OpenEuler系统常用服务（三）

DNS 服务配置

一、DNS 基础概念

域名系统（Domain Name System, DNS）是互联网的核心服务之一，主要功能是将人类可读的域名（如 www.example.com）转换为机器可识别的 IP 地址（如 192.168.1.1）。其工作原理基于分布式数据库架构，采用分层树状结构管理域名空间。

二、OpenEuler 中的 DNS 服务

OpenEuler 作为企业级操作系统，支持主流 DNS 服务软件。本文以 BIND (Berkeley Internet Name Domain) 为例，展示完整配置流程。BIND 是当前最广泛使用的 DNS 服务器软件，提供权威解析和递归解析能力。

---

三、BIND 安装与基础配置

1. 安装 BIND

yum install bind

验证安装：

named -v

输出示例：BIND 9.16.23

2. 核心配置文件

• 主配置文件：/etc/named.conf

• 区域文件目录：/var/named/

• 系统服务管理：

  systemctl enable named
  systemctl start named

3. /etc/named.conf 基础配置

options {
    listen-on port 53 { any; };
    directory "/var/named";
    allow-query { any; };
    recursion yes; 
    dnssec-validation auto;
};

zone "." IN {
    type hint;
    file "named.ca";
};

// 示例：自定义正向解析域
zone "mydomain.com" IN {
    type master;
    file "mydomain.com.zone";
    allow-update { none; };
};

---

四、区域文件配置详解

1. 正向解析文件：/var/named/mydomain.com.zone

$TTL 86400
@ IN SOA ns1.mydomain.com. admin.mydomain.com. (
    2023081501 ; serial
    3600       ; refresh
    1800       ; retry
    604800     ; expire
    86400      ; minimum TTL
)

@ IN NS ns1.mydomain.com.
@ IN A 192.168.1.10
ns1 IN A 192.168.1.10
www IN A 192.168.1.20
mail IN CNAME www.mydomain.com.

关键参数说明：

• $TTL：默认生存时间
• SOA：起始授权记录
• NS：域名服务器记录
• A：IPv4 地址记录
• CNAME：别名记录

2. 反向解析文件：/var/named/1.168.192.arpa

$TTL 86400
@ IN SOA ns1.mydomain.com. admin.mydomain.com. (
    2023081501
    3600
    1800
    604800
    86400
)

@ IN NS ns1.mydomain.com.
10 IN PTR ns1.mydomain.com.
20 IN PTR www.mydomain.com.

---

五、高级配置场景

1. 主从 DNS 同步

主服务器配置：

zone "mydomain.com" {
    type master;
    file "mydomain.com.zone";
    allow-transfer { 192.168.1.11; }; // 从服务器IP
};

从服务器配置：

zone "mydomain.com" {
    type slave;
    masters { 192.168.1.10; };
    file "slaves/mydomain.com.zone";
};

2. ACL 访问控制

acl trusted {
    192.168.1.0/24;
    10.0.0.0/8;
};

options {
    allow-query { trusted; };
    allow-recursion { trusted; };
};

---

六、安全加固措施

1. 禁用版本信息泄露 ：

   version "Undefined";

2. 限制区域传输 ：

   allow-transfer { trusted; };

3. 启用日志审计 ：

   channel security_log {
       file "/var/log/named/security.log" versions 10 size 50m;
       severity info;
   };

---

七、故障排查工具

1. 解析测试：

   dig @localhost www.mydomain.com

2. 反向解析验证：

   host 192.168.1.20

3. 日志分析：

   journalctl -u named -f

---

八、性能优化建议

1. 调整线程模型 ：

   options {
       max-recursion-queries 5000;
       max-ncache-ttl 3600;
   };

2. 启用响应速率限制 ：

   rate-limit {
       responses-per-second 20;
   };

---

九、附录：完整配置示例

named.conf 进阶模板

options {
    listen-on { any; };
    listen-on-v6 { none; };
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
    allow-query { any; };
    recursion yes;
    dnssec-enable yes;
    dnssec-validation auto;
    bindkeys-file "/etc/named.iscdlv.key";
};

zone "mydomain.com" IN {
    type master;
    file "mydomain.com.zone";
    allow-transfer { key slave-key; };
};

key "slave-key" {
    algorithm hmac-sha256;
    secret "xxxxxxxxxxxxxxxxxxxx==";
};

---

十、总结

通过本文逐步配置，可在 OpenEuler 系统上构建企业级 DNS 服务。需重点注意：

1. 区域文件的语法准确性
2. 安全策略的持续更新
3. 监控日志的动态分析
4. DNSSEC 的合规部署