DNS部署与安全详解（下）_配置默认转发器

---

前言

  上一篇博客我们已经在Windows server2003的虚拟机上下载了DNS软件，已经使这台电脑成为了名副其实的DNS服务器，今天我们就继续对这台服务器进行更高端的配置。

---

一、指定区域解析配置

  鼠标点击电脑左下角【开始】，点击【所有程序】，点击【管理工具】，点击【DNS】，打开DNS软件配置页面。

  进入DNS配置页面之后，点击服务器名字前面的【+】，展开可以看到【正向查找区域】和【反向查找区域】

  假如我这台服务器要负责 “baidu.com” 结尾的域名解析，也就是说百度花钱买了这个域名之后，然后我就可以给他新建一个区域，不是域名哦，是区域。鼠标右键点击【正向查找区域】，在下拉列表中点击【新建区域】

点击【下一步】

  如下图，【主要区域】指的是主服务器的存放区域，【辅助区域】也叫备份区域，就是说已经在公司部署了一台主服务器了，想再做一台备份服务器，以防主服务器坏了，这时候就要用到辅助服务器，也就是【辅助区域】，【存根区域】我们一般用不到，在公司里面没有必要有自己的根，一般都是国家级别的会有 。因为我们现在是配置自己公司的第一台服务器，也就是主服务器，所以点击【主要区域】，然后点击【下一步】

  这一步是【区域名称】，这里就写baidu.com。意思是告诉全世界，以后负责baidu.com结尾的域名都由我来解析，我就是这个域的权威服务器。填写好了，然后点击【下一步】

  如下图可以看到，在我的C盘里面就会生成这样一个文件：baidu.com.dns，这个文件叫区域文件。这个区域文件专门来负责解析baidu.com结尾的正向解析。将来比如mp3.baidu.com、mail.biadu.com等等这些以baidu.com结尾的域名都要写入到该区域文件中去。这个页面我们不做改动，直接点击【下一步】

直接点击【下一步】

  这里就可以看到我们配置好的区域参数，建的区域名称是baidu.com，类型是主要区域，也就是本服务器是baidu.com的DNS主服务器，查找的类型是正向解析，生成的文件名叫baidu.com.dns。然后点击【完成】

在DNS软件里面点击【正向查找区域】，就可以看到我们建好的baidu.com区域

  查询区域已经建好了，但是里面还没有存入域名信息和对应IP地址。假设这时候百度购买了一台服务器，主机名是www，IP地址是1.1.1.1。把这个信息告知了我这台DNS服务器，那我们需要存入这条信息。步骤如下：

  1.右键点击【baidu.com】，在下拉列表中选择【新建主机(A)(S)】，新建主机记录也叫A记录，是一条标准的正向解析记录

  2.名称就写www，主机名写了之后，完全合格的域名会自动补齐，IP地址就写1.1.1.1，然后点击【添加主机】，点击【确定】，点击【完成】

  3.就可以看到这里存储了这条解析记录：主机www，完全域名www.baidu.com，对应的IP地址1.1.1.1

  接下来验证一下是否创建好www.baidu.com的域名解析，打开WindowsXP虚拟机，注意：不能打开浏览器输入www.baidu.com直接测试，因为我们给的IP1.1.1.1是随意给的，而且该虚拟机本身也无法上网。我们需要通过控制台，用命令行来测试。cmd进入控制台之后，输入命令nslookup www.baidu.com来查看，如下图：

  为什么会出现这个结果？因为我们这台客户机没有将DNS解析指向我们指定的Windows server2003 DNS服务器。需要我们手动设置一下，让客户机的DNS解析指向我们服务器的IP地址：10.1.1.1，步骤如下：

  1.鼠标右键点击【网上邻居】，在下拉列表中点击【属性】

  2.右键点击【本地连接】，在下拉列表中点击【属性】

  3.鼠标双击【Internet 协议（TCP/IP）】

  4.勾选【使用下面的DNS服务器地址（E）】，然后填写IP地址，点击【确定】，点击【确定】

  5.再回到控制台，输入命令：nslookup www.baidu.com，回车，可以看到如下图，www.baidu.com解析成功，IP地址是1.1.1.1，解析的服务器IP地址是10.1.1.1

  需要注意的是，如果在做测试的时候用的是真机，那么测完之后真机可能会上不了网。因为本机访问域名进行解析的思路是首先查看本地缓存，结果测试时候给的是假解析IP，那么本地就保存下来这个假的了，以后再去访问www.baidu.com就访问的是IP为1.1.1.1的网址，而不是真的百度，所以上不了网。那怎么办呢？

  这里大家需要记住一个命令，专门用来清理本地的DNS缓存，清理过后又可以正常上网。首先cmd进入控制台，在里面输入：ipconfig /flushdns，然后回车

  那与之对应的，如果我们要查看本地DNS缓存呢？查看本地DNS缓存的命令是：ipconfig /displaydns

二、DNS服务器对外名称显示配置

  接下来做个小实验，我们输入nslookup www.baidu.com之后可以看到如下图：

  里面显示的的我的DNS服务器名字是UnKnow，然后我们看看真机的显示画面，如下图：

  对比就可以看出我们的服务器给用户显得不正规或者不专业，我们接下来要做的就是给自己的服务器起个名字，一个合格的域名解析服务器是必须要有名字的，步骤如下。

  1.右键点击空白区域，在弹出下拉列表点击【新建主机】

  2.主机名叫dns1，IP地址填写服务器IP，勾选【创建相关的指针】，然后点击【添加主机】，点击【确定】，点击【完成】

  3.可以看到已经创建好了

  4.鼠标右键点击【反向查找区域】，在下拉列表中点击【新建区域】

  5.点击【下一步】

  6.点击【下一步】

  7.网络这里填写10.1.1，点击【下一步】

  8.点击【下一步】

  9.点击【下一步】

  10.点击【完成】

  11.右键点击新建好的反向查找区域，在下拉列表中点击【新建指针】

  12.这里改为1，然后点击【浏览】

  13.连续双击点击这里找到下级目录，一直到看到我们新建的正向查找里面的10.1.1.1，然后选中它，点击【确定】，点击【确定】

  14.再回到客户机中，cmd进入控制台，输入命令：nslookup www.baidu.com，就可以看到我们DNS服务器名字已经更改了

三、转发器使用配置

  上面实验中我们使用Windows server2003虚拟机作为DNS服务器，进行配置专门用于解析baidu.com域名结尾的区域。接下来我们再使用另外的一台虚拟机用于配置qq.com域名结尾的解析，步骤和上面的基本一致，我简单提几步。
  首先，需要将这台虚拟机的IP改为固定IP，至于更改方法不会的，可以看我上一篇博客【DNS部署与安全详解（上）】，我们之前的那台DNS服务器IP配置的是10.1.1.1，这台服务器我们就配置为10.1.1.2，如下图所示：

  其次，配置正向查找区域，区域名称设置为qq.com，其余步骤和上面配置baidu.com一致，如下图：

  最后就是配置主机名，上面我们配置www.baidu.com给的解析IP是1.1.1.1，这里我们就给www.qq.com配置解析IP为5.5.5.5，如下图：

  全部配置好之后如下图：

  接下来我们验证一下，使用XP那台虚拟机，cmd进入控制台，输入命令：nslookup www.qq.com，回车可以看到如下图。

  从上图可以看出，XP这台客户机使用的DNS服务器还是之前解析baidu.com域名的那台服务器，IP地址10.1.1.2，那台服务器上我们只配置专门来解析baidu.com，没有qq.com的解析，所以自然解析失败。那怎么办呢？有的小伙伴可能会说：要不把XP这台客户机的DNS解析IP更改为10.1.1.2，这样也行，但是我们原来配置的解析baidu.com的就失效了，那如何保证原有的服务器配置有效，另外现在这台qq.com的配置也能使用呢？
  接下来就是我们的转发器派上用场了，上一篇博客里面我有提到，如果公司内部要配置本地DNS服务器，一般都会配有转发器，它的作用就是如果本台服务器上找不到解析，就通过转发器将请求转发到我们指定的另外一台DNS服务器上，也就是让我们的10.1.1.1这台服务器和10.1.1.2这台服务器产生关联，那怎么给10.1.1.1配置转发器呢？步骤如下。

  1.右键点击服务器名称，在下拉列表中点击【属性】

  2.点击【转发器】，在下面输入10.1.1.2，点击【添加】，点击【确定】

  3.接下来回到客户机，继续验证一下，结果如下图所示，成功了。可以看到虽然绑定的是10.1.1.1这台DNS服务器，但是却解析了www.qq.com，证明转发器起了作用。

四、配置辅助（备份）服务器

  任何公司一般都会有两台DNS服务器，其中一台是辅助服务器，另一台是辅助服务器。假如主服务器出现问题了，辅助的可以顶上去使用，而且辅助服务器上的DNS配置都是复制的主服务器的，相当于是备份服务器。我们就以上面实验用的qq.com的解析服务器为备份服务器，备份baidu.com那台服务器的数据，步骤如下。

  1.右键点击qq.com，在下拉列表中点击【删除】，然后在弹框中点击【是】

  2.回到baidu.com域名解析的那台服务器上，右键点击baidu.com，在下拉列表中点击【属性】

  3.点击【区域复制】，勾选【只允许到下列服务器】，然后填入IP10.1.1.2，也就是我们要做成备份服务器的那台主机的IP地址，点击【添加】，点击【确定】

  4.回到这台已经删除qq.com的空白DNS服务器，右键点击【正向查找区域】，在下拉列表中点击【新建区域】

  5.点击【下一步】

  6.勾选【辅助区域】，因为我们要建的就是辅助服务器，而非主服务器，再点击【下一步】

  7.区域名称就叫baidu.com，然后点击【下一步】

  8.输入主服务器的IP也就是10.1.1.1，点击【添加】，点击【下一步】

  9.可以看到我们新建的就是辅助区域，点击【完成】

  10.鼠标右键点击baidu.com，在下拉列表中多次点击【刷新】，就可以看到复制过来的主服务器中的baidu.com区域的所有配置信息，至此辅助服务器就搭建完成

五、如何让虚拟机可以真实上网

  上述我们使用的Windows XP和Windows server2003两台虚拟机都是无法上网的，而且正常情况下虚拟机是连不了网。那该如何让虚拟机上网呢？步骤如下：

  1.鼠标右键分别单击winxp-1和win2003-1，也就是两台虚拟机名字，在下拉列表中点击【设置】

  2.点击【网络适配器】，点击【自定义(U):特定虚拟网络】，将网卡接口设置为VMnet0，VMnet0指的是电脑真实网卡，然后点击【确定】，两个虚拟机都做这样的设置

  3.点击虚拟机上方的【编辑】，在下拉列表中点击【虚拟网络编辑器】

  4.点击【更改设置】

  5.选中VMnet0，将默认的桥接方式自动改为自己电脑目前上网用的那块网卡名字，然后点击【确定】

  6.如何查看自己电脑目前上网所用的那块网卡名字是什么呢？鼠标右键点击电脑联网标志这里，在下拉列表中点击【打开“网络和Internet”设置】

  7.点击【以太网】，点击【更改适配器选项】

  8.可以看到如下图，网络4就是目前上网所用的这块网卡，且是有线网卡。有的小伙伴如果是无线网上网，那就是VMnet0桥接那里选中自己的无线网卡名称

  9.网卡设置为真实网卡之后，还要将两台虚拟机的IP和DNS设置为自动获取，因为我们之前做实验，将其中一台IP设置为固定IP了，真实网络中IP地址池里可能是没有该IP的，以及DNS也要设置为自动获取，是因为真实本地DNS的IP地址也不会是我们做实验的10.1.1.1。更改方式如下，首先右键点击【网上邻居】，在下拉列表中点击【属性】

  10.然后右键点击【本地连接】，在下拉列表中点击【属性】

  11.鼠标双击【Internet 协议（TCP/IP）】

  12.勾选【自动获得IP地址】和【自动获得DNS服务器地址】，点击【确定】，点击【确定】

  13.鼠标右键点击【本地连接】，在下拉列表中点击【停用】，也就是释放掉原来IP地址

  14.鼠标右键点击【本地连接】，在下拉列表中点击【启用】，也就是从地址池获取新的IP地址

  15.鼠标双击【本地连接】，在弹窗中点击【支持】，可以看到新的虚拟机IP地址和我们本机真实IP都是在同一网段的，此时虚拟机其实就是一台真实可以上网的电脑了，有自己独立的真实IP。另一台虚拟机也照此配置好

  16.验证一下能否上网，在两台虚拟机中cmd进入控制台，然后使用命令：ping www.baidu.com看看能不能ping通百度，结果如下图是可以的，证明是可以上网的

  经过上述实验，我们将Win XP和Windows server2003的两台虚拟机都配置成可以正常上网的两台真实电脑，现在我们可以让其中一台来充当DNS服务器，另一台为客户机，再来做一下DNS解析实验。首先我们需要把Windows server2003中的先前配置的所有DNS查找区域全部删除清空，相当于现在这台DNS服务器是一台仅仅安装了DNS软件的服务器，如下图：

  而且这台服务器刚才做了多次解析实验，里面是有缓存的，我们需要清空缓存，以免影响一会实验的结果。如下图，点击【查看】，点击【高级】

  可以看到这里多了一个【缓存的查找】，右键点击，然后在下拉列表中点击【清除缓存】

  然后我们需要查看下这台Windows sever2003服务器的IP是多少，然后记下来

  回到Windows XP这台虚拟机中，将这台客户机的DNS由自动分配改为刚才的Windows server2003服务器的IP，也就是192.168.110.137

  接下来验证一下，cmd进入控制台，在里面先使用命令：ipconfig /flushdns清空本地缓存，因为之前XP这台客户机做过多次实验，本地也有之前的解析记录，所以要清空，不然解析会直接找本地缓存，如下图

  然后输入命令：nslookup www.jd.com，回车，如下图

  可以看到解析成功了，可是刚才我是已经清空了Windows server2003那台服务器里面的DNS配置了，怎么还会解析成功呢？上一篇博客，我们学习了DNS服务器解析的原理，如果自己里面没有该域名配置信息，它会找根服务器，而这台Windows server2003现在已经可以正常上网，所以是可以去国外找根服务器，然后逐级迭代查询，最终拿到正确的域名解析结果，返回给客户机。
  只是这种查找方式对我们本地DNS服务器来说负荷太大，可以使用转发器将我们收到的请求转发出去，让公网服务器去迭代查询，最终给我们结果就行，这样减轻Windows server2003这台虚拟机的工作量。配置方法和上面的一样，转发的IP我们就写114.114.114.114，如下图

  再来验证，回到XP虚拟机，cmd进入控制台，输入命令：nslookup www.sina.com.cn，看看结果

六、为DNS服务器配置别名

  在Windows server2003服务器上，我们新建一个baidu.com的域名解析区域，在里面新建一个主机名www，步骤上面都有，就不再详细演示，结果如下图所示：

  然后右键点击空白处，在下拉列表中点击【新建别名（CNAME）】

  别名就叫xiaoshiyi，然后点击【浏览】

  进来之后鼠标多次双击服务器名称

  直到看到我们设置的主机名www，选中该主机名，点击【确定】，点击【确定】

  可以看到别名创建成功了，也就是说客户机在访问www.baidu.com，其实就是在访问xiaoshiyi.baidu.com，两者一样

  我们验证一下，来到XP客户机，cmd进入控制台，输入命令：nslookup xiaoshiyi.baidu.com，回车如下图

  从图中可以看出，xiaoshiyi.baidu.com的IP就是我们指定的www.baidu.com的IP，而且我们找xiaoshiyi.baidu.com，会告诉我们它是个别名，Aliases是别名的意思，原名是www.baidu.com。
  回到我们真实机上，cmd进入控制台，输入：nslookup www.baidu.com，回车如下图：

  可以看到其实www.baidu.com也是别名，百度的原名是www.a.shifen.com，只是百度屏蔽了这个原名，已经不用了，我们输入原名访问不了。