本章内容
名字解析
DNS服务
实现主从服务器
实现子域
实现view
编译安装
压力测试
DNS排错
DNS服务
DNS:Domain Name Service 应用层协议
C/S,53/udp, 53/tcp
BIND：Bekerley Internat Name Domain
ISC （www.isc.org）
本地名称解析配置文件：hosts
/etc/hosts
%WINDIR%/system32/drivers/etc/hosts
122.10.117.2 www.abc.com
93.46.8.89 www.google.com
FQDN：全称域名
例：www.qq.com
www：主机名，或者别名
qq.com：domain 域名
分散式：/etc/hosts
集中式：NIS
分布式（既分散又集中）：DNS
DNS域名
根域
一级域名：Top Level Domain: tld
com, edu, mil, gov, net, org, int,arpa
三类：组织域、国家域(.cn, .ca, .hk, .tw)、反向域
二级域名
三级域名
最多127级域名
ICANN（The Internet Corporation for Assigned Names and Numbers）互联网名称与数字地址分配机构，负责在全球范围内对互联网通用顶级域名（gTLD）以及国家和地区顶级域名（ccTLD）系统的管理、以及根服务器系统的管理
DNS解析
DNS查询类型：
递归查询（负责到底，例如小区的DNS服务器）
迭代查询（不负责到底，例如根服务器）
名称服务器：域内负责解析本域内的名称的主机
根服务器：13组服务器，对应13个IP地址，每个IP地址都是1个根服务器集群，其中美国10个，日本1个，荷兰1个，瑞典1个
解析类型：
FQDN --> IP 正向解析
IP --> FQDN 反向解析
注意：正反向解析是两个不同的名称空间，是两棵不同的解析树
DNS服务器类型
DNS服务器的类型：
主DNS服务器
从DNS服务器
缓存DNS服务器（转发器）
主DNS服务器：管理和维护所负责解析的域内解析库的服务器
从DNS服务器：从主服务器或从服务器“复制”（区域传输）解析库副本
序列号：解析库版本号，主服务器解析库变化时，其序列递增
刷新时间间隔：从服务器从主服务器请求同步解析的时间间隔
重试时间间隔：从服务器请求同步失败时，再次尝试时间间隔
过期时长：从服务器联系不到主服务器时，多久后停止服务
“通知”机制：主服务器解析库发生变化时，会主动通知从服务器
区域传输
区域传输：
完全传输：传送整个解析库
增量传输：传递解析库变化的那部分内容
Domain: Fully Qualified Domain Name
正向：FQDN --> IP
反向: IP --> FQDN
负责本地域名的正向和反向解析库
正向区域
反向区域
DNS解析
一次完整的查询请求经过的流程：
Client -->hosts文件 -->DNS Service Local Cache --> DNS Server (recursion) --> Server Cache --> iteration(迭代) --> 根--> 顶级域名DNS-->二级域名DNS…
解析答案：
肯定答案：
否定答案：请求的条目不存在等原因导致无法返回结果
权威答案：
非权威答案：
资源记录
区域解析库：由众多RR组成：
资源记录：Resource Record, RR
记录类型：A, AAAA, PTR, SOA, NS, CNAME, MX
SOA：Start Of Authority，起始授权记录；一个区域解析库有且仅能有一个SOA记录，必须位于解析库的第一条记录
A：internet Address，作用，FQDN --> IP
AAAA: FQDN --> IPv6
PTR: PoinTeR，IP --> FQDN
NS: Name Server，专用于标明当前区域的DNS服务器
CNAME：Canonical Name，别名记录
MX: Mail eXchanger，邮件交换器
资源记录定义的格式：
语法：name [TTL] IN rr_type value
注意：
(1) TTL可从全局继承
(2) @可用于引用当前区域的名字
(3) 同一个名字可以通过多条记录定义多个不同的值；此时DNS服务器会以轮询方式响应
(4) 同一个值也可能有多个不同的定义名字；通过多个不同的名字指向同一个值进行定义；此仅表示通过多个不同的名字可以找到同一个主机
SOA记录
name: 当前区域的名字，例如“abc.com.”
value: 有多部分组成
(1) 当前区域的主DNS服务器的FQDN，也可以使用当前区域的名字；
(2) 当前区域管理员的邮箱地址；但地址中不能使用@符号，一般用.替换，例如linuxedu.abc.com
(3) 主从服务区域传输相关定义以及否定的答案的统一的TTL
例如：
abc.com. 86400 IN SOA ns.abc.com. nsadmin.abc.com. (
2018042201 ;序列号，10位及以下
2H ;刷新时间
10M ;重试时间
1W ;过期时间
1D ;否定答案的TTL值
)
NS记录
name: 当前区域的名字
value: 当前区域的某DNS服务器的名字，例如ns.abc.com.
注意：一个区域可以有多个NS记录
例如：
abc.com. IN NS ns1.abc.com.
abc.com. IN NS ns2.abc.com.
注意：
(1) 相邻的两个资源记录的name相同时，后续的可省略 (2) 对NS记录而言，任何一个ns记录后面的服务器名字，都应该在后续有一个A记录
MX记录
name: 当前区域的名字
value: 当前区域的某邮件服务器(smtp服务器)的主机名
一个区域内，MX记录可有多个；但每个记录的value之前应该有一个数字(0-99)，表示此服务器的优先级；数字越小优先级越高
例如：
abc.com. IN MX 10 mx1.abc.com.
IN MX 20 mx2.abc.com.
注意：
(1) 对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录
A记录
name: 某主机的FQDN，例如www.abc.com.
value: 主机名对应主机的IP地址
例如：
www.abc.com. IN A 1.1.1.1
www.abc.com. IN A 2.2.2.2
mx1.abc.com. IN A 3.3.3.3
mx2.abc.com. IN A 4.4.4.4
$GENERATE 1-254 HOST$ A 1.2.3.$ ;表示HOST1-254.abc.com分别对应1.2.3.1-254，就像循环一样
*.abc.com. IN A 5.5.5.5 ;略写：* A 5.5.5.5
abc.com. IN A 6.6.6.6 ;略写：@ A 6.6.6.6
避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址
其它记录
AAAA:
name: FQDN
value: IPv6
PTR:
name: IP，有特定格式，把IP地址反过来写，1.2.3.4，要写作4.3.2.1；而有特定后缀：in-addr.arpa.，所以完整写法为：4.3.2.1.in-addr.arpa.
value: FQDN
例如：
4.3.2.1.in-addr.arpa. IN PTR www.abc.com.
如1.2.3为网络地址，可简写成：
4 IN PTR www.abc.com.
注意：网络地址及后缀可省略；主机地址依然需要反着写
别名记录
CNAME：
name: 别名的FQDN
value: 真正名字的FQDN
例如：
www.abc.com. IN CNAME websrv.abc.com.
子域
子域授权：每个域的名称服务器，都是通过其上级名称服务器在解析库进行授权
类似根域授权tld：
.com. IN NS ns1.com.
.com. IN NS ns2.com.
ns1.com. IN A 2.2.2.1
ns2.com. IN A 2.2.2.2
abc.com. 在.com的名称服务器上，解析库中添加资源记录
abc.com. IN NS ns1.abc.com.
abc.com. IN NS ns2.abc.com.
abc.com. IN NS ns3.abc.com.
ns1.abc.com. IN A 3.3.3.1
ns2.abc.com. IN A 3.3.3.2
ns3.abc.com. IN A 3.3.3.3
glue record：粘合记录，父域授权子域的记录
互联网域名
域名注册：
代理商：万网, 新网, godaddy
注册完成以后，想自己用专用服务来解析
管理后台：把NS记录指向的服务器名称，和A记录指向的服务器地址
阿里云DNS
阿里云DNS
BIND安装
BIND的安装配置：
dns服务程序包:bind，unbound
程序名：named，unbound
程序包：yum list all bind*
bind：服务器
bind-libs：相关库
bind-utils:客户端
bind-chroot: /var/named/chroot/
bind服务器
服务脚本和名称：/etc/rc.d/init.d/named /usr/lib/systemd/system/named.service
主配置文件：/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key
解析库文件：/var/named/ZONE_NAME.ZONE
注意：
(1) 一台物理服务器可同时为多个区域提供解析
(2) 必须要有根区域文件；named.ca
(3) 应该有两个（如果包括ipv6的，应该更多）实现localhost和本地回环地址的解析库
rndc: remote name domain controller，
默认与bind安装在同一主机，且只能通过127.0.0.1连接named进程
提供辅助性的管理功能；953/tcp
配置文件
主配置文件：
全局配置：options {};
日志子系统配置：logging {};
区域定义：本机能够为哪些zone进行解析，就要定义哪些zone
zone "ZONE_NAME" IN {};
注意：任何服务程序如果期望其能够通过网络被其它主机访问，至少应该监听在一个能与外部主机通信的IP地址上
缓存名称服务器的配置：
监听外部地址即可
dnssec: DNS安全扩展，建议关闭dnssec，设为no
配置主DNS服务器
主DNS名称服务器：
(1) 在主配置文件中定义区域
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
(2) 定义区域解析库文件
出现的内容
宏定义
资源记录
主配置文件语法检查：
named-checkconf
解析库文件语法检查：
named-checkzone "abc.com" /var/named/abc.com.zone
rndc status|reload ;service named reload
实验：用3台虚拟机，192.168.30.6-8/24做实验，将其中192.168.30.8这台配置为主DNS服务器
vim /etc/named.conf
修改以下这两行为这个值
options {
listen-on port 53 { localhost; };
allow-query { localhost;any; };
}
或者直接把这两行注释掉
vim /etc/named.rfc1912.zones
添加如下内容
zone "abc.com" IN {
type master;
file "abc.com.zone";
};
copy -p /var/named/named.localhost /var/named/abc.com.zone
以named.localhost为模板复制一份abc.com.zone，注意文件的所有者所属组等权限问题！
主区域示例
vim /var/named/abc.com.zone
$TTL 1D
$ORIGIN abc.com.
@ IN SOA dns1.abc.com. admin.abc.com（邮箱，不能用@符号） (
2018061001 ;序列号
1D;刷新时间
1H ;重试时间
1W ;过期时间
3H ) ;否定答案的TTL值
IN NS dns1
IN NS dns2
IN MX 10 mx1
IN MX 20 mx2
dns1 IN A 192.168.30.8
dns2 IN A 192.168.30.7
mx1 IN A 192.168.30.6
mx2 IN A 192.168.30.7
websrv IN A 192.168.30.6
websrv IN A 192.168.30.7
www IN CNAME websrv
service named start #启动DNS服务
dig www.abc.com @127.0.0.1 #在本机上测试，解析成功
测试命令dig
dig [-t type] name [@SERVER] [query options]
dig只用于测试dns系统，不会查询hosts文件进行解析
查询选项：
+[no]trace：跟踪解析过程 : dig +trace abc.com
+[no]recurse：进行递归解析
测试反向解析：
dig -x IP = dig -t ptr reverseip.in-addr.arpa
模拟区域传送：
dig -t axfr ZONE_NAME @SERVER
dig -t axfr abc.com @10.10.10.11
dig -t axfr 100.1.10.in-addr.arpa @172.16.1.1
dig -t NS . @114.114.114.114
dig -t NS . @a.root-servers.net
测试命令
host [-t type] name [SERVER]
host -t NS abc.com 172.16.0.1
host -t soa abc.com
host -t mx abc.com
host -t axfr abc.com
host 1.2.3.4
nslookup命令： nslookup [-option] [name | -] [server]
•交互式模式：
nslookup>
server IP: 指明使用哪个DNS server进行查询
set q=RR_TYPE: 指明查询的资源记录类型
NAME: 要查询的名称
反向区域
反向区域：
区域名称：网络地址反写.in-addr.arpa.
172.16.100. --> 100.16.172.in-addr.arpa.
(1) 定义区域
zone "ZONE_NAME" IN {
type {master|slave|forward}；
file "网络地址.zone"
};
(2) 定义区域解析库文件
注意：不需要MX,以PTR记录为主
反向区域示例
vim /etc/named.rfc1912.zones
添加以下内容
zone "30.168.192.in-addr.arpa." IN {
type master;
file "192.168.30.zone";
};
vim /var/named/192.168.30.zone
$TTL 1D
@ IN SOA dns1.abc.com. admin.abc.com. ( 1 1D 1H 1W 3H )
NS dns1.abc.com.
dns1.abc.com. A 192.168.30.8
dns2.abc.com. A 192.168.30.7
8 PTR dns1.abc.com.
7 PTR dns2.abc.com.
6 PTR websrv.abc.com.
7 PTR websrv.abc.com.
6 PTR mx1.abc.com.
7 PTR mx2.abc.com.
注意文件权限！
systemctl reload named #重新加载named服务
dig -x 192.168.30.6 @127.0.0.1 #测试，反向解析成功
windows上测试
windows cmd>nslookup
>server 192.168.30.8
>set q=ptr
>192.168.30.7
例：
dig -t ns . @a.root-servers.net #查看根域
这也是/etc/named.ca的内容，如果/etc/named.ca丢失，可dig -t ns . @a.root-servers.net > /etc/named.ca重新生成
允许动态更新
指定的zone语句块中：Allow-update {any;}; #可以写192.168.30.0/24
chmod 770 /var/named
setsebool -P named_write_master_zones on
systemctl reload named
nsupdate
•>server 127.0.0.1
•>zone abc.com
•>update add ftp.abc.com 88888 IN A 8.8.8.8
•>send
•>update delete www.abc.com A
•>send
测试：dig ftp.abc.com @127.0.0.1
ll /var/named/abc.com.zone.jnl
named-journalprint abc.com.zone.jnl
这个日志文件过一会儿才会更新进abc.com.zone里
cat /var/named/abc.com.zone
从服务器
1、应该为一台独立的名称服务器
2、主服务器的区域解析库文件中必须有一条NS记录指向从服务器
3、从服务器只需要定义区域，而无须提供解析库文件；解析库文件应该放置于/var/named/slaves/目录中
4、主服务器得允许从服务器作区域传送
5、主从服务器时间应该同步，可通过ntp进行；
6、bind程序的版本应该保持一致；否则，应该从高，主低
定义从区域的方法：
zone "ZONE_NAME" IN {
type slave;
masters { MASTER_IP; };
file "slaves/ZONE_NAME.zone";
};
例：
在主服务器
vim /etc/named.conf
allow-transfer { slaveip; }; #添加此行，因在CentOS 6的从服务器上，/var/named/slaves目录里同步过来的解析库文件是明文的，可随便查看，是重大的安全隐患，因此主服务器应当只允许从服务器作区域传送
在从服务器
vim /etc/named.conf
allow-transfer { none; }; 添加此行，从服务器不允许区域传送
vim /etc/named.rfc1912.zones 添加如下内容
zone "abc.com" IN {
type slave;
masters { 192.168.30.8; };
file "slaves/abc.com.zone.slave";
#这里slaves目录指/var/named/slaves目录，这个目录默认就有写权限
};
systemctl start named
启动服务，发现在从服务器上/var/named/slaves/abc.com.zone.slave文件会随着主服务器的更新而更新，在从服务器上查询DNS也能查到了
iptables -A INPUT -p udp --dport 53 -j REJECT 关闭udp53端口，将无法被查询
iptables -A INPUT -p tcp --dport 53 -j REJECT 关闭tcp或udp53端口，将无法被同步
rndc命令
rndc：
rndc --> rndc (953/tcp)
rndc COMMAND
COMMAND:
status: 查看状态
reload: 重载主配置文件和区域解析库文件
reload zonename: 重载区域解析库文件
retransfer zonename: 手动启动区域传送，而不管序列号是否增加
notify zonename: 重新对区域传送发通知
reconfig: 重载主配置文件
querylog: 开启或关闭查询日志文件/var/log/message
trace: 递增debug一个级别
trace LEVEL: 指定使用的级别
notrace：将调试级别设置为 0
flush：清空DNS服务器的所有缓存记录
子域
子域授权：分布式数据库
正向解析区域子域方法
定义一个子区域：
ops.abc.com. IN NS ns1.ops.abc.com.
ops.abc.com. IN NS ns2.ops.abc.com.
ns1.ops.abc.com. IN A 1.1.1.1
ns2.ops.abc.com. IN A 1.1.1.2
fin.abc.com. IN NS ns1.fin.abc.com.
fin.abc.com. IN NS ns2.fin.abc.com.
ns1.fin.abc.com. IN A 3.1.1.1
ns2.fin.abc.com. IN A 3.1.1.2
注意：关闭dnssec功能：
vim /etc/name.conf
dnssec-enable no;
dnssec-validation no;
实验：实现子域
有三种方式
1 直接当成记录
只有一台机的话，在abc.com.zone中直接加一条记录即可
如直接加www.bj IN A 192.168.30.6
2 子域，本机独立域
子域都可由一台机来管理的话，例如公司内部，可单独新建一个区域文件，例如bj.abc.com.zone，sh.abc.com.zone，并在/etc/named.rfc1912.zones里添加上信息
3 委派给另一台主机维护子域
子域由不同主机来管理的话，就需要委派了，例如互联网上com父域委派给abc.com子域。委派操作如下
在父域DNS服务器
关闭dnssec功能：
vim /etc/name.conf
dnssec-enable no;
dnssec-validation no;
recursion no #禁止递归：
子域委派
vim /var/named/abc.com.zone #添加如下两行
bj IN NS dns1.bj.abc.com
dns1.bj IN A 192.168.30.6
rndc reload
在子域DNS服务器
建立bj.abc.com区域即可
vim /etc/named.rfc1912.zones #添加以下信息
zone "bj.abc.com" IN {
type master;
file "bj.abc.com.zone";
};
vim /var/named/bj.abc.com.zone #注意文件权限
$TTL 1D
@ IN SOA dns1.bj.abc.com. admin.bj.abc.com. ( 1 1D 1H 1W 3H )
NS dns1.bj.abc.com.
dns1 A 192.168.30.6
www A 192.168.30.7
从别的机器上dig测试父域DNS服务器，成功找到子域记录
转发服务器
注意：被转发的服务器需要能够为请求者做递归，否则转发请求不予进行
如果DNS服务器只是在企业中用于内部解析的，不希望转到根上，则可以把递归取消掉
vim /etc/named.conf
recursion yes|no
(1) 全局转发: 对非本机所负责解析区域的请求，全转发给指定的服务器
Options {
forward first|only; #first是指本机解析不了的话，优先转发到forwarders所指定的服务器，解析不了再找根，only是指forwarders的服务器解析不了就算了
forwarders { ip;};
};
(2) 特定区域转发：仅转发对特定的区域的请求，比全局转发优先级高
zone "ZONE_NAME" IN {
type forward;
forward first|only;
forwarders { ip;};
};
注意：关闭dnssec功能：
dnssec-enable no;
dnssec-validation no;
下图为192.168.30.8成功将从192.168.30.6来的DNS请求转发给192.168.30.7，并解析成功的配置
bind中ACL
bind中基础的安全相关的配置：
acl: 把一个或多个地址归并为一个集合，并通过一个统一的名称调用
格式：
acl acl_name {
ip;
net/prelen;
……
};
示例：
acl mynet {
172.16.0.0/16;
10.10.10.10;
};
bind有四个内置的acl:
none: 没有一个主机
any: 任意主机
localhost: 本机
localnet: 本机的IP同掩码运算后得到的网络地址
注意：只能先定义，后使用；因此一般定义在配置文件中，处于options的前面
访问控制
访问控制的指令：
allow-query {}： 允许查询的主机；白名单
allow-transfer {}：允许区域传送的主机；白名单
allow-recursion {}: 允许递归的主机,建议全局使用
allow-update {}: 允许更新区域数据库中的内容
智能DNS
CDN内容分发网络
bind view
CDN: Content Delivery Network内容分发网络
服务商：蓝汛，网宿，帝联等
智能DNS:
dnspod
dns.la
view:视图：实现智能DNS：
一个bind服务器可定义多个view，每个view中可定义一个或多个zone
每个view用来匹配一组客户端
多个view内可能需要对同一个区域进行解析，但使用不同的区域解析库文件
注意：
(1) 一旦启用了view，所有的zone都只能定义在view中
(2) 仅在允许递归请求的客户端所在view中定义根区域
(3) 客户端请求到达时，是自上而下检查每个view所服务的客户端列表
格式：
view VIEW_NAME {
match-clients { testacl; };
zone “abc.com” {
type master;
file “abc.com.zone”; };
include “/etc/named.rfc1912.zones”;
};
实验：实现智能DNS
北京和上海分别转不同的DNS
这里以192.168.30.8这台虚拟机作为主DNS服务器，在其上
vim /etc/named.conf #acl要放在前边
acl beijingnet {
192.168.30.0/24;
172.20.101.0/24; //注意顺序，前边有的后边就不会看了，所以小的网段要往前放
};
acl shanghainet {
172.20.0.0/16;
};
acl othernet {
any;
};
cp -p /var/named/abc.com.zone /var/named/abc.com.zone.bj
cp -p /var/named/abc.com.zone /var/named/abc.com.zone.sh
websrv A 192.168.30.1-3 三个数据库里的地址改成不一样的，分别代表三个地区的websrv服务器
cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.bj -p
vim /etc/named.rfc1912.zones.bj
zone "abc.com" IN {
type master;
file "abc.com.zone.bj";
};
cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.sh -p
vim /etc/named.rfc1912.zones.sh
zone "abc.com" IN {
type master;
file "abc.com.zone.sh";
};
vim /etc/named.conf
view beijingview {
match-clients {beijingnet;};
include "/etc/named.rfc1912.zones.bj"; #语法1；
};
view shanghaiview {
match-clients {shanghainet;};
zone "abc.com" {
type master;
file "abc.com.zone.sh";
}; #语法2；两种语法都可以
};
view otherview {
match-clients {othernet;};
include "/etc/named.rfc1912.zones";
};
把以下4行剪切到/etc/named.rfc1912.zones文件中
zone "." IN {
type hint;
file "named.ca";
};
把view外边的倒数第二行的include "/etc/named.rfc1912.zones"这行也注释掉！
rndc reload
dig websrv.abc.com @192.168.30.X
dig websrv.abc.com @172.20.X.X
dig websrv.abc.com @127.0.0.1
可以看到，从不同的主机段查询，返回了不同的IP地址，实现了智能DNS
此处是www.abc.com而不是websrv.abc.com是因为加了CNAME别名
www CNAME websrv
编译安装bind
下载bind:
isc.org:
bind-9.10
bind-9.11
bind-10
编译安装bind
tar xvf bind-9.11.0a3.tar.gz
cd bind-9.11.0a3/
groupadd -r -g 53 named
useradd -r -u 53 -g 53 named
./configure --prefix=/usr/local/bind9
--sysconfdir=/etc/named/ --without-openssl
--disable-ipv6 --disable-chroot --enable-threads
make
make install
环境变量
•vim /etc/profile.d/named.sh
export PATH=/usr/local/bind9/bin:
/usr/local/bind9/sbin/:$PATH
库和头文件
•vim /etc/ld.so.conf.d/named.conf
/usr/local/bind9/lib
•ldconfig -v
•ls -sv /usr/local/bind9/include /usr/include/named
man帮助
•vim /etc/man.config | /etc/man_db.conf
MANPATH /usr/local/bind9/share/man
•man named.conf
vim /etc/named/named.conf
options {
directory "/var/named/"
};
zone "." IN {
type hint;
file "named.ca";
};
zone "localhost" IN {
type master;
file “named.localhost";
allow-update {none;};
};
zone “1.0.0.127.in-addr.arpa" IN {
type master;
file "named.loopback";
allow-update {none;};
};
区域数据库
•mkdir /var/named
•named-checkconf
•dig +norec @a.root-servers.net > /var/named/named.ca
•vim /var/named/named.localhost
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
IN NS localhost.
localhost. IN A 127.0.0.1
vim /var/named/named.loopback
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
NS @
A 127.0.0.1
PTR localhost.
设置权限
•chmod 640 /var/named/*
•chmod 640 /etc/named/named.conf
•chgrp -R named /var/named/
•chgrp named /etc/named/named.conf
启动服务和测试
•man named
•named -u named -f -g -d 3 前端级别3方式运行
•named -u named 后台运行
•killall named
•ss -tuln
•tail /var/log/message
•named -u named
支持rndc
•rndc reload 观察错误提示
•rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key
•tail /etc/named/rndc.conf >> /etc/named/named.conf
•killall -SIGHUP named
•rndc status
压力测试
/root/bind-xxx/contrib/scripts
编译压力测试工具
•cd /root/bind-xxx/contrib/queryperf
•./configure
•make
•cp queryperf /usr/local/bind9/bin
•queryperf -h
压力测试
压力测试
•vim test.txt
www.abc.com A
abc.com NS
abc.com MX
pop3.abc.com A
web.abc.com A
•queryperf -d test.txt -s 127.0.0.1
打开日志功能
•rndc querylog
•rndc status
•queryperf -d test.txt -s 127.0.0.1
•wc -l /var/log/message
DNS排错
#dig A example.com
•; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com
•;; global options: +cmd
•;; Got answer:
•;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30523
•...
•SERVFAIL:The nameserver encountered a problem while processing the query.
•可使用dig +trace排错，可能是网络和防火墙导致
NXDOMAIN：The queried name does not exist in the zone.
•可能是CNAME对应的A记录不存在导致
REFUSED：The nameserver refused the client's DNS request due to policy restrictions.
•可能是DNS策略导致
NOERROR不代表没有问题，也可以是过时的记录
查看是否为权威记录，flags:aa标记判断
被删除的记录仍能返回结果，可能是因为*记录存在
如：*.example.com． IN A 172.25.254.254
注意“.”的使用
避免CNAME指向CNAME记录，可能产生回环
test.example.com. IN CNAME lab.example.com.
lab.example.com. IN CNAME test.example.com.
正确配置PTR记录，许多服务依赖PTR，如sshd,MTA
正确配置轮询round-robin记录