Linux(RHEL7及CentOS7)下DNS服务器的搭建与配置

时间:2021-03-12 17:52:37

一、基本概念

DNS即Domain Name System,域名系统,因特网上作为域名和IP地址相互映射的一个分布式数据库,能够使用户更方便的访问互联网,而不用去记住能够被机器直接读取的IP数串。通过主机名,最终得到该主机名对应的IP地址的过程叫做域名解析(或主机名解析)。DNS协议运行在UDP协议之上,使用端口号53。在RFC文档中RFC 2181对DNS有规范说明,RFC 2136对DNS的动态更新进行说明,RFC 2308对DNS查询的反向缓存进行说明(摘自百度百科)。
DNS服务器的功能
每个IP地址都可以有一个主机名,主机名由一个或多个字符串组成,字符串之间用小数点隔开。有了主机名,就不要死记硬背每台IP设备的IP地址,只要记住相对直观有意义的主机名就行了。这就是DNS协议所要完成的功能。主机名到IP地址的映射有两种方式:
1.静态映射,每台设备上都配置主机到IP地址的映射,各设备独立维护自己的映射表,而且只供本设备使用;
2.动态映射,建立一套域名解析系统(DNS),只在专门的DNS服务器上配置主机到IP地址的映射,网络上需要使用主机名通信的设备,需要到DNS服务器上查询主机所对应的IP地址。
通过主机名,最终得到该主机名对应的IP地址的过程叫做域名解析(或主机名解析)。在解析域名时,可以首先采用静态域名解析的方法,如果静态域名解析不成功,再采用动态域名解析的方法。可以将一些常用的域名放入静态域名解析表中,这样可以大大提高域名解析效率。
DNS常用的资源记录类型
A:地址 此记录列出特定主机名的 IP 地址。这是名称解析的重要记录。
CNAME:标准名称 此记录指定标准主机名的别名。
MX:邮件交换器此记录列出了负责接收发到域中的电子邮件的主机。
NS:名称服务器此记录指定负责给定区域的名称服务器。
搭建DNS服务器需要的三个软件:bind,bind-chroot,bind-utils。

二、环境配置

1、系统、相关软件版本:CentOS Linux release 7.4.1708 (Core)、bind-chroot-9.9.4-51.el7_4.1.x86_64、bind-9.9.4-51.el7_4.1.x86_64、bind-utils-9.9.4-51.el7_4.1.x86_64。
2、DNS服务器的IP配置:10.1.1.21。
3、正向解析设计思路:以10.1.1.21的机器为DNS服务器,10.1.1.23通过DNS服务器10.1.1.21解析后以域名user.geeklp来访问10.1.1.23,在10.1.1.23上通过域名test.geeklp来登录10.1.1.21。
4、反向解析设计思路:以10.1.1.21为DNS服务器,通过10.1.1.23主机的IP来查询其域名:tomcat.geeklp

三、安装DNS服务器相关软件,修改配置文件

1、DNS服务器需要安装bind、bind-chroot、bind-utils

[root@Geeklp-DNS ~]# yum -y install bind bind-utils bind-chroot

编辑配置文件/etc/named.conf,找到listen-on这一行,改为:

listen-on port 53 { any; };

找到allow-query这一行,改为:

allow-query     { any; };

对DNS配置文件进行一下语法检查:

[root@Geeklp-DNS ~]# named-checkconf /etc/named.conf

启动dns服务:

[root@Geeklp-DNS ~]# systemctl start named

配置防火墙:

[root@Geeklp-DNS ~]# firewall-cmd --permanent --add-service=dns
[root@Geeklp-DNS ~]# firewall-cmd --reload

测试:

[root@Geeklp-DNS ~]# dig www.baidu.com @10.1.1.21

返回数据无异常。初步配置完成!
2、配置正向解析。
(1)根据named.conf中include “/etc/named.rfc1912.zones”这一行,我们需要在named.rfc1912.zones中新增需要解析的域。当然,我们也可在直接在named.conf文件中操作,均能起到同样的效果。在末尾加上如下几行:

zone "geeklp"  IN {
        type master;
        file "data/master.geeklp.zone";
};

(2)从第三步可以看出,我们把test这个域放到了/var/named/data目录下,创建文件master.test.zone(touch master.test.zone),加入以下内容:

$TTL 3600
@          IN  SOA  geeklp  admin.geeklp. (
                                           0         ; serial
                                           1D      ; refresh
                                           1H      ; retry
                                           1W     ; expire
                                           3H )    ; minimum
@           IN       NS     10.1.1.21.
test        IN       A      10.1.1.21
user        IN       A      10.1.1.23

注意:当前区域10.1.1.21后面的点不可省略,否则报错。
SOA是Start Of Authority(开始验证)的意思,与域有关,后面共会接7个参数,这7个参数的意义依次是:

        1> Master DNS 服务器主机名,即在这个域中哪个DNS作为主服务器,在本例中,即geeklp。
        2> 管理员的Email。即出现问题可给管理员发邮件。在本例中,是admin.geeklp。
        3> 序号。这个序号代表这个数据库档案的陈旧,序号越大,代表越新。当slave要判断是否主动下载新的数据库时,就以序号是否比slave上的还有新来判断。
        4> 刷新频率(Refresh)。即slave向master要求数据更新的频率。
        5> 失败重新尝试时间(Retry)。如果因为某些因素,导致slave无法对master达成联机,那么在多久的时间内,slave会尝试重新联机到master。
        6> 失效时间(Expire)。如果一直失败尝试时间,持续联机到达这个设定值时限,那么slave将不再继续尝试联机。
        7> 存活时间(Minimum TTL)。如果在这个数据库zone file中,每笔记录都没有显性设定TTL快取时间的话,那么就以这个值为主。

区域配置文件格式如下:
[名称] [TTL] [网络类型] 资源记录类型 数据
名称:指定资源记录引用的对象名,可以是主机名,也可以是域名。对象名可以是相对名称也可以是完整名称。完整名称必须以点结尾。如果连续的几条资源记录类型是同一个对象名,则第一条资源记录后的资源记录可以省略对象名。相对名称表示相对与当前域名来说的,如当前域名为geeklp.com,则表示www主机时,完整名称为www.geeklp.com.,相对名称为www。
TTL:指定资源记录存在缓存中的时间,单位为秒。如果该字段省略,则使用在文件开始出的 TTLINSOANSAPTRMXCNAMESOANSMX便;()SOA@zone ORIGIN :ORIGIN后面跟上的是字符串,即要补全的内容。


IP地址的格式可以是如下的几种形式:
单一主机:x.x.x.x,如172.17.100.100
指定网段:x.x.x.或x.x.x.x/n,如172.17.100.或者是172.17.100.0/24
指定多个地址:x.x.x.xx.x.x.x如,172.17.100.100;172.17.100.200
使用!表示否定:如!172.17.100.100,则排除172.17.100.100
不匹配任何:none
匹配所有:any
本地主机(bind本机):localhost
与bind主机同网段的所有IP地址:localnet
(4)搭建完毕,测试一下。重启named服务(systemctl restart named)。把10.1.1.23的DNS改为10.1.1.21(可以通过nmtui或编辑网络配置文件),重启网络(systemctl restart network)。

[root@JDK-Tomcat ~]# ping test.geeklp
PING test.geeklp (10.1.1.21) 56(84) bytes of data.
64 bytes from 10.1.1.21: icmp_seq=1 ttl=64 time=0.178 ms
64 bytes from 10.1.1.21: icmp_seq=2 ttl=64 time=0.450 ms

再试一下本机10.1.1.21,从配置文件中我们可以看到本机的域名为test.geeklp。从10.1.1.23ssh登录10.1.1.21。

[root@JDK-Tomcat ~]# ssh test.geeklp
The authenticity of host 'test.geeklp (10.1.1.21)' can't be established.
ECDSA key fingerprint is 98:00:32:6a:c1:a1:a6:fa:6f:be:08:53:94:6e:6b:f7.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'test.geeklp,10.1.1.21' (ECDSA) to the list of known hosts.
root@test.geeklp's password: 
Last login: Tue Jan  2 09:04:27 2018 from 10.1.1.1

正向解析搭建完成。
3.配置反向解析。
(1)修改配置文件:/etc/named.rfc1912.zones,复制zone “1.0.0.127.in-addr.arpa” 这一行到花括号结束的分号末尾,修改为如下内容:

zone "1.1.10.in-addr.arpa" IN {
        type master;
        file "data/named.23.zone";
        allow-update { none; };
};

注意:反向解析的IP需要反过来写,并且只写前三位。
按照上面配置新建/var/named/data/named.23.zone文件,并将一下内容添加到文件内部,保存退出。

$TTL 3600
@   IN  SOA  test.geeklp.  admin.test.geeklp.    (
                                    2017111301; Serial
                                    1H; Refresh
                                    15M; Retry
                                    7D; Expire
                                    1H; TTL
                                    )
   IN   NS        test.geeklp.
23 IN   PTR      tomcat.geeklp.

(2)重启服务,添加开机启动。

[root@Geeklp-DNS ~]# systemctl restart named
[root@Geeklp-DNS ~]# systemctl enable named

(3)测试反向解析过程。

[root@Geeklp-DNS ~]# nslookup 10.1.1.23
Server:     10.1.1.21
Address:    10.1.1.21#53
23.1.1.10.in-addr.arpa  name = tomcat.geeklp.
[root@Geeklp-DNS ~]# dig +trace 10.1.1.23
; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> +trace 10.1.1.23
·············中间省略
23.1.1.10.in-addr.arpa  name = tomcat.geeklp.

四、附加资料

Bind可以使用的区域类型及其说明如下:
master:主DNS区域。拥有该区域的区域数据文件,对该区域提供管理。
slave:从DNS区域。拥有master区域的区域数据文件的只读副本,slave区域从master区域获取所有的数据,这个过程称为区域传输。
forward:转发区域。用于转发DNS客户端的查询。
stub:存根区域。和slave区域类似,但是只复制master区域的NS记录和NS记录对应的A记录。
hint:提示区域,定义根所在的位置。用于查找根DNS服务器的位置。
主配置文件参数(options块):
listen-on port:指定DNS监听的端口和地址。如果监听在本机的所有地址,可以用any。如listen-on port 53 { 172.17.100.1; };
listen-on-v6 port:指定DNS监听的IPV6的地址和端口。如listen-on-v6 port 53 { ::1; };
directory:指定区域数据文件所在的路径。默认为”/var/named”。如果使用了chroot,则该路径为相对路径,为/var/named/chroot/var/named
query-source port:指定DNS客户端在查询时必须使用的源端口。该参数通常不设置。
allow-query:允许哪些客户端进行查询,如果没有定义此选项,则表示允许所有的客户端提交的DNS查询请求。如:allow-query { 172.17.100.200; 172.17.100.210; };则允许172.17.100.200和172.17.100.210这两个客户端提交的DNS查询请求。由外向内。通常都是any。允许所有的客户端查询。
allow-recursion:允许哪些客户端执行递归查询。如果该DNS服务器不对外开放,即不给互联网的用户执行查询时,则开启该选项。与allow-query不同的是,不执行客户端提交的递归查询。allow-query允许迭代查询和递归查询。allow-recursion由内向外。通常需要放行本地网段和127.0.0.0/8的。
recursion yes:默认为yes,则表示给所有的客户端执行递归。这样就成为一个开放的DNS服务器了。
forwarders:指定转发服务器。如果定义了多个转发服务器,则依次进行尝试,直到获得查询信息为止。本地的DNS服务器会将查询请求转发到转发服务器。如果该项目设置在区域定义之外的话,是对所有非本地区域的解析都转发到指定的DNS服务器;如果定义在某个区域内,则是将对该区域的解析转发到指定服务器。
forward only|first:only表示只将查询请求转发到所定义的转发服务器,不通过本机查询。first表示先将查询转发到所定义的转发服务器,如果没有响应,则通过本机进行迭代查询。默认为first。
querylog:yes启用查询日志记录功能。no关闭查询日志记录功能。
allow-transfer:允许哪些slave DNS服务器进行区域传输。
recursion:选项指定是否允许客户端递归查询其他域名服务器。如果希望对本地客户端的查询允许递归,但对来自外部的查询请求禁止递归,可以通过“allow-recursion”选项进行定义。allow-recursion选项可以指定一个允许执行递归查询操作的地址列表。
transfer-source x.x.x.x:指定slave在向master进行区域传输时所使用的源地址。
notify:是否启用notify功能。yes表示当Master端数据修改时,通知Slave进行区域传输,no表示不通知slave。
allow-update:是否允许通过DHCP获取IP地址的机器动态更新DNS信息,none表示不允许。
dnssec-enable:设定BIND是否支持DNSSEC,该技术并不对数据进行加密,它只是验证您所访问的站点地址是否有效。是一种端到端的安全协议。默认为yes。在做子域授权时,需要设置为no
dnssec-validation:默认为yes,在做子域授权时,需要设置为no
参考资料:http://blog.csdn.net/xrwwuming/article/details/51505031