bind9配置精讲(一)

原贴位置：http://shcore.com.cn/gugong/gugong/html/bind9.html，不过好像也是转贴的。全文超过二万字。

---------------------------------------------------------------------------------
架设 DNS



前面所介绍的服务器服务大多是用在内部网络环境中的，不过，以现代的情况和未来的趋势来看，每个网络或多或少都需要 Internet 联机以及向 Internet 提供服务。从这一章开始，我们将为大家陆续介绍一些在 Internet 环境中常用到的服务器之架设技巧。就算您目前还没真的需要架设 Internet 相关的服务器，但许多企业的 Intranet 环境中，也需要相类似的服务器来为企业内部网络提供服务。

前提条件

在众多 Internet 服务器当中，有一种服务是所有服务的基础，就是 DNS 服务。DNS 可以说是一个不容易弄清楚的概念，尤其是其运作原理。如果您看过“学习网络”中的“ DNS 协议”(我强烈建议您看看这篇文章！)，相信应该有一定概念了，否则，您在如下的阅读中可能难以理解，也浪费您的时间。

无论如何，在您进一步阅读下面文章之前，请您先确定能正确回答如下的问题：


什么是 DNS 的授权模式？是怎样进行的？
请解释 zone 和 domain 的差别。
什么是 DNS 正解和反解？
什么是 DNS 的查询模式？查询过程是怎样进行的？
请解释 DNS cache 的作用和它对查询流程的影响。

如果您未能从上面的联结网页找到答案，那我再推荐您多看一篇文章：


http://turtle.ee.ncku.edu.tw/~tung/dns/dnsintro.html

忠告：请不必急着知道怎样设定 DNS，花点时间将 DNS 的原理弄明白非常重要，尤其是授权模式和查询模式的正确理解。在日后的 DNS 架设和管理中，是否能正确理解这些 DNS 原理，往往是成败的关键所在！

如果您在 NT 或 Win2K 下面设定过 DNS 服务器，相信您会觉得在 Linux 下面难多了。除了概念上要比较清楚外，另外对档案的关联也要有清晰的追踪能力，这对于进行 debug 尤为重要。因为在 Windows 系统上面，您的所有设定都透过图形界面进行，方便是方便，但也因为这个图形界面，限制了您的设定灵活性，同时也阻隔了您对 DNS 系统的深入了解。当您完成了这章的学习，而且成功在 Linux 架设出复杂的 DNS 环境之后，欢迎您再回到 Win2K 上尝试做同样的事情。或许，您就会认同我这里的观点了...

好了，闲话休提、言归正传，听百遍不如做一遍，那就让我们开始动手吧！



探索 NAMED

在 Linux 上面，提供 DNS 服务的套件是叫 bind， 但执行服务程序名称则是 named 。请您确定系统上装有 bind、bind-utils、以及 caching-nameserver 这几个套件，同时用 ntsysv 确定 named 被选择为开机服务。

首先，让我们设定一个最重要的 dns 设定档，它就是 /etc/named.conf 。我将我自己的设定档案列出来，然后逐部份进行解释：

// generated by named-bootconf.pl

options {
directory "/var/named";
/*
* If there is a firewall between you and nameservers you want
* to talk to, you might need to uncomment the query-source
* directive below. Previous versions of BIND always asked
* questions using port 53, but BIND 8.1 uses an unprivileged
* port by default.
*/
// query-source address * port 53;
};



先让我们了解这个档案上面用来做批注的符号是“ // ”，而不是一般 shell script 的“#”；另外，“ /* ”与“ */ ”之间则批注一整段文字。同时，每一个完整的设定都以“ ；”结尾，请不要少了它！(初学者经常会犯这个错误)

上面的部份是在这个档案开头的 options 设定，首先用 directory 指定了 named 的资源记录( RR - Resource Record )档案目录所在位置为：“/var/named”；也就是说，它会到这个目录下面寻找 DNS 记录档案。所以，我们在这个档案后面部份所指定的档案，就无需使用绝对路径了，但它们一定要放在这个目录下面。

接下来，有一段文字，如果您仔细阅读一下，它大致是说：如果您要设定的 DNS 服务器和 client 之间是隔着火墙的话，要将“// query-source address * port 53;”前面的批注符号“ // ”拿掉(当然，您也必须要设定好您的火墙啦)。不过，这只对早期的版本有影响，而在 bind 8.1 之后则无需担心这个设定。

接下来再让我们看下一段句子：

//
// a caching only nameserver config
//
zone "." IN {
type hint;
file "named.ca";
};



透过这几行，我们为 named 定义了 DNS 系统中的根区域“ . ”(root zone) 的设定，同时它是一个 internet ( IN ) 的区域类别( class )。这里还指定了root zone 的服务器种类( type ) 为“hint”(也只有这个 zone 会使用这样的种类)。最后，用 file 指定这个区域记录文件为：“named.ca”，也就是“/var/named/named.ca”档案。虽然 named.ca 这个档案中的‘ca’是 cache 的意思；但如果您了解 DNS 的运作，就应该知道这个暂存盘的作用，同时，为什么我们会把 root zone 放在这里。(嗯？想想看？尤其是查询非本机区域的时候？)

在 root zone 后面，您应该还会看到如下这两段：

zone "localhost" IN {
type master;
file "localhost.zone";
allow-update { none; };
};

zone "0.0.127.in-addr.arpa" IN {
type master;
file "named.local";
allow-update { none; };



这里是定义出关于本机名称的 DNS 解释：第一个 zone 是 localhost 的正解 zone，其服务器种类是 master，记录文件名称是 localhost.zone (在 /var/named 目录下面)，但这个 zone 不允许客户主机(或服务器)自行更新 DNS 的记录(当然，client 主机必须能支持 DNS submit 功能才行)。

而第二个 zone 则是本机区域的反解 zone ，不过，这部份的解释我想留到后面的真实例子中再作说明，请您留意就是了。

上面的句子，当您安装好 caching-nameserver 套件之后就被建立起来的，相信您不用劳什么心力。在档案最后，您或许还看到下面这段设定：

key "key" {
algorithm hmac-md5;
secret "coqJswFdBMdNAItnLOpkmGgmJtccFsoNZZciWqxlGZBMUTOUxb0geYMFRyTT";
};



这是 bind 9.x 版本的新功能，用来进行区域转移或 DNS 更新所用的加密处理。这个我们暂时不必理会，除非您有兴趣进行这个研究。

现在，我们暂时不要修改 named.conf 设定档，请退出它，然后转到 /var/named 目录，看看里面有些什么东东？最起码，您会看到如下三个档案：


named.ca
localhost.zone
named.local

不知道您是否有灵感了？没错：刚才在 named.conf 里面，每一个 zone 所指定的 file 都出现在这里！先让我们看看 root zone 的档案内容吧：

; This file holds the inFORMation on root name servers needed to
; initialize cache of Internet domain name servers
; (e.g. reference this file in the "cache . "
; configuration file of BIND domain name servers).
;
; This file is made available by InterNIC registration services
; under anonymous FTP as
; file /domain/named.root
; on server FTP.RS.INTERNIC.NET
; -OR- under Gopher at RS.INTERNIC.NET
; under menu InterNIC Registration Services (NSI)
; submenu InterNIC Registration Archives
; file named.root
;
; last update: Aug 22, 1997
; related version of root zone: 1997082200
;
;
; FORMerly NS.INTERNIC.NET
;
. 3600000 IN NS A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000 A 198.41.0.4
;
; FORMerly NS1.ISI.EDU
;
. 3600000 NS B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000 A 128.9.0.107
;
; FORMerly C.PSI.NET
;
. 3600000 NS C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000 A 192.33.4.12
;
; FORMerly TERP.UMD.EDU
;
. 3600000 NS D.ROOT-SERVERS.NET.
D.ROOT-SERVERS.NET. 3600000 A 128.8.10.90
;
; FORMerly NS.NASA.GOV
;
. 3600000 NS E.ROOT-SERVERS.NET.
E.ROOT-SERVERS.NET. 3600000 A 192.203.230.10
;
; FORMerly NS.ISC.ORG
;
. 3600000 NS F.ROOT-SERVERS.NET.
F.ROOT-SERVERS.NET. 3600000 A 192.5.5.241
;
; FORMerly NS.NIC.DDN.MIL
;
. 3600000 NS G.ROOT-SERVERS.NET.
G.ROOT-SERVERS.NET. 3600000 A 192.112.36.4
;
; FORMerly AOS.ARL.ARMY.MIL
;
. 3600000 NS H.ROOT-SERVERS.NET.
H.ROOT-SERVERS.NET. 3600000 A 128.63.2.53
;
; FORMerly NIC.NORDU.NET
;
. 3600000 NS I.ROOT-SERVERS.NET.
I.ROOT-SERVERS.NET. 3600000 A 192.36.148.17
;
; temporarily housed at NSI (InterNIC)
;
. 3600000 NS J.ROOT-SERVERS.NET.
J.ROOT-SERVERS.NET. 3600000 A 198.41.0.10
;
; housed in LINX, operated by RIPE NCC
;
. 3600000 NS K.ROOT-SERVERS.NET.
K.ROOT-SERVERS.NET. 3600000 A 193.0.14.129
;
; temporarily housed at ISI (IANA)
;
. 3600000 NS L.ROOT-SERVERS.NET.
L.ROOT-SERVERS.NET. 3600000 A 198.32.64.12
;
; housed in Japan, operated by WIDE
;
. 3600000 NS M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET. 3600000 A 202.12.27.33
; End of File



在 /var/named 中的 RR 记录文件里面的批注符号，和 /etc/named.conf 的批注符号不一样哦：在 named.conf 中是用双斜线“ // ”；而在这里则使用 “ ；”符号。无论如何，您都不能用 “ # ”来做批注符号就是了。(好混乱哦~~~ 这就是计算机！^_^ )

在上面这个 named.ca 档案里面，您如果将所有的批注行拿掉，您会发现一共有 13 行是以‘ . ’开头的，那就是所谓的 root zone 了！然后，第二栏都是‘ 3600000 ’，这是 TTL (Time To Live) 设定，也就是在 cache 中保留的时间，以秒为单位(所以这里是 100 小时)。其后的‘ NS ’是“Name Server”的意思，是 DNS 记录名称之一，也就是负责这个记录的 name server 是哪一台主机(这里一共由 13 台主机共同负责 root zone 的 NS 服务)。

虽然我们这里用 NS 指定了 name server 的主机名称，但对计算机系统来说，这些名称必须能解释为 IP 地址才有用(呵~~ 这个正是 DNS 系统的功能)，所以，这里分别用 13 个‘ A ’记录，也就是 Address 的意思，解释 [A-M].ROOT-SERVER.NET. 这些主机各自的 IP 地址所在。

如果您了解 DNS 的查询模式，您会知道 DNS 服务器在查询非自己管辖的 zone 的时候，首先会向 root 查询下一级的 zone 在哪里，然后逐级查询下去。但问题是：当 named 刚启动的时候，在 cache 里面一片空白，它怎么知道 root zone 的 servers 在哪里呢？这不是一个矛盾吗？所以，就必须靠这个档案告诉 named 关于 root zone 的 servers 有哪些？以及在哪里？ --- 明白了吗？

因为这个文件是以静态的方式维护的，很难保证这个档的内容永远都正确，如果 root zone 的记录发生改变了怎么办(虽然这机会不大)？或许，您已经在档案的开头批注那里得知，您可以在任何时候透过 ftp 或 gopher 取得这个档案的最新版本。如果您还没读过那些批注，那就请带着字典读一下吧。如果您真的有需要更新这个 named.ca 档，那可以按如下步骤进行：

ftp FTP.RS.INTERNIC.NET
anonymous
[email protected]
cd domain
get named.root
bye
cp /var/named/named.ca /var/named/named.ca.bak
cat named.root > /var/named/named.ca


除了刚才的 named.ca 之外，第二个 zone 的记录文件是 localhost.zone ，从 named.conf 中您应该知道它是 zone "localhost" 的记录文件，它的内容如下：

$TTL 86400
$ORIGIN localhost.
@1D IN SOA @ root (
42 ; serial (d. adams)
3H ; refresh
15M ; retry
1W ; expiry
1D ) ; minimum

1D IN NS @
1D IN A 127.0.0.1



内容很简单，但您是否真的了解每一行的设定意思呢？如果不清楚或不确定，那就让我们一起探讨探讨吧。

首先，第一行是一个 TTL 设定，目前是定义出这个记录文件里面的各项记录的预设 TTL 值为 86400 秒(刚好是一天)。您的记录文件或许没有这行，事实上没什么关系，您可以自己补上，否则，在启动 named 的时候会碰到一些警告，无伤大雅的；但如果您的确在意那些警告，那就加上这行。您要知道，在记录文件中宣告的所有资源记录(RR - Resource Record)，都一定有一个 TTL 设定，如果没有，则使用这里预设的值。

第二行是一个 ORIGIN 设定，说明下面的记录源出何处(这里是源出 localhost. 的记录)。请您加倍留意最后的一个小数点“ .”，少了它或多了它，记录名称完全不一样！在 DNS 记录中，我们称这样以小数点结尾的名称为“ 全域名称 ”即 FQDN ( Fully Qualified Domain Name ) 。如果缺少了这个点会怎样呢？就会将所属的 ORIGIN ( @ ) 附加在记录名称后面；而这 ORIGIN 就是上一个 $ORIGIN 宣告之后的名称，如果在前面找不到 $ORIGIN 宣告，那就以 /etc/named.conf 中定义的 zone 名称为基准。以目前的例子来说，如果没有这个小数点的话，“localhost”会变成“localhost.localhost”；但如果有小数点的话 “localhost.”就只能是“localhost.”。所以，这个小点“.”非常重要，在以后设定中一定要非常留神！！(这也初学者最常犯的错误之 一)

然后，第三行，是一个 SOA 记录的设定，在这里我们看到一个特殊字符“ @ ”，它就是 ORIGIN 的意思，也就是刚才所定义的 $ORIGIN localhost. 内容，您可以写成 localhost. 也可以用 @ 来代替。假如这个档前面没有定义 $ORIGIN 的话，那这个 @ 的值就以 named.conf 里的 zone 为准。既然这样，当然是使用“@”啦，尤其对于像我这样的懒惰鬼来说，巴不得少打一串字，同时还能避免因打字不准所造成的失误，何乐不为？

在 @ 之后，是 TTL 的设定，这里是 1D，也就是一天的意思，如果您喜欢，可以用 86400 (秒) 来设定，如果这里的 TTL 没有设定，则参考前面的 $TTL 值，如果前面没有定义 $TTL，那就参考其后介绍的 minium ttl 设定。


Tips：事实上，您可以为每一个 RR 记录设定其自己的 TTL ，只要将数字写在第二个字段，也就是‘IN’前面就可以了。

在 TTL 之后是一个 IN，定义出目前的记录类型是属于 internet class 的 (奇怪，目前的 DNS 还有其它 class 吗？)。

在 IN 之后就是这行 RR 的记录类别名称，这里是 SOA ，也就是“Start Of Authority”的意思，表示目前区域的授权记录开始。每一个记录文件只能有一个 SOA ，不得重复，而且必须是所负责的 zone 中第一个“记录”。

紧接 SOA 后面，指定了这个区域的授权主机和管理者的信箱，这里分别是“ @ ”和“ root ”，也就是 localhost. 主机和 root 信箱。这里要注意的是：SOA 的主机名称必须能够在 DNS 系统中找到一个 A 记录 (以后会提到)；另外，我们平时使用的信箱通常是“user@host”这样的格式，但因为“@”在 DNS 记录中是个保留字符(刚才已经提过)，所以在 SOA 中就用“.”来代替了“ @ ”。目前这个信箱是 root (并没有主机地址)，也就是本机，您可以写成 “root.localhost.”但不能写成“root@localhost.”。

接下来的 SOA 设定，是被括在“( )”之间的 5 组数字，主要作为和 slave 服务器同步 DNS 数据所使用的数据：


Serial：其格式通常会是“年月日+修改次序”(但也不一定如此，您自己能够记得就行)。当 slave 要进行数据同步的时候，会比较这个号码。如果发现在这里的号码比它那边的数值“大”，就进行更新，否则忽略。不过设 serial 有一个地方您要留意：不能超过 10 位数字！
Refresh：这里是是告诉 slave 要隔多久要进行数据同步(是否同步要看 Serial 的比较结果)。
Retry：如果 slave 在进行更新失败后，要隔多久再进行重试。
Expire：这是记录逾期时间：当 slave 一直未能成功与 master 取得联络，那到这里就放弃 retry，同时这里的数据也将标识为过期( expired )。
Minimum：这是最小预设 TTL 值，如果您在前面没有用“$TTL”来定义，就会以此值为准。

以上的数字都是以秒为单位，但您也可以用 H(小时)、D(天)、W(星期)来做单位，如：3H 和 259200 是一样的。但要值得一提的是：我在 RH6.2 版本中曾测试过使用 netconf 这工具来设定 DNS ，发现只能使用“秒”来设定。否则 netconf 会自动的把英文字母删除掉，那就不是我所预期的设定值了。无论您用什么单位来设定，都要遵守下面的规则：

expire >= refresh + retry
expire >= 10 * retry


Tips：请注意：SOA 记录中这对 “ ( ) ”符号之第一个 “ (”括号一定要和 SOA 写在同一行，而不能用 Enter 断行到下一行去(有时候您在书本的范例中看到这个符号排在下一行去了，那是因为版面的关系而已)，而且其左边最好有一个空格键或 tab 建。而最后一个 “ )”括号也不能写在批注符号 “ ；”的右边。

设定 DNS 的 RR 记录文件，其格式要求非常严格，我们丝毫不能掉以轻心。比方说：如果句子不是以空格键、Tab 键、 或批注符号 ( ; )开头，也不在 SOA 的 “ ( ) ”之内， 则表示要定义一个“新记录项 (Entry) ”；如果句子是以空格键或 tab 键开始的话，其设定被视为上一个“记录项”的内容。所以，如果您要为“同一个记录项”定义多个记录设定，而不想重复打字，您倒可以偷懒：在接着它的后面几 行用空白或 Tab 来缩排就可以了。所以，最后这两行还是关于 localhost. 的设定，因为上一个“数据项”为 “ @ ”，也就是 localhost. 。当然，您如不喜欢，这两行句子也可以这样写：

;; 修改前：
1D IN NS @
1D IN A 127.0.0.1

;; 修改后：
@1D IN NS @
@1D IN A 127.0.0.1

;; 或：
localhost.1D IN NS localhost.
localhost.1D IN A 127.0.0.1



这两行的意思是说：负责 localhost. 这个记录的 name server ( NS ) 是 localhost. 这台机器；而 localhost. 的 IP Address ( A ) 是 127.0.0.1 。DNS 里面的 A 记录应该是最常见的记录类型之一，如果在 IPv6 版本中，地址记录名称则改为 AAAA 。


Tips：关于更多的记录名称，请参阅“学习网络”中的“DNS 协议”。

最后，让我们检查剩下的 named.local 档案吧。如果您还没忘记 /etc/named.conf 的内容的话，应知道这个档案是 zone "0.0.127.in-addr.arpa" 的‘反解’记录文件，它的内容也很简单：

$TTL 86400
@ IN SOA localhost. root.localhost. (
1997022700 ; Serial
28800 ; Refresh
14400 ; Retry
3600000 ; Expire
86400 ) ; Minimum
IN NS localhost.

1 IN PTR localhost.



前面的部份应该不用多解释了(如果您还不清楚，那就必须重读前面的文章)。最后一行我们看到一个“ PTR ”记录，它是“Pointer”的意思。 PTR 通常用于反记录当中，将 IP 指向主机名称(刚好和 A 记录相反)。您或许还不是很清楚这个句子为什么是这样设定的吧？或许您会这样问：您不是说 PTR 是从 IP 反查询主机名称的吗？为什么这里是 1 而不是 127.0.0.1 ?

哦，如果您有这样的问题，那证明您对 DNS 的查询模式还不是了解得很透彻，不过也不用紧张，在后面的实作例子中，您将获得更进一步的感性认识。这里，我暂时简单解释上面这行就是了：

我们知道 127.0.0.1 所对应的主机名称就是 localhost ，因为这里是反向查询，所以 IP 顺序是掉过来写的，于是这个反查询 IP 就是：“ 1.0.0.127.in-addr.arpa. ”，由于我们这里的 ORIGIN ( @ ) 是“ 0.0.127.in-addr.arpa." ”，因为在记录文件中，如果名称不带小数点，则被补上 $ORIGIN 或 zone 的名称，所以这个 “ 1 ”就成了 1.0.0.127.in-addr.arpa. ”。同样道理，后面的“ localhost. ”如果漏了最后的小点的话，则会成为“ localhost.0.0.127.in-addr.arpa. ”，这显然是不对的。假如您喜欢，可以将这行句子修改成为下面的样子：

；；修改前：
1 IN PTR localhost.

；；修改后：
1.0.0.127.in-addr.arpa. IN PTR localhost.



嗯~~ DNS 的设定看起来真的蛮伤脑筋的，或许您到这里已经被搞得乱七八糟了。假如真的如此，我建议您先休息一下，然后回来重读上面的内容，直到您能理解之后，才继续 下面的。否则，越往后，您的问题越像滚雪球那样越来越大，这更浪费时间啦~~~ Okay? Take it easy ...

前面所看到的设定，事实上已经足够让您的 DNS 主机跑起来了！因为它能够透过 root 查询其它 DNS 的缘故，您无须在再加设任何设定，您就可以利用这台主机为大家提供 Internet 的 DNS 查询服务。只是，这样的 DNS 主机，我们称之为 cache only name server 而已。如果您了解 DNS 的查询流程，您应该知道 DNS 的 cache 作用和它的效益。所以，就算您不打算设定自己的 domain name 服务 ，我也建议您至少可以将 cache only NS 跑起来。

设定 NAMED

当您对 /etc/named.conf 档案和 /var/named 目录的设定有初步了解之后，下面，让我们用一个实际例子来看看如何设定自己的 domain name 服务吧。我个人的习惯是先将网域和主机的数据整理出来，并列成一个表格：

Domain 名称 IP 地址
rh71.siyongc.domain 192.168.100.23
acer.siyongc.domain 192.168.100.20
mdk.siyongc.domain 192.168.100.24
emilie.siyongc.domain 192.168.100.11
rh71.dmz.domain 10.0.1.131
lp64.dmz.domain 10.0.1.130


当所有的主机名称和 IP 整理出来之后，再看看我们这里需要设定哪些 domain ？ 从上面的数据中，我们不难发现有两个正解 zone 和两个反解 zone 需要设定，分别是：

区域名称 记录项名称
siyongc.domain emilie、acer、rh71、mdk
dmz.domain lp64、rh71
100.168.192.in-addr.arpa 11、20、23、24
1.0.10.in-addr.arpa 130、131


因为这些 IP 和 domain 都在内部网络使用，所以我们省却了注册这关，同时也不必担心授权的问题。但这些信息也只能在内部网络使用，无论如何是不能设定在对外的 DNS 上面的 (为什么？除了安全的考虑之外，private IP 的使用本来就有这样的规定，就算您真的对外散布这些 DNS 信息，在 IP 的路由上还是有问题，所以，内部的信息，只能内部使用)。

一般来说，我会先设定“反查询区域(revers zone)”，当然，这是个人习惯而已。所以，我首先在 /etc/named.conf 上面补上两个反解 zone 的设定：


zone "100.168.192.in-addr.arpa" IN {// 定义反解区域名称
type master;// 定义服务器类型
file "192.168.100.rev";// 指定记录文件名称
};// 结束区域设定

zone "1.0.10.in-addr.arpa" IN {
type master;
file "10.0.1.rev";
};



注意哦：如果您要设定外部 DNS 的反解，那就先获得 ISP 的授权才能自己设定；否则反解部份就不用自己担心了，但一定要请 ISP 帮忙。


Tips：假如您是 hinet 的固定制 ADSL 用户，可以到 hinet 的网站填写表格，请他们帮忙设定反解：


http://hidomain.hinet.net/rever.html

其它 ISP 的用户，请自行接洽 ISP 的客服部门。无论如何，如果没有取得授权，那就不要自己设！


这里，我们再一次碰到反解区域的识别标志：“ .in-addr.arpa ”，同时，我们解释一下上次关于本机反解还没说明的地方：如果您了解 DNS 的授权和查询过程(这章一开始的时候，我就已要求您一定要学习的)，您会知道反解查询是先从 root 开始(正解也是一样)，然后到 arpa 、到 in-addr 、到第一组 IP 、到第二组 IP 、...... 这样查询下来的。所以，在设定反区域的时候，您一定要将您的 net ID 部份反过来写，例如：我的网络为 192.168.100.0/24，它的反查询区域名则是：“100.168.192.in-addr.arpa”；假如我将 netmask 改为 16 bit ，即变成 192.168.0.0/16，它的反解区域名就会变成：“168.192.in-addr.arpa”。如果您还搞不懂如何区分 Net ID 和 Host ID，请立即去看一看“学习网络”中的“IP 基础”。

同时，我将这些 zone 都设定为“主 DNS 服务器”(即：master，也有人称之为 primary dns )。

在每个 zone 的最后部份，我分别指定了它们各自的记录文件名称。它们都存放在 /var/named 这个目录下面(也就是前面 options 指定的 directory 啦)。档案的名称随您喜欢，不致做成混乱则可。

完成上面的设定之后，我们就可以到 /var/named 目录去建立相应的记录档案了。说实在，在 named.conf 里面如何定义文件名称没一定的标准，只要您能正确指定哪个记录文件给哪个 zone 使用，而且文件名称能够一致就行。首先，根据第一个 zone 的 file 设定，我要建立一个 /var/named/192.168.100.rev 档案，其内容如下：

$TTL 86400
@ IN SOA rh71.siyongc.domain. root.rh71.siyongc.domain. (
2001111601 ; Serial
28800 ; Refresh
14400 ; Retry
3600000 ; Expire
86400 ) ; Minimum
@ IN NS rh71.siyongc.domain.
@ IN NS lp64.dmz.domain.

11 IN PTR emilie.siyongc.domain.
20 IN PTR acer.siyongc.domain.
23 IN PTR rh71.siyongc.domain.
24 IN PTR mdk.siyongc.domain.



而另外一个反解设定档是 /var/named/10.0.1.rev ，我们依样画葫芦就行了：

$TTL 86400
@ IN SOA rh71.siyongc.domain. root.rh71.siyongc.domain. (
2001111601 ; Serial
28800 ; Refresh
14400 ; Retry
3600000 ; Expire
86400 ) ; Minimum
@ IN NS rh71.siyongc.domain.
@ IN NS lp64.dmz.domain.

130 IN PTR lp64.dmz.domain.
131 IN PTR rh71.dmz.domain.



就这样，反解 DNS 就设定完成了！是否很简单呢？如果您回答“ Yes ”的话，那就让我们继续正解区域的设定吧。同样的，先在 /etc/named.conf 里面加上两个 zone：

zone "siyongc.domain" IN {
type master;
file "siyongc.domain";
};

zone "dmz.domain" IN {
type master;
file "dmz.domain";
};



完成后，再建立 /var/named/siyongc.domain 这个档案：

$TTL 86400
$ORIGIN siyongc.domain.
@ IN SOA rh71.siyongc.domain. root.rh71.siyongc.domain. (
2001111601 28800 14400 3600000 86400 )
IN NS rh71.siyongc.domain.
IN NS lp64.dmz.domain.
IN MX 10 rh71.siyongc.domain.
IN MX 20 lp64.dmz.domain.

;; -- default address
@ IN A 192.168.100.23

;; -- linux servers --
rh71 IN A 192.168.100.23
IN MX 0 rh71.siyongc.domain.
IN MX 10 lp64.dmz.domain.
IN HINFO "Petium II 266""Redhat 7.1"
IN TXT "The internet gateway."

mdk IN A 192.168.100.24
IN MX 0 mdk.siyongc.domain.
IN MX 10 rh71.siyongc.domain.
IN HINFO "Petium II 266 dell""Mandrak 8.0"

;; -- Windows desktops --
acer IN A 192.168.100.20
IN MX 0 mdk.siyongc.domain.
IN HINFO "Petium III 800 acer""Windows ME"

emilie IN A 192.168.100.11
IN MX 0 mdk.siyongc.domain.
IN HINFO "Petium II 300""Windows 98"

;; -- cnames --
gw IN CNAME rh71
www IN CNAME rh71
ftp IN CNAME rh71
mail IN CNAME rh71



这里，我们在正解记录文件里面看到几个新的记录类别，或许需要进一步讲解一下的：

因为我这个区域的记录分别由两台主机负责，所以我这里指定了两个 NS 记录。这里，如果您确定上一个 ORIGIN 是正确的话，那也可以偷懒：正如我上面解释过，如果名称后面不是以“.”结尾的话，它所属的 ORIGIN ( @ ) 就会自动的加在该记录名称后面；所以，您可以只写“ rh71 ”而不带小数点结尾，就会变成“rh71.siyongc.domain.”了，这个名称实际就是我所要的。不过，我建议您在设定 NS 的时候还是尽量使用 FQDN 为好。

接下来的 ‘ MX ’ 记录恐怕要花些时间解析：


MX 记录

MX 是‘Mail eXchange’的意思，它指定了负责该记录项(可以为 domain 也可以是 host )的邮件服务器名称(最好使用 FQDN )，而且该名称必须是一个 A 记录(不建议使用 CNAME )。

在邮件系统中，只要邮件服务器双方都知道对方的 IP 就可以进行邮件交换了。我们用 /etc/hosts 也可以做到名称查询的目的，但正如我们可以想象的：ineternet 有那么多邮件服务器，我们不可能一一为它们建立好 IP 对应。就算，我们可以这样做，如果对方要更换邮件服务器呢？要维护这样一个对应殊非易事。既然，我们可以用 DNS 来查询主机和 IP，为什么不使用这么便利的系统呢？这也是 DNS 系统的应用原因啊~~~ 但问题是，各区域的邮件服务器名称都不一样，我们不可能知道对方的邮件服务器主机名称是什么？就算知道，如果对方以后更换名称呢？

您看，即使我们使用了 DNS 系统来进行邮件路由，也不是这么简单的事情。但是，使用 MX 记录就大大发挥了 DNS 系统的功能了：我们只要为每一个区域建立起 MX 记录，利用 DNS 查询得到的邮件服务器名称(邮件路由查询中，DNS 只是其中一种方法)，这样，当邮件服务器要和对方的区域进行邮件传递的时候，就可以通过 MX 记录得到对方的邮件服务器名称，而不需预先知道要和哪台邮件主机沟通。在日后，就算对方更换名称，将 DNS 记录改改就可以，完全无需知会其它邮件主机；而外面的邮件服务器也根本无需认知到这个改变。

这样的设计，无疑是非常灵活便利的！另外，使用 MX 还有一个功能：您可以用多个 MX 同时指定好几台邮件服务器名称，从而提供备援或平行处理服务。在我这个例子中，我就分别为‘siyongc.domain’这个区域指定了两个 MX 记录：‘rh71.siyongc.domain.’和‘lp64.dmz.domain.’。但您有没有发现它们前面都有一个数字呢？这数字有什么作用 啊？

问得好！当外面的邮件服务器通过 DNS 查询到我们的邮件服务器，如果发现超过一台主机负责邮件交换的话，数值越低的就越先被查询。但有时候该主机没有响应呢？那么就由下一个数值的主机负责了。 这样有一个好处就是：就算第一台邮件服务器出现故障，也不至于导致邮件交换功能瘫痪掉。我们通常会将各自的 MX 主机尽量分布在不同的位置上(例如别的城市或国家的分公司主机)，假如万一发生专线、甚至 ISP 的问题，我们还能将邮件转往下一台 MX 主机。然而，在设计上，由于账号和 client 端的设定因素，我们的邮件并非真的完全转到下一个 MX 主机接收，而是先将邮件暂时队列( queue ) 在那台机器上，当原来的 MX 主机恢复联机之后，邮件会自动的从队列主机那边送回来，这样就能避免邮件丢失或被退信。


Tips：虽然，我们通常喜欢用‘10’、‘20’、‘30’.... 这样的偏好值( preference ) 来分配 MX 记录，但只要您喜欢，用‘1’、‘2’、‘3’... 这样的顺序一样可以。不过，我建议您还是使用惯例啦。

现在很多大型邮件系统，都可以同时使用多台邮件主机来提供邮件交换服务，这时候您可以将 MX 的 preference 设为相同，然后利用 NIS 和 NFS 服务，将邮件同步到相同的账号去。您已经在前面的章节里面学会了 NIS 和 NFS，等日后学习邮件主机架设的时候，不妨玩玩看！


或许，您还发现我这里为所有主机指定了 MX 记录，有些直接指向自己(如 rh71、mdk 等)，而有些则指向别的机器(如 lp64、acer 等)。在 Linux 机器上面，各主机本身就具备邮件交换功能(除非您将之移除了)，而 Windows 则除非额外加装，否则本身是没有邮件交换功能的。这里的设定是，从外面通过 DNS 查询而寄往那些主机的邮件，都会转到 MX 上面指定的邮件服务器。这在实际的网络环境中很常见，尤其您接触过“ mail hub ”这个概念。无论如何，我建议您应该帮负责 domain 的邮件服务器本身设定一个偏好值最低的 MX 记录指向自己(但这不是硬性必须如此的)。


Tips：事实上，我当初对 MX 的理解一直存在着错误，直到有一次在新闻组上和大家讨论，才纠正过来。如果您对这个故事感兴趣的话，或是想更进一步了解 MX 的实际运作原理，请参考 << Sendmail 与 MX >> 一文。

在过去，有些人并不知道如何正确的运用 MX 记录，但相对的，他们会为 domain 名称本身设定一个 A 记录 (@ IN A 192.168.100.23 )。这样的做法虽然不是正统的，但也行之有年了。而且，在许多网站的 URL 上，这样的设定，也能让您少输入“ www. ”这四个键~~~


另外，在这个档里面，您或许还发现‘ TXT ’这样的记录类别，它是‘Text InFORMation’的意思，它实际上不牵涉任何设定，只记录一些环境说明而已；这和‘ HINFO(Host InFORMation) ’差不多，但 HINFO 一定要有两项记录(分别用引号分开)，其中第一项是关于 CPU 的讯息，第二项则是操作系统。然而，TXT 和 HINFO 这些信息仅能在一个信任的环境中提供，如果您架设的 DNS 是对外提供服务的，那么，就不要设定这些信息了。要不然，入侵者可非常感谢您哦，因为您帮他们省却了很多主机系统的探测手续~~~ 所以，这里仅做范例，供您参考而已。

而最后您所看到的‘CNAME’记录又是怎样的呢？CNAME 也是一个常见的记录类别，它是一个别名记录( Canonical Name )。当 DNS 系统在查询 CNAME 左面的名称的时候，都会转向 CNAME 右面的名称再进行查询，一直追踪到最后的 PTR 或 A 名称，成功查询后才会做出响应，否则失败。例如，在正解查询中，一个 IP 通常(当然也有例外)，只会对应一个 A 记录，但我们可以使用 CNAME 在 A 名称之上赋予该 IP 更多的名称。也就是说：所有关于‘www.siyongc.domain’、‘ftp.siyongc.domain’、 ‘mail.siyongc.domain’这些名称的查询，实际上都会再查询一次‘rh71.siyongc.domain.’这个记录，直到找到它的 IP 地址为止。有些朋友或许会设定多层的 CNAME 查询，例如：


C CNAME B
B CNAME A

这样的话，会一层一层的逐级 CNAME 下去... 但是，这很浪费 DNS 资源！因为每一个 CNAME 都一定会产生另外一个查询动作，如果层级越多，那就产生越多的重复查询。所以，精明的 DNS 管理员，都会尽量的减少查询次数的发生，他会将 CNAME 变成这样子：


C CNAME A
B CNAME A

这样就用心多了！

基本上，我们在正解设定上所使用到的记录大概就前面所看到的。哦，对了~~ 还有另外一个 /var/named/dmz.domain 档案也不要忘记了：

$TTL 86400
$ORIGIN dmz.domain.
@ IN SOA rh71.siyongc.domain. root.rh71.siyongc.domain. (
2001111601 28800 14400 3600000 86400 )
IN NS rh71.siyongc.domain.
IN NS lp64.dmz.domain.
IN MX 10 rh71.dmz.domain.

;; -- linux servers --
rh71 IN A 10.0.1.131
IN MX 0 rh71.dmz.domain.
IN HINFO "Petium II 266""Redhat 7.1"
IN TXT "The internet gateway."

lp64 IN A 10.0.1.130
IN MX 0 rh71.dmz.domain.
IN HINFO "Pentium 90""Linpus 6.4"

;; -- cnames --
gw IN CNAME lp64
www IN CNAME lp64
ftp IN CNAME lp64
mail IN CNAME lp64



您看！就这样，我们的 DNS 就已经设定好了，包括反解和正解哦~~~