DNS—正、反向解析；委派；主从；子域；转发；智能dns等的实现_dns委派

前言：DNS，耳熟能详的东西，内容太多，小编也不太好讲清，只能写几个实验详解，供大家参考。

一、简单介绍

1、DNS：通过主机名，最终得到该主机名对应的IP地址的过程叫做域名解析（或主机名解析）。

端口号：53/udp, 53/tcp

2、等级

根域 ：世界有13个ip地址管理，有10个在美国，1个在日本，3个在欧洲，荷兰，瑞典

一级域名：Top Level Domain: tld

　　com, edu, mil, gov, net, org, int,arpa

　　三类：组织域、国家域(.cn, .ca, .hk, .tw)、反向域

二级域名

三级域名

最多127 级域名

例如：www.baidu.com.

. 根

com 一级域名，相当于子目录

baidu

www

3、DNS服务器类型

DNS 服务器的类型：

主DNS 服务器：管理和维护所负责解析的域内解析库的服务器

从DNS 服务器：从主服务器或从服务器"复制"（区域传输）解析库副本

 

4、资源记录

资源记录：Resource Record, RR

记录类型：

SOA ：Start Of Authority ，起始授权记录；一个区域解析库有且仅能有一个SOA 记录，必须位于解析库的第一条记录，同步主从数据

A ：internet Address ，作用，FQDN --> IP（名字到ip）

AAAA: FQDN --> IPv6

PTR: PoinTeR ，IP --> FQDN 全称域名（ip到名字）

NS: Name Server ，专用于标明当前区域的DNS 服务器，谁是域的服务器

CNAME ：Canonical Name ，别名记录

MX: Mail eXchanger 邮件

5、资源记录定义的格式：（5项，如果下一条和上一天一样，可以继承）

语法：name　　 [TTL(缓存生存期)]　　 IN　　 rr_type 　　value （5列）

注意：

(1) TTL 可从全局继承 (缓存生存期)，例：$TTL 1D 一天 设为变量，下边全部使用

(2) @ 可用于引用当前区域的名字，因为有特殊含义，所以后边不能用，例如邮箱.

(3) 同一个名字可以通过多条记录定义多个不同的值；此时DNS 服务器会以轮询方式响应

(4) 同一个值也可能有多个不同的定义名字；通过多个不同的名字指向同一个值进行定义；此仅表示通过多个不同的名字可以找到同一个主机

二、BIND安装及named服务的介绍

DNS的实现就是named服务，named服务需要安装bind包

1、BIND 的安装配置：yum install bind -y

dns 服务程序包:bind ，unbound（新的）

程序名：named ，unbound

程序包：bind 

2、主配置文件：/etc/named.conf

（1）介绍

主配置文件：

全局配置：options {};

日志子系统配置：logging {};

区域定义：本机能够为哪些zone 进行解析，就要定义哪些zone

　　zone "ZONE_NAME" IN {}; 数据库文件最好不写在这个主配置文件，写在/etc/named.rfc1912.zones中

 原理：就是在配置文件中设置区域定义zone，然后在zone指定的文件中建立数据库，这些文件都放在/var/named下

3、options {};需要改的4个地方

① listen-on port 53 { 127.0.0.1; };  端口上只绑定自己ip

改为：listen-on port 53 { localhost; }; 或 // 注释掉

② allow-query { localhost; }; 只允许自己访问

改为：allow-query { any; };也可以不用any,公司内部允许哪些就加哪些，或 // 注释掉

③ allow-transfer 是安全策略，为了防止任何人传输下载自己的dns信息，只允许自己的从dns同步

改为：allow-transfer { 允许传输的ip;};

④ 缓存名称服务器的配置：dnssec: 建议关闭dnssec ，设为no，影响委派和转发

dnssec-enable no;
dnssec-validation no;

三、测试命令及rndc命令

1、dig

dig [-t type] name [@SERVER] [query options]　　

　　dig 只用于测试dns 系统，不会查询hosts 文件进行解析

查询选项：

　　+[no]trace程 ：跟踪解析过程 : dig +trace magedu.com

　　+[no]recurse ：进行递归解析

　　测试反向解析：dig -x IP = dig -t ptr reverseip.in-addr.arpa

　　模拟区域传送：

　　dig -t axfr ZONE_NAME @SERVER    抓区域数据库，可以被allow-transfer  { 192.168.30.106;}; 防止

　　dig -t axfr magedu.com @10.10.10.11

　　dig -t axfr 100.1.10.in-addr.arpa @172.16.1.1

　　dig -t NS . @114.114.114.114  测试邮件记录

　　dig -t NS . @a.root-servers.net  查根的服务器，13个

2、host，查询没有dig详细

host [-t type] name [SERVER]

host -t NS magedu.com 172.16.0.1

host -t soa magedu.com

host -t mx magedu.com

host -t axfr magedu.com

host 1.2.3.4

3、nslookup： （windows和linux都有这个命令）

命令： nslookup [-option] [name | -] [server]

交互式模式：

　　nslookup>

　　server IP: 指明使用哪个DNS server 进行查询

　　set q=RR_TYPE: 指明查询的资源记录类型

　　NAME: 要查询的名称

4、rndc 命令

rndc：

　　rndc --> rndc (953/tcp)

　　rndc COMMAND

COMMAND:

　　reload: 重载主配置文件和区域解析库文件

　　reload zonename: 重载区域解析库文件

　　retransfer zonename: 手动启动 区域传送， 而不管序列号是否增加

　　notify zonename: 重新对区域传送发通知，当主从同步过程发生意外时，

　　　　例：rndc notify magedu.com

　　reconfig: 重载主配置文件

　　querylog: 开启或关闭查询日志文件/var/log/message（默认不启用日志），排错的时候才开启，要不访问一条加一条记录，量太大了；关闭，执行同样的命令

　　　　tail -f /var/log/messages 动态查询日志

　　trace: 递增debug 一个级别

　　trace LEVEL: 指定使用的级别，日志级别，日志的详细程度

　　notrace：为将调试级别设置为 0

　　flush ：清空DNS 服务器的所有缓存记录

实验：

实验一：建立正向解析数据库，实现域的解析，如：magedu.com

1、yum install bind   安装包

systemctl start named     centos 7开启服务

service named start           centos 6开启服务

2、vim /etc/named.conf 修改总配置文件

listen-on port 53 { localhost; };

allow-query { any ;};

3、vim /etc/named.rfc1912.zones（最好在这个文件中修改，也可在/etc/named.conf总配置文件中修改）

zone "magedu.com" {

type master;

file "magedu.com.zone";

};

4、vim /var/named/magedu.com.zone 建立修改数据库文件（这个文件名一定要和上边的对应，可以自己写，也可以复制模板）

$TTL 1D

@ 　　IN 　　SOA dns1 mail.magedu.com. ( 2017100901 ; serial

　　　　　　　　　　　　　　　　1D ; refresh

　　　　　　　　　　　　　　　　1H ; retry

　　　　　　　　　　　　　　　　1W ; expire

　　　　　　　　　　　　　　　　3H ) ; minimum

@ 　NS　dns1

dns1　A 　192.168.37.107

www   CNAME websrv 设置的别名

websrv A 192.168.37.106

5、DNS记录 的例子：

[websrv A 192.168.37.107] 可以加多个，访问时随机，平衡负载

@ MX 10 mailsrv1  也可以加邮件记录

@ MX 20 mailsrv2

mailsrv1 A 192.168.30.100

mailsrv2 A 192.168.30.200C

$GENERATE 1-100 server$ A 1.1.1.$

@ A 192.168.30.102   解决前面不输入东西的问题，例：mage.com

* A 192.168.30.101     泛域名解析，电商前面输错了ww.taobao.com，也能进淘宝网页

注意：chgrp named /var/named/magedu.com.zone  如果不是cp -p 模板的，要注意修改权限

named-checkzone magedu.com /var/named/magedu.com.zone 检查这个数据库文件有没有错

5、rndc reload 重新加载配置文件

6、测试ping、dig、host、links...都行

dig websrv.magedu.com @192.168.30.107

dig -t mx magedu.com @192.168.30.107 检查邮件记录

host adaf23.magedu.com 192.168.30.107 检测泛域名记录

dig magedu.com @192.168.30.107

实验二：建立反向解析数据库（配置文件中都有例子）

1、2、同上

3、vim /etc/named.rfc1912.zones

zone "30.168.192.in-addr.arpa" IN { （倒过来写，反过来读）

type master;

file "192.168.30.zone";

};

4、vim /var/named/192.168.30.zone

$TTL 1D

@ IN SOA dns1 rname.invalid. (

　　　　　　　　　　　　　　0 ; serial

　　　　　　　　　　　　　　1D ; refresh

　　　　　　　　　　　　　　1H ; retry

　　　　　　　　　　　　　　1W ; expire

　　　　　　　　　　　　　　3H ) ; minimum

NS dns1

dns1 A 127.0.0.1

107 PTR dns1.magedu.com.

106 PTR websrv.magedu.com.

100.30.168.192.in-addr.arpa. PTR dbsrv

5、rndc reload 重新加载配置文件

6、检测

dig -x 192.168.30.107

实验三：建立主从服务器

1、vim /etc/named.conf 修改总配置文件

主：只允许从传输数据

listen-on port 53 { localhost; };

allow-query { any ;};

allow-transfer { 从DNS服务器IP;};

从：不允许任何人传输数据

listen-on port 53 { localhost; };

allow-query { any ;};

allow-transfer { none;};

2、vim /etc/named.rfc1912.zones

主：

zone "magedu.com" {

type master;

file "magedu.com.zone";

};

从：

zone "magedu.com" IN {

type slave;

masters { 192.168.30.107;};

file "slaves/magedu.com.zone.slave";

};

3、vim /var/named/magedu.com.zone

主：加一条NS记录

NS dns1

NS dns2

dns1 A 192.168.30.107

dns2 A 192.168.30.106

从：不用创建这个文件，重新加载数据会在/var/named/slaves 自动生成一个文件，内容和主dns一样

4、rndc reload 重新加载配置文件

5、检测

dig www.magedu.com @192.168.30.106

实验四：建立子域

（1）主dns加A记录充当子域，访问量特别小

子域访问量不大，主dns可以帮它管理，在主数据库加一条A记录，实际不是建立子域，只是用户当做子域

1、vim /etc/named.conf 修改总配置文件

listen-on port 53 { localhost; };

allow-query { any ;};

2、vim/etc/named.rfc1912.zones

zone "magedu.com" {

type master;

file "magedu.com.zone";

};

3、vim /var/named/magedu.com.zone

加两条A记录：

www.henan A 2.2.2.2

mail.henan A 3.3.3.3

4、rndc reload 重新加载配置文件

5、检测 dig www.henan.magedu.com @192.168.30.107

（2）在自己的建立独机器上立的域，当子域

1、同上

2、vim/etc/named.rfc1912.zones

zone "henan.magedu.com" IN {

type master;

file "henan.magedu.com.zone";

};

3、vim /var/named/henan.magedu.com.zone 复制模板，自己写都行

cp -p /var/named/magedu.com.zone /var/named/henan.magedu.com.zone

自己写注意修改权限

$TTL 1D

@ IN SOA dns1 mail.magedu.com. (

2017100901 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

NS dns1

dns1 A 192.168.30.107

www CNAME websrv

websrv A 5.5.5.5

4、5同上

（3）委派给其他机器(106)的域管理子域，访问量大的时候

在本机上：父域主机

1、vim /etc/named.conf

关闭dnssec 功能：

dnssec-enable no;

dnssec-validation no

2、vim /var/named/magedu.com.zone

@ NS dns1

henan NS dns2

dns1 A 192.168.30.107

dns2 A 192.168.30.106

在另一个机器6上：子域主机创建henan.magedu.com的master区域

3、vim /etc/named.conf

关闭dnssec 功能：

dnssec-enable no;

dnssec-validation no

4、vim /etc/named.rfc1912.zones

zone "henan.magedu.com" IN {

type master;

file "henan.magedu.com.zone";

};

5、vim /var/named/henan.magedu.com.zone

$TTL 86400 ; 1 day

@ IN SOA dns1 mail.magedu.com. (

2017100901 ; serial

86400 ; refresh (1 day)

3600 ; retry (1 hour)

604800 ; expire (1 week)

10800 ; minimum (3 hours)

)

NS dns1

dns1 A 192.168.30.106

www CNAME websrv

websrv A 6.6.6.6

6、rndc reload 重新加载配置文件

7、检测 dig www.henan.magedu.com @192.168.30.107 因为是委派，所以直接测107

实验五：服务器转发

原理：要访问www.qq.com，beijing的dns服务器给zhengzhou、shanghai转发

在6上建立qq.com的数据库

1、vim /etc/named.rfc1912.zones

zone "qq.com" IN {

　　 type master;

　　 file "qq.com.zone";c

};

2、vim /var/named/qq.com.zone 自己写（改权限）或cp -p一个模板

$TTL 86400 ; 1 day

@ IN SOA dns1 mail.magedu.com. (

　　　　　　　　　　　　　　　　2017100901 ; serial

　　　　　　　　　　　　　　　　86400 ; refresh (1 day)

　　　　　　　　　　　　　　　　3600 ; retry (1 hour)

　　　　　　　　　　　　　　　　604800 ; expire (1 week)

　　　　　　　　　　　　　　　　10800 ; minimum (3 hours)

)

NS dns1

dns1 A 192.168.30.106

www CNAME websrv

websrv A 6.6.6.6

在7上设置转发

3、vim /etc/named.conf 设置全局转发

forward only ;

forwarders {192.168.30.106;};

named-checkconf 写完可以检测总配置文件的语法

或设置特定区域转发

vim /etc/named.rfc1912.zones

zone "qq.com" IN {

type forward;

forward first

forward { 192.168.30.106;};

};

4、rndc reload 重新加载配置文件

5、检测

dig www.qq.com @192.168.30.107

dig www.baidu.com @192.168.30.107 only的情况下，如果6的数据库没有记录，就不再询问根；first的情况下，如果6的数据库没有记录，7自己去询问根

实验六：包含子域、主从、委派的模拟dns整个过程的实验

注意：做实验之前需：关闭防火墙，关闭selinux

vim /etc/named.conf 注释两项或改两项

// listen-on port 53 { 127.0.0.1; };

// allow-query { localhost; };

或

listen-on port 53 { localhost; };

allow-query { any; };

改两个no

dnssec-enable no;

dnssec-validation no;

1、从107 magedu 主 开始：

① vim /etc/named.con 主配置文件加一条

allow-transfer { 192.168.30.103;};

注释或修改两行

// listen-on port 53 { 127.0.0.1; };

// allow-query { localhost; };

② vim /etc/named.rfc1912.zones 数据库配置文件

zone "magedu.com" IN {

type master;

file "magedu.com.zone";

};

③ vim /var/named/magedu.com.zone

$TTL 1D

@ IN SOA dns1 mail.magedu.com. (

2017100901 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

NS dns1

NS dns2

dns1 A 192.168.30.107

dns2 A 192.168.30.103

www CNAME websrv

websrv A 192.168.30.106

④ rndc reload

⑤ 测试

dig www.magedu.com @192.168.30.107

2、103 magedu.com 从：

① vim /etc/named.conf

注释或修改2行

allow-transfer { none;}; 为了安全，不允许任何人传输信息

② vim /etc/named.rfc1912.zones

zone "magedu.com" IN {

type slave;

masters { 192.168.30.107;};

file "slaves/magedu.com.zone";

};

③ rndc reload

④ 测试

dig www.magedu.com @192.168.30.103

3、102 com：是被根委派，委派magedu的主107、从103

① vim /etc/named.conf

注释或修改2行

为了不影响转发、委派：改两个no

dnssec-enable no;

dnssec-validation no;

② vim /etc/named.rfc1912.zones

zone "com" IN {

type master;

file "com.zone";

};

③ vim /var/named/com.zone

$TTL 1D

@ IN SOA dns1 rname.invalid. (

0 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

NS dns1

magedu NS dns2

magedu NS dns3

dns1 A 127.0.0.1

dns2 A 192.168.30.107

dns3 A 192.168.30.103

④ rndc reload

⑤ 检测

dig www.magedu.com @192.168.30.102

4、101 根：委派com

① vim /etc/named.conf

注释或修改2行

为了不影响转发、委派：改两个no

dnssec-enable no;

dnssec-validation no;

自己当根：

zone "." IN {

type master;

file "root.zone";

};

② vim /var/named/com.zone

$TTL 1D

@ IN SOA dns1 rname.invalid. (

0 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

NS dns1

com NS dns2

dns1 A 192.168.30.101

dns2 A 192.168.30.102

③ rndc reload

④ 检测

dig www.magedu.com @192.168.30.101

5、104 第一个dns服务器：委派

① vim /etc/named.conf

注释或修改2行

为了不影响转发、委派：改两个no

dnssec-enable no;

dnssec-validation no;

② vim /var/named/named.ca 修改根服务器数据库

删除其他的根记录，留一个101的根A记录

A.ROOT-SERVERS.NET. 3600000 A 192.168.30.101

③ rndc reload

④ 检测

dig www.magedu.com @192.168.30.104

6、105 客户端：

① 修改网卡配置，dns指向192.168.30.104

DNS1=192.168.30.104

② 重启网络服务

service network restart

③ 检测

dig www.magedu.com

links www.magedu.com

实验全部结束！！！

实验七：智能dns

原理：ACL的实现，和view视图来匹配acl中的设置和zone数据库信息

1、vim /etc/named.conf 在总配置文件中，加2条acl设置，acl设置要

acl henannet {

192.168.30.0/24;

192.168.31.1/24;

};

acl beijingnet {

172.17.0.0/16;

172.18.0.0/16;

};

2、vim /etc/named.conf 还是在主配置文件中，设置view关联：acl和zone区域

有两种方法：

方法一：直接就在主配置文件中设置好zone数据库

方法二：在主配置文件中指向/etc/named.rfc1912.zones中，在这个文件中设置zone数据库

view henanview {

match-clients { henannet;};

zone "magedu.com" {

type master;

file "magedu.com.zone.henan";

};

zone "." IN { //加个根zone，是为了能访问外网

type hint;

file "named.ca";

};

};

view beijingview {

match-clients { beijingnet;};

include "/etc/named.rfc1912.zones.beijing";

zone "." IN {                 //加个根zone，是为了能访问外网

type hint;

file "named.ca";

};

};

view otherview { //加一个other，不在那两个view的也要能访问

match-clients {any;};

include "/etc/named.rfc1912.zones";

};

3、若2采用了方法二，则需：

vim /etc/named.rfc1912.zones.beijing

zone "magedu.com" IN {

type master;

file "magedu.com.zone.beijing";

};

若有other，需：

vim /etc/named.rfc1912.zones

zone "magedu.com" IN {

type master;

file "magedu.com.zone";

};

4、在数据库中随便配置点设置，为了试验测试结果明显，可以把三个解析的地址写为不同的

vim /var/named/magedu.com.zone

vim /var/named/magedu.com.zone.henan

vim /var/named/magedu.com.zone.beijing

$TTL 1D

@ IN SOA dns1 mail.magedu.com. (

2017100903 ; serial

1D ; refresh

1H ; retry

1W ; expire

3H ) ; minimum

NS dns1

dns1 A 192.168.30.107

www CNAME websrv

websrv A 6.6.6.6

5、测试，测试的解析不一样

dig www.magedu.com @192.168.30.107 测试henan

dig www.magedu.com @172.17.252.107 测试beijing

dig www.magedu.com @127.0.0.1 测试other