安全相关的配置
acl:访问控制列表,把一个或多个地址归并一个命名的集合,随后通过此名称即可对此集全内的所有主机实现统一调用;

acl  acl_name  {
	ip;
	net/prelen;
};

示例:

acl  mynet {
	172.16.0.0/16;
	127.0.0.0/8;
};

bind有四个内置的acl,分别如下:
none:没有一个主机;
any:任意主机;
local:本机;
localnet:本机所在的IP所属的网络;
访问控制指令:
allow-query {};:允许查询的主机;白名单;
allow-transfer {};:允许向哪些主机做区域传送;默认为向所有主机;应该配置仅允许从服务器;
allow-recursion {};:允许哪此主机向当前DNS服务器发起递归查询请求;
allow-update {};:用于DDNS,允许动态更新区域数据库文件中内容;
(6)bind view
语法:

view  VIEW_NAME {
	zone
	zone
	zone
}

示例:

view internal  {
	match-clients { 172.16.0.0/8; };
	zone "magedu.com"  IN {
		type master;
		file  "magedu.com/internal";
	};
};
view external {
	match-clients { any; };
	zone "magecdu.com" IN {
		type master;
		file "magedu.com/external";
	};
};
已标记关键词 清除标记
©️2020 CSDN 皮肤主题: 书香水墨 设计师:CSDN官方博客 返回首页