linux基本系统服务——DNS服务

一、 DNS域名解析原理

DNS，Domain Name System，域名系统：在互联网中由大量域名解析服务器共同提供的一整套关于"域名 <--> IP地址"信息查询的数据系统

!!!! C/S架构：DNS服务端监听UDP 53端口（处理客户端查询），也监听TCP 53端口（主-辅同步）

!!!! 客户机向DNS服务器提问：xx域名的IP地址是多少？

如何通过域名找到一个站点

FQDN，Full Qualified Domain Name，完全限定域名（站点名+域名） ，比如：servera.lab.example.com、www.stu.cn

分层次管理（域名体系结构）：

根域 =》.

顶级域/一级域 =》.com、.cn

二级域 （最常见）=》 .example.com、.stu.cn

三级域（比较少） =》 lab.example.com、......

站点（使用DNS名称的各服务器）=》 www、mail、ftp、game、news、......

分布式部署（域名服务器）：

每个权威DNS服务器只负责分担自己管辖的一个或多个域，提供这个域内的名称解析服务

每个权威DNS服务器可以代客户端查询管辖范围外的域名（问其他DNS服务器）

每个权威DNS服务器可以授权某个子域DNS服务器，告知客户端自己去找子域DNS服务器继续查询

比如，IANA管理根域(.)的DNS服务器、CNNIC管理一级域.cn的DNS服务器、stu管理二级域.stu.cn的DNS服务器

DNS服务器的类型

权威DNS：需由IANA统一授权管理，管理一个或更多个DNS区域，有公网IP地址

缓存DNS：运行商或企业自行架设、自行管理，主要面向客户端提供代理查询服务，提高客户体验（缓存加速），无需管理任何区域

域名查询的主要方式

!!!! 按问题内容分 ------

正向查询：根据已知的域名查询这个域名的IP地址，比如"域名www.baidu.com的IP地址是多少？"

反向查询：根据已知的IP地址查询这个IP地址的域名，比如"IP地址39.156.66.18对应的域名是什么？"

!!!! 按服务方式分 ------

递归查询：为客户机查询非本DNS服务器管辖的解析记录，主要出现在"客户机 -> 缓存DNS服务器"场景；客户端只发送一次查询请求，剩下的都交给DNS服务器

迭代查询：告知客户机子域DNS服务器的地址，让客户机自己去找子域DNS查询，主要出现在"缓存DNS -> 权威DNS服务器"场景；客户端需要发送多次查询请求，依次询问根DNS、一级DNS、二级DNS、......

域名解析条目的类型

TTL：设置解析记录的默认超时时间（缺省单位为秒，可以添加 H/D/W表示小时/天/周）

SOA：设置区域授权记录（建议参考/var/named/named.localhost范本文件） ------ @ IN SOA @ admin.@ ( .. .. )

NS：域名服务器

MX：邮件服务器记录

CNAME：域名别名记录

A：正向解析记录（域名->IPv4地址）

AAAA：正向解析记录（域名->IPv6地址）

PTR：反向解析记录（IP地址->域名）

二、域名查询（host/nslookup/dig）

软件包bind-utils提供以下域名查询工具：

host：简单查询工具，用法：host 域名或IP地址 DNS服务器地址

nslookup：交互式查询工具，用法：nslookup 域名或IP地址 DNS服务器地址

dig：深度挖掘查询工具，用法：dig @DNS服务器地址 域名或IP地址 -t 资源类型

root@work \~# yum -y install bind-utils //安装域名查询工具包

!!!! 使用上述工具时，需要有可用的DNS服务器

!!!! 如果还没有配置DNS服务器，也可以找一台能上网的主机，练习host/nslookup/dig命令

!!!! 在Windows系统中，自带nslookup命令，也可以向DNS查询域名

练习：查询域名

1）直接查询（向本机设置的默认DNS服务器查询）www.12306.cn的IP地址

C:\Users\TsengYia>nslookup www.12306.com

服务器: public1.114dns.com

Address: 172.50.163.10

非权威应答:

名称: www.12306.com

Address: 112.74.143.83

2）向DNS服务器8.8.8.8查询www.12306.cn的IP地址

C:\Users\TsengYia>nslookup www.12306.com 8.8.8.8

服务器: dns.google

Address: 8.8.8.8

非权威应答:

名称: www.12306.com

Address: 112.74.143.83

3）向8.8.8.8查询IP地址114.114.114.114的域名是多少（注意：大多数IP地址是查不到反向结果的）

C:\Users\TsengYia>nslookup 114.114.114.114 8.8.8.8

服务器: dns.google

Address: 8.8.8.8

名称: public1.114dns.com

Address: 114.114.114.114

三、权威DNS服务器-bind正向域设置

BIND，Berkeley Internet Name Domain，伯克利互联网名称服务器

servera（权威DNS服务器，servera.lab.example.com的IP地址是多少）

1）装包 bind

2）配置 （主配置、地址库）

3）起服务 named

获取BIND配置帮助：

man named.conf

firefox file:///usr/share/doc/bind/Bv9ARM.html

主配置文件/etc/named.conf，设置DNS全局参数、管理哪些区域（用哪一个地址库）、安全控制、......

vim /etc/named.conf

options {

listen-on port 53 { 本机的IPv4监听地址; };

listen-on-v6 port 53 { 本机 ky的IPv6监听地址; };

directory "/var/named"; //指定地址库文件的默认存放目录

allow-query { 客户机的网段或IP地址; };

recursion yes; //是否允许提供递归查询服务

dnssec-enable yes; //启用DNS安全

dnssec-validation yes; //启用DNS安全校验

};

zone "区域名" IN {

type master; //设置区域类型（master、hint、slave、forward）

file 地址库文件名或者绝对路径;

}；

include xxxx文件; //需要在主配置文件中包含xxxx文件

named-checkconf //查错工具

TTL，Time To Live，存活时间（DNS解析记录的有效期）

SOA，Start Of Authority，授权记录的开始（管理的区域的信息，以及提供给从DNS服务器用的一些参数）

地址库文件 /var/named/*，设置具体的地址记录（域名->IP地址）

vim /var/named/地址库文件名

$TTL 有效记录的生存时间

@ IN SOA 区域名 管理邮箱地址. (

序列号 //十位以内的整数

刷新时间

重试时间

过期时间

无效记录的生存时间

)

@ NS 当前区域的DNS服务器的域名.

MX 优先级 当前区域的邮件服务器的域名.

www A IP地址

mail A IP地址

servera A IP地址

.. ..

named-checkzone 区域名 地址库文件的路径和名称 //查错

work（客户机） ==》servera（权威DNS）

实验拓扑：

servera.lab.example.com，权威DNS，提供域名解析服务（正向域lab.example.com）

work（客户机）：向servera查询域名serverc.lab.example.com的IP地址

1）安装bind包

root@servera \~# yum -y install bind

2）调整配置

root@servera \~# vim /etc/named.conf //修改主配置文件

options {

listen-on port 53 { any; }; //在本机所有IPv4接口监听

listen-on-v6 port 53 { any; }; //在本机所有IPv6接口监听

directory "/var/named"; //zone地址库文件的默认存放路径

allow-query { localhost; 172.25.250.0/24; }; //允许哪些客户机查询

.. ..

};

zone "lab.example.com" { //定义DNS区域

type master; //类型为主区域

file "lab.example.com.zone"; //指定地址库文件名

};

root@servera \~# named-checkconf //检查主配置文件（无输出即无错）

root@servera \~#

root@servera \~# vim /var/named/lab.example.com.zone //创建正向区域地址库文件

$TTL 1D

@ IN SOA @ root.lab.example.com. (

0 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

@ NS servera.lab.example.com.

servera A 172.25.250.10

serverb A 172.25.250.11

serverc A 172.25.250.12

serverd A 172.25.250.13

root@servera \~# chmod 640 /var/named/lab.example.com.zone

root@servera \~# chown :named /var/named/lab.example.com.zone

root@servera \~# named-checkzone lab.example.com /var/named/lab.example.com.zone //检查区域地址文件（OK即无错）

.. ..

OK

3）启动named服务

root@servera \~# firewall-cmd --permanent --add-service=dns //开放DNS访问

root@servera \~# firewall-cmd --reload //重载防火墙

root@servera \~# systemctl enable named --now //启用named服务

4）域名查询测试 ------ 向servera查询serverc的IP地址

root@work \~# host serverc.lab.example.com servera

Using domain server:

Name: servera

Address: 172.25.250.10#53

Aliases:

serverc.lab.example.com has address 172.25.250.12

四、权威DNS服务器-bind反向域设置

针对网段172.25.250/24，

对应的反向区域的名称 250.25.172.in-addr.arpa

然后在主配置文件中也需要定义也这个区域，并且提供相应的地址库文件

对应的反向地址记录：

12 PTR 完整的域名.

work（客户机） ==》servera（权威DNS）

实验拓扑：

servera.lab.example.com，权威DNS，提供域名解析服务（正向域lab.example.com、反向域250.25.172.in-addr.arpa）

work（客户机）：向servera查询域名serverc.lab.example.com的IP地址、查询IP地址172.25.250.12的域名

1）修改主配置文件，添加反向域设置

root@servera \~# cp -p /etc/named.conf{,.bak} //备份主配置文件

root@servera \~# vim /etc/named.conf

.. ..

zone "250.25.172.in-addr.arpa" IN { //注意反向区域名中网段的倒序写法

type master;

file "172.25.250.zone";

};

2）创建反向区域地址库文件

root@servera \~# vim /var/named/172.25.250.zone

$TTL 300

@ IN SOA @ root.example.com. (

0 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

@ NS servera.lab.example.com.

10 PTR servera.backend.lab.example.com.

11 PTR serverb.backend.lab.example.com.

12 PTR serverc.backend.lab.example.com.

13 PTR serverd.backend.lab.example.com.

root@servera \~# chmod 640 /var/named/172.25.250.zone

root@servera \~# chown :named /var/named/172.25.250.zone

root@servera \~# named-checkzone 250.25.172.in-addr.arpa /var/named/172.25.250.zone //检查反向区域地址文件（OK即无错）

.. ..

OK

3）重启named服务

root@servera \~# systemctl restart named

4）域名查询测试 ------ 向servera查询IP地址172.25.250.12的域名

root@work \~# host 172.25.250.12 servera

Using domain server:

Name: servera

Address: 172.25.250.10#53

Aliases:

12.250.25.172.in-addr.arpa domain name pointer serverc.lab.example.com.

扩展小知识（解析库的应用） ------

DNS解析记录的轮询（负载均衡，一个站点对应多个IP地址）：

serverd A 172.25.250.13

serverd A 72.25.250.13

别名解析记录的设置（一个IP对应多个站点）：

servera A 172.25.250.10

www CNAME servera

泛域名解析记录的设置（只查询域名或错误的站点名，也能有结果）：

@ NS servera.lab.example.com.

A 172.25.250.10

* A 172.25.250.10

五、缓存DNS服务器-unbound缓存/转发设置

work（客户机） ==》serverb（缓存DNS） ==》servera（权威DNS）

实验拓扑：

servera.lab.example.com，权威DNS，提供域名解析服务（正向域lab.example.com、反向域250.25.172.in-addr.arpa）

serverb.lab.example.com，缓存DNS，代理客户端查询，将来自客户端的所有查询请求转发给servera

work（客户机）：向serverb查询域名serverc.lab.example.com的IP地址、查询IP地址172.25.250.12的域名

1）安装unbound包

root@serverb \~# yum -y install unbound

2）调整配置

root@serverb \~# cp -p /etc/unbound/unbound.conf{,.bak} //备份主配置文件

root@serverb \~# vim /etc/unbound/unbound.conf //修改主配置文件

server:

.. ..

interface: 172.25.250.11 //在指定接口（可以是0.0.0.0，表示本机所有IP地址）提供监听

access-control: 172.25.250.0/24 allow //允许哪些网段的客户机使用（可以配置多行），缺省为refuse拒绝

access-control: 127.0.0.0/8 allow

domain-insecure: "lab.example.com" //标记不安全区域（允许转发查询，避免对客户端做DNSSEC安全验证）

unblock-lan-zones: yes //允许查询本地区域

insecure-lan-zones: yes //允许查询不安全的本地区域

forward-zone:

name: "lab.example.com" //将针对xx区域的查询转发给指定DNS（其余区域走auth-zone上游DNS服务器）

forward-addr: 172.25.250.10 //指定另一台DNS服务器的IP地址

forward-zone:

name: "250.25.172.in-addr.arpa" //将针对xx反向区域的查询转发给指定DNS

forward-addr: 172.25.250.10

auth-zone:

name: "." //对于未设置转发的其他区域，默认从根域开始查询

for-downstream: no

for-upstream: yes

fallback-enabled: yes

master: b.root-servers.net

master: c.root-servers.net

.. ..

root@serverb \~# unbound-checkconf //检查配置文件

unbound-checkconf: no errors in /etc/unbound/unbound.conf

root@serverb \~# unbound-control-setup //首次起服务前，执行此命令生成密钥文件

.. ..

3）启动unbound服务

root@serverb \~# firewall-cmd --permanent --add-service=dns //开放DNS访问

root@serverb \~# firewall-cmd --reload //重载防火墙

root@serverb \~# systemctl enable unbound --now //启用unbound服务

4）客户端查询DNS记录

student@work \~$ host serverc.lab.example.com serverb //向serverb查询serverc的IP地址

.. ..

serverc.lab.example.com has address 172.25.250.12

5）管理缓存的DNS数据

root@serverb \~# unbound-control dump_cache //查看缓存的解析记录

root@serverb \~# unbound-control flush work.lab.example.com //清除缓存的某个域名的解析记录

root@serverb \~# unbound-control flush lab.example.com //清除缓存的某个区域的所有解析记录