BIND的安装配置


BIND的安装配置


  bind是干啥的?

   大家知道dns是FQDN解析成ip地址的协议,而bind这个软件就是dns协议的功能的实现。而named是bind程序的运行的进程名




我们来看看bind这个程序有那些包组成吧,且都给我们提供哪些功能。

   程序包:

        bind-libs:被bind和bind-utils包中的程序共同用到的库文件;

        bind-utils:bind客户端程序集,例如dig, host, nslookup等;

        bind:提供的dns server程序、以及几个常用的测试程序;

        bind-chroot:选装,让named运行于jail模式下;




怎样利用bind搭建一个dns服务器呢?

 前期安装软件后的组成部分功能介绍:  

    bind程序:

        主配置文件:/etc/named.conf 

                    注:options定义了bind的特性。如:是否只允许本地客户端查询

                    /etc/named.iscdlv.key

                    /etc/named.rfc1912.zones   注:定义区域的的地方

                    /etc/named.root.key


       解析库文件:

                /var/named/目录下;

                     一般名字为:ZONE_NAME.zone

         注意:(1) 一台DNS服务器可同时为多个区域提供解析;

                (2) 必须要有根区域解析库文件: named.ca;

                (3) 还应该有两个区域解析库文件:localhost和127.0.0.1的正反向解析库;

                      正向:named.localhost

                      反向:named.loopback



rndc:remote name domain contoller


bind程序安装完成之后,默认即可做缓存名称服务器使用;如果没有专门负责解析的区域,直接即可启动服务;

    CentOS 6: service  named  start

    CentOS 7: systemctl  start  named.service





主配置文件详细剖析


主配置文件格式:

全局配置段:

    options { ... }

日志配置段:

    logging { ... }

区域配置段:

    zone { ... }



    那些由本机负责解析的区域,或转发的区域;

    注意:每个配置语句必须以分号结尾;

    缓存名称服务器的配置:

    

listen-on port 53;

listen-on port 53 { 172.16.100.67; }; 注:监听能与外部主机通信的地址;



学习时,建议关闭dnssec 注:这个是安全的一个选项

        dnssec-enable no;

        dnssec-validation no;

        dnssec-lookaside no;


//allow-query  { localhost; }; 注:关闭仅允许本地查询:







测试工具

dig, host, nslookup等

测试工具--dig命令:

         dig  [-t RR_TYPE]  name  [@SERVER]  [query options]

dig做什么的:用于测试dns系统,因此其不会查询hosts文件;

查询选项:

        +[no]trace:跟踪解析过程;

        +[no]recurse:进行递归解析;


    dig  -x  IP 注意:反向解析测试

    dig  -t  axfr  DOMAIN  [@server]   模拟完全区域传送:



测试工具--host命令

            host  [-t  RR_TYPE]  name  SERVER_IP


测试工具--nslookup命令:

            nslookup  [-options]  [name]  [server]

交互式模式:

        nslookup>

        server  IP:以指定的IP为DNS服务器进行查询;

        set  q=RR_TYPE:要查询的资源记录类型;

        name:要查询的名称;





rndc命令:named服务控制命令

    rndc  status  查看bind的运行状态

    rndc  flush

    rndc reload  重新加载配置文件



如何配置解析一个正向区域?

以magedu.com域为例:

(1) 定义区域 注:在主配置文件中或主配置文件辅助配置文件中实现;

         例如: /etc/named.rfc1912.zones这个辅助文件里定义zone


    zone  "ZONE_NAME"  IN  {

        type  {master|slave|hint|forward};

        file  "ZONE_NAME.zone"; 

    };

    注意:区域名字即为域名


(2) 建立区域数据文件(主要记录为A或AAAA记录)

创建位置:在/var/named目录下建立区域数据文件;

         文件为:/var/named/magedu.com.zone


$TTL 3600

$ORIGIN magedu.com.

@       IN      SOA     ns1.magedu.com.   dnsadmin.magedu.com. (

           2017010801

            1H

            10M

            3D

            1D )

        IN      NS      ns1

        IN      MX   10 mx1

        IN      MX   20 mx2

        ns1     IN      A       172.16.100.67

        mx1     IN      A       172.16.100.68

        mx2     IN      A       172.16.100.69

        www     IN      A       172.16.100.67

        web     IN      CNAME   www

        bbs     IN      A       172.16.100.70

        bbs     IN      A       172.16.100.71



权限及属组修改:

# chgrp  named  /var/named/magedu.com.zone

# chmod  o=  /var/named/magedu.com.zone

检查语法错误:

# named-checkzone  ZONE_NAME   ZONE_FILE

# named-checkconf 


(3) 让服务器重载配置文件和区域数据文件

# rndc  reload 或# systemctl  reload  named.service







配置解析一个反向区域


(1) 定义区域

在主配置文件中或主配置文件辅助配置文件中实现;即/etc/named.rfc1912.zones


zone  "ZONE_NAME"  IN  {

    type  {master|slave|hint|forward};

    file  "ZONE_NAME.zone"; 

};

    

反向区域的名字:反写的网段地址.in-addr.arpa   举例:100.16.172.in-addr.arpa


(2) 定义区域解析库文件(主要记录为PTR)

    示例,区域名称为100.16.172.in-addr.arpa;

$TTL 3600

$ORIGIN 100.16.172.in-addr.arpa.

@       IN      SOA     ns1.magedu.com.  nsadmin.magedu.com. (

2017010801

1H

10M

3D

12H )

IN      NS      ns1.magedu.com.

67      IN      PTR     ns1.magedu.com.

68      IN      PTR     mx1.magedu.com.

69      IN      PTR     mx2.magedu.com.

70      IN      PTR     bbs.magedu.com.

71      IN      PTR     bbs.magedu.com.

67      IN      PTR     www.magedu.com.


权限及属组修改:

# chgrp  named  /var/named/172.16.100.zone

# chmod  o=  /var/named/172.16.100.zone

检查语法错误:

# named-checkzone  ZONE_NAME   ZONE_FILE

# named-checkconf 



(3) 让服务器重载配置文件和区域数据文件

# rndc  reload 或# systemctl  reload  named.service






怎样为一个主服务器配置一个从服务器实现冗余呢?

注意:从服务器是区域级别的概念;

首先选一台主机安装bind程序


配置一个从区域:On Slave 如下


(1) 定义区域

    定义一个从区域; 

    zone "ZONE_NAME"  IN {

        type  slave;

        file  "slaves/ZONE_NAME.zone";

        masters  { MASTER_IP; };

        };

配置文件语法检查:named-checkconf


(2) 重载配置

    rndc  reload 或者 systemctl  reload  named.service


在主dns上需要做如下操作

(1) 确保区域数据文件中为每个从服务配置NS记录,并且在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录,且此A后面的地址为真正的从服务器的IP地址;

注意:时间要同步;  ntpdate命令实现时间同步;






场景描述:假如公司某部门比较庞大需要独立的dns,怎样实现配置一个子域并授权?

子域授权:

正向解析区域授权子域的方法:

ops.magedu.com. IN NS  ns1.ops.magedu.com.

ops.magedu.com. IN NS  ns2.ops.magedu.com.

ns1.ops.magedu.com. IN A IP.AD.DR.ESS

ns2.ops.magedu.com. IN A IP.AD.DR.ESS




场景:当某dns不能上网,它可以把请求转发给其他dns实现域名解析

定义转发:

注意:被转发的服务器必须允许为当前服务做递归;

(1) 区域转发:仅转发对某特定区域的解析请求;

zone  "ZONE_NAME"  IN {

type  forward;

forward  {first|only};

forwarders  { SERVER_IP; };

};

first:首先转发;转发器不响应时,自行去迭代查询;

only:只转发;

(2) 全局转发:针对凡本地没有通过zone定义的区域查询请求,通通转给某转发器;

options {

... ...

forward  {only|first};

forwarders  { SERVER_IP; };

.. ...

};



bind中的安全相关的配置:

acl:访问控制列表;把一个或多个地址归并一个命名的集合,随后通过此名称即可对此集全内的所有主机实现统一调用;

acl  acl_name  {

ip;

net/prelen;

};

示例:

acl  mynet {

172.16.0.0/16;

127.0.0.0/8;

};

bind有四个内置的acl

none:没有一个主机;

any:任意主机;

local:本机;

localnet:本机所在的IP所属的网络;



访问控制指令:

allow-query  {};  允许查询的主机;白名单;

allow-transfer {};  允许向哪些主机做区域传送;默认为向所有主机;应该配置仅允许从服务器;

allow-recursion {}; 允许哪此主机向当前DNS服务器发起递归查询请求; 

allow-update {}; DDNS,允许动态更新区域数据库文件中内容;

bind view:

视图:

view  VIEW_NAME {

zone

zone

zone

}

view internal  {

match-clients { 172.16.0.0/8; };

zone "magedu.com"  IN {

type master;

file  "magedu.com/internal";

};

};

view external {

match-clients { any; };

zone "magecdu.com" IN {

type master;

file magedu.com/external";

};

};



课外作业:whois命令; 注册一个域名;

博客作业:正向解析区域、反向解析区域;主/从;子域;基本安全控制; 

检查配置文件语法错误:

named-checkconf   [/etc/named.conf]


你可能感兴趣的:(bind,安装配置)