<备份>10月18日 DNS

一，DNS

DNS:Domain Name Server

UDP/53,TCP/53

DNS:名称解析

nsswitch.conf

     hosts: files dns

         file:/etc/hosts

         dns:DNS services

DNS:FQDN ＜－－＞ip

FQDN:Full Qualified Domain Name

DNS:层级结构

          .  根

组织类TLD:

                com

                net

                mil

                edu

                gov   

                org   TLD:Top Level Domain

国家类TLD:

                cn

                jp

                uk

反向解析TLD:

    二级域：可申请

解析类型：

       正向解析：

       反向解析：

查询类型：

     query:

             迭代查询：发出多次请求

             递归查询：客户端只发出一次请求

二段式工作：

TTL:存活时间   缓存

DNS区域角色：

           主：master

           从：slave

           转发：forward   

           根：    hint

主－－－＞从：从还可以有从

主－－从： 完全区域传送 axfr    从主动同步 pull

        主－－从：   增量区域传送   ixfr     主通知机制 类似 push  通过版本号同步

        2H(refresh:刷新), （retry:重试）超过某段时间后从服务器也停止工作

       

正向解析：正向库

反向解析：反向库

      magedu.com  domain

      正向数据区域  zone

      反向数据区域  zone

服务器角色类型：

      主dns服务器

      从dns服务器

      缓存服务器

      转发服务器

数据库文件的格式：宏定义，数据库条目

每个条目叫资源记录：（Resource Record,RR)

     资源记录的格式：

     name      [ttl]          CLASS        RTYPE        RDATY

                                                    资源类型      资源数据

     RType:

              A(address): FQDN  -----IP

              AAAA(ipv6):FQDN  -----IP

              PTR(pointor): IP--------FQDN

 

              NS(name server): -----FQDN

              CNAME:----------------FQDN

              MX：（Mail eXcanger）（优先级0-99）-------FQDN

              SOA:(Start Of Authority):起始授权记录

                     对于任何区域文件，SOA必须定义第一条

RData:

              A:IP

              AAAA:ipv6

              PTR:FQDN

              NS:FQDN

              MX:FQDN

              CNAME:FQDN

              SOA: FQDN(主DNS的FQDN）   contact(mailbox,不能用@，用.替换） （

                       serial number   

                       refresh time 

                       retry time 

                       expire time 

                       negetive answer ttl  ）

              任何FQDN必须以 。结尾

              除了soa任何记录不能换行

              第一个记录只能是SOA

name:

              A:FQDN

              AAAA:FQDN

              PTR:IP

              NS:zone

              MX:zone

              CNAME:FQDN

 

宏：变量

      $TTL         全局TTL

      $ORIGIN    名称附加后缀

DNS软件：Bind （Berkeley Information Name Domain)

              PowerDNS

         dig  -t  类型  域或FQDN

         host

         nslookup

服务器端：

         /etc/named.conf  主配置文件

     rndc:Remote Name Domain Controller 远程控制dns

         127.0.0.1:953 只监听了

         stop :停止服务

         start:开始服务

         reload:重新加载配置文件与zone

         reload zone:重新加载zone文件

         reconfig 重新加载config文件

        /etc/init.d/named  启动脚本

        named二进制命令

bind的工作目录 ：/var/named

                     区域数据文件存储目录

缓存DNS服务器：

          根区域：表明跟服务器在哪

          本地正向区域：localhost----127.0.0.1

          本地反向区域：127.0.0.1---localhost

主配置文件结构：/etc/named.conf (640,owner:root,group:named)

          全局选项段：{

}；

          区域声明端：

zone “ZONE_NAME” IN {

}; 

反向区域的区域名称：network-address(reverse).in-addr.arpa   

           RTR记录的“Name”是ip地址剩余的部分（主机地址）反过来写          

当前区域名称可以用@代替

 

DNS，一个FQDN可以对多个ip地址，实现轮询的负载均衡

www.godaddy.com

rndc-confgen > /etc/rndc.conf

DNS：中从复制

   allow-transfer { ip/net; ip/net; };

DNS面临的安全问题：

    Host Enumberation:主机枚举

              TSIG:事务签名

dnssec-keygen -a HMAC-MD5 -b 128 -n HOST ns-ns2.magedu.com

在通信双方的named.conf中定义密钥的格式如下：
key "ns-ns2.magedu.com." {
    algorithm hmac-md5;
    secret "C6Kai60IwnD9oeIwyyYYhQ==";
};

而后在每个主机上定义分别定义通信的对方，比如这里在ns.magedu.com上定义：
server 172.16.100.2
    keys { ns-ns2.magedu.com.; };
};

如果主服务器仅允许通过认证的从服务器进行区域传送，则可以使用类似如下格式定义传送限制：
allow-transfer { key "ns-ns2.magedu.com."; };

    Cache poisoning:缓存毒化

              DNSSEC

    Attacking the parent zone:父域攻击

父域授权：

         zone “ZONE” IN {

                type slave;

                 file “slaves/zone.zone”;

                 masters {        };

         };

        

转发域：

forward first :转发的目标服务器没有响应，就去找根

forward only:转发的目标服务器没有响应，就返回查不到。

zone “ZONE” IN {

   type forward;

  forward { first|only};

  forwarders {     iP   ；};

  forwarders { }；

 

 

allow-query {};

    查询方式：

        递归：任何客户均可以此DNS为其DNS服务器

        迭代：

recursion yes|no;

allow-recursion {};

BIND:ACL

    acl “ACL_NAME” {

        IP;

        CIDR网络地址；

        TSIG密钥；

};

bind内置的acl:

        none,any,localhost,localnets

view ：将一个区域切割为多个不同的逻辑视图，以实现对不同客户来源响应不同的内容

          只要顶一个view，所有的zone都只能定义在view当中

view “VIEW_NAME” {

        match-clients {172.16.0.0/16; };

         zone “magedu.com” IN{

         };\\\如果需要所递归查询，根区域只需要声明在允许递归的客户端列表所在的vim中

};

view “VIEW_NAME” {

         match-clients { any; };

         zone “magedu.com” IN {

         }；

}；

只能DNS:分网解析

www.dnspod.cn  智能解析

dig txt chaos version.bind.

 

 

bind 日志系统

   channel  用于记录产生的日志信息记录位置

   category 用于定义记录什么信息

logging {
        channel <string>; {
            file <logfile>;;
            syslog <optional_facility>;;
            null;
            stderr;
            severity <logseverity>;;
            print-time <boolean>;;
            print-severity <boolean>;;
            print-category <boolean>;;
       };
       category <string>; { <string>;; ... };
};

 

泛域名解析 ； magedu.com www.magedu.com