linux 第62,63天 DNS
時間: 20180924
時間: 20180925
目錄
DNS (Domain Name Service)
一次完整的查詢請求經過的流程
資源記錄
主從DNS名稱服務器
轉發服務器
bind中ACL
bind view (實現CDN的一種方式)
/etc/namd/namd.conf 配置文件選項解析
測試DNS命令dig
rndc
總結
DNS (Domain Name Service)
c/s 53 tcp udp
BIND (Bekerley Internat Name Domain)
ISC (www.isc.org)
一次完整的查詢請求經過的流程：
Client -->hosts文件 -->DNS Service Local Cache --> DNS Server (recursion)
--> Server Cache --> iteration(迭代) --> 根--> 頂級域名DNS-->二級域名DNS...
資源記錄
區域解析庫: 由從多RR(Resource Record)組成
資源記錄: RR(Resource Record)
記錄類型: A, AAAA, PTR, SOA, NS, CNAME, MX
SOA (Start Of Authority) 起始授權記錄 一個區域解析庫只能有一個此條目
SOA記錄，必須位於解析庫的第一條記錄
A internet address FQDN --> IP
AAAA FQDN-->IPv6
PTR PinTeR, IP-->FQDN
NS Name Server, 專用於標明當前區域的DNS服務器
CNAME Canonical Name 別名記錄 一條記錄可以將一個域名解析的庫跳轉至另外一個上邊
MX Mail eXchanger 郵件交換器
注意：
(1) TTL可從全局繼承
(2) @可用於引用當前區域的名字
(3) 同一個名字可以通過多條記錄定義多個不同的值；此時DNS服務器會以輪詢方式響應
(4) 同一個值也可能有多個不同的定義名字；通過多個不同的名字指向同一個值進行定義；
此僅表示通過多個不同的名字可以找到同一個主機
SOA 記錄
winthcloud.com. 86400 IN SOA ns.winthcloud.com. nsadmin.winthcloud.com. (
2015042201 ;序列號
2H ;刷新時間
10M ;重試時間
1W ;過期時間
1D ;否定答案的TTL值
)
反向解析區域
區域名稱：網絡地址反寫.in-addr.arpa.
172.16.100. --> 100.16.172.in-addr.arpa.
定義區域
zone "ZONE_NAME" IN {
type {master|slave|forward}；
file "網絡地址.zone"
};
反向記錄
11 IN PTR ns1.winthcloud.com.
11 IN PTR www.winthcloud.com.
12 IN PTR mx1.winthcloud.com.
子域授權如.com給winthcloud.com區域授權
IN NS dns1
winthcloud IN NS dns2
dns1 IN A 192.168.31.2
dns2 IN A 192.168.69.1
主DNS名稱服務器
在主配置文件中定義區域
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
主配置文件語法檢查：
named-checkconf
解析庫文件語法檢查：
named-checkzone "winthcloud.com" /var/named/winthcloud.com.zone
轉發服務器
注意：被轉發的服務器需要能夠爲請求者做遞歸，否則轉發請求不予進行
(1) 全局轉發: 對非本機所負責解析區域的請求，全轉發給指定的服務器
Options {
forward first|only;
forwarders { ip;};
};
(2) 特定區域轉發：僅轉發對特定的區域的請求，比全局轉發優先級高
zone "ZONE_NAME" IN {
type forward;
forward first|only;
forwarders { ip;};
};
注意：關閉dnssec功能：
dnssec-enable no;
dnssec-validation no;
bind中ACL
bind中基礎的安全相關的配置：
acl: 把一個或多個地址歸併爲一個集合，並通過一個統一的名稱調用
格式：
acl acl_name {
ip;
net/prefix;
……
};
示例：
acl mynet {
172.16.0.0/16;
10.10.10.10;
};
bind有四個內置的acl:
none: 沒有一個主機
any: 任意主機
localhost: 本機
localnet: 本機的IP同掩碼運算後得到的網絡地址
注意：只能先定義，後使用；因此一般定義在配置文件中，處於options的前面
bind view (實現CDN的一種方式)
CDN: Content Delivery Network內容分發網絡
view:視圖 實現智能DNS：
一個bind服務器可定義多個view，每個view中可定義一個或多個zone
每個view用來匹配一組客戶端
多個view內可能需要對同一個區域進行解析，但使用不同的區域解析庫文件
注意：
(1) 一旦啓用了view，所有的zone都只能定義在view中
(2) 僅在允許遞歸請求的客戶端所在view中定義根區域
(3) 客戶端請求到達時，是自上而下檢查每個view所服務的客戶端列表
格式：
view VIEW_NAME {
match-clients { testacl; };
zone "winthcloud.com" {
type master;
file "winthclou.com.zone";
};
include "/etc/named.rfc1912.zones";
};
/etc/namd/namd.conf 配置文件選項解析
recursion yes|no; 是否給客戶請求做遞歸
訪問控制的指令：
allow-query {}： 允許查詢的主機；白名單
allow-transfer {}：允許區域傳送的主機；白名單
allow-recursion {}: 允許遞歸的主機,建議全局使用
allow-update {}: 允許更新區域數據庫中的內容
測試DNS命令dig
dig [-t type] name [@SERVER] [query options]
dig只用於測試dns系統，不會查詢hosts文件進行解析
查詢選項：
+[no]trace：跟蹤解析過程 : dig +trace magedu.com
+[no]recurse：進行遞歸解析
測試反向解析：
dig -x IP = dig –t ptr reverseip.in-addr.arpa
模擬區域傳送：
dig -t axfr ZONE_NAME @SERVER
dig -t axfr winthcloud.com @10.10.10.11
dig –t axfr 100.1.10.in-addr.arpa @172.16.1.1
dig -x IP 反向解析
dig -t NS . @114.114.114.114
dig -t NS . @a.root-servers.net
rndc
rndc --> rndc (953/tcp)
rndc COMMAND
COMMAND:
reload: 重載主配置文件和區域解析庫文件
reload zonename: 重載區域解析庫文件
retransfer zonename: 手動啓動區域傳送，而不管序列號是否增加
notify zonename: 重新對區域傳送發通知
reconfig: 重載主配置文件
querylog: 開啓或關閉查詢日誌文件/var/log/message
trace: 遞增debug一個級別
trace LEVEL: 指定使用的級別
notrace：將調試級別設置爲 0
flush：清空DNS服務器的所有緩存記錄
總結
1. recursion yes|no; 此項如果設置爲no可以查詢記錄但是隻能查詢至其下一級不給再往下
查詢如向.查詢www.winthcloud.com時，他會給你只返回.com的NS記錄在哪裏，然後只能
你自己再去一級一級查詢.
2. name.conf裏的配置有幾項很關鍵allow-query {}; 後邊一般直接跟網段，如果只根主機
地址只會使相應的主機可進行查詢其它主機則不可查詢。
3. allow-transfer {}; 用來限制給哪些提供區域轉發功能，一般只給從服務器提供
allow-recursion {}; 允許給哪些網段遞歸，一般只爲內部網絡遞歸，除非你是互聯網上
的DNS。
4. allow-update {}; 即遠程控制域服務器，可以添加域等操作，一般不使用
5. acl acl-name { IP or net;}; 將遠程IP歸類，可以爲後期做查詢記錄時爲不同的客戶端
提供不同的dns解析
6. view { match-clients { aclname; ip; net; }; };此裏邊可以添加zone，注意如果
dns服務器準備做view時所有的區域必須包含在內，只在準備爲其做遞歸的view中使用
根區域