DNS服务

2021-10-11 03:27:00

时间：2018.1.23
作者：李强
参考：man,info，magedu讲义,万能的internet
实验环境：VMware® Workstation 12 Pro ,Centos 6.9,Centos 7.4，SecureCRT Version 8.1.4
声明：以下英文纯属个人翻译，英文B级，欢迎纠正，以下内容纯属个人理解，并没有对错，只是参考，盗版不纠,才能有限，希望不误人子弟为好。
版本：v1-2018.1.23

官方资料

[ https://www.isc.org/downloads/bind/doc/]

1、安装软件包

1.1 安装DNS服务器端

getent services domain

getent services | grep domain

可以提供DNS服务的软件有许多，历史悠久的有isc组织的bind

yum install bind （bind(Berkeley Internet Name Domain)）

==配置文件==
/etc/logrotate.d/named
/etc/named
/etc/named.conf
/etc/named.iscdlv.key
/etc/named.rfc1912.zones
/etc/named.root.key
/etc/rndc.conf
/etc/rndc.key
/etc/rwtab.d/named
/etc/sysconfig/named
/run/named
==库文件==
/usr/lib/systemd/system/named-setup-rndc.service
/usr/lib/systemd/system/named.service
/usr/lib/tmpfiles.d/named.conf
/usr/lib64/bind
/usr/libexec/generate-rndc-key.sh
==二进制文件==
/usr/sbin/arpaname
/usr/sbin/ddns-confgen
/usr/sbin/dnssec-checkds
/usr/sbin/dnssec-coverage
/usr/sbin/dnssec-dsfromkey
/usr/sbin/dnssec-importkey
/usr/sbin/dnssec-keyfromlabel
/usr/sbin/dnssec-keygen
/usr/sbin/dnssec-revoke
/usr/sbin/dnssec-settime
/usr/sbin/dnssec-signzone
/usr/sbin/dnssec-verify
/usr/sbin/genrandom
/usr/sbin/isc-hmac-fixup
/usr/sbin/lwresd
/usr/sbin/named
/usr/sbin/named-checkconf
/usr/sbin/named-checkzone
/usr/sbin/named-compilezone
/usr/sbin/named-journalprint
/usr/sbin/nsec3hash
/usr/sbin/rndc
/usr/sbin/rndc-confgen
==帮助文件==
/usr/share/doc/bind-9.9.4/..
/usr/share/man/man{1,5,8}/..
==日志文件==
/var/log/named.log
==数据库文件==
/var/named
/var/named/data
/var/named/dynamic
/var/named/named.ca
/var/named/named.empty
/var/named/named.localhost
/var/named/named.loopback
/var/named/slaves

1.2 安装DNS客户端相关软件包

yum install bind-utils //客户端工具，例如diag、host、nslookup等。

yum install bind-chroot //会将所有的named服务的文件通过文件挂载的方式，生成一个新的根对于named服务来说。

2、相关概念，工作原理

FQDN：Full Qualified Domain Name

根域：13组根域，ICANN（The Internet Corporation for Assigned Namesand Numbers）互联网名称与数字地址分配机构，

负责在全球范围内对互联网通用*域名（gTLD）以及国家和地区*域名（ccTLD）系统的管理、以及根服务器系统的管理

查询方式（递归和迭代）

递归，我问你，你回答我

迭代，我问你，我不知道，你去问甲，甲说我知道，你去问乙，乙说我知道，你去找丙，丙说我知道，xxx是ipxxx，

一般我们就是递归到DNS服务器，然后DNS服务器去迭代查找，然后将查询的结果，回复给客户端请求。根不提供递归操作。

DNS缓存机制。因为我们不可能总是去询问DNS服务器，所以会将你访问的DNS缓存到本地，设置一个老化时间。

DNS请求，先决定我去×××啊，首先是nsswitch.conf 名称服务交换服务，去决定我们从哪里去查找名称解析。对于hosts而言默认是files然后是dns
files定义在/etc/hosts中，dns定义在/etc/resolve.conf中。
DNS解析过程：

graph LR
A[DNS客户端]-->B[DNS客户端hosts文件]
B[DNS客户端hosts文件]-->|如果没找到|C[DNS客户端本地DNS缓存]
C[DNS客户端本地缓存]-->|没找到|D[DNS服务器]
D[DNS服务器]-->|是否属于本地zone|E[DNS服务器本地数据库]
E[DNS服务器本地数据库]-->|是否存在于本地缓存|F[DNS本地缓存]
F[DNS本地缓存]-->|没找到|G[DNS服务器iteration迭代查询]

Qustion:DNS如何查看本地缓存和清除缓存?

windows下可以通过ipconfig /displaydns 和ipconfig /flushdns

linux 下客户端默认不存在dns缓存信息，需要安装nscd软件包来管理dns缓存信息，但是只是能某种程度上提高dns解析的速度，但是其记录是data所以无法通过cat或者nscd命令本身查看，只能用nscd -i hosts 来清除dns的缓存。

DNS server 通过rndc flush 来清除缓存，具体看man rndc

2.1 Resource record

资源记录

SOA:start of authority 起始授权，表明查询此区域从这里指定的DNS解析服务器开始

NS: name server 域名服务器，告诉我们这个区域有哪些DNS解析服务器，有哪些子域的DNS服务器

MX：mail exchanger 邮件交换器

A: address FQDN-IP，此区域下有哪些IPV4主机记录

PTR:pointer（指针） IP-FQDN 此记录在反向解析的区域中和正向解析的A记录作用一样

AAAA：address FQDN-IPV6，这个是针对IPV6的解析，和A记录一样，表示当前区域下有哪些IPV6主机

CNAME：canonical（正确） name 正确的记录，记录别名

资源记录放置在DNS的数据库文件（区域数据文件，区域有自己的名称）中，通常数据库文件是文本格式，

资源记录格式：

name [ttl] class RRtype（资源记录类型） Value

1、ttl值可以从全局继承
$TTL 1D

2、@表示应用当前区域文件的区域名

3、当相同的name对应多个不同的value值，采用轮询的方式来响应dns请求。

4、多个不同的name对应相同的value值，仅代表能通过不同的名称找到这个主机ip而已

5、class 有三种常用IN ,HS,CH


SOA记录格式
$TTL 1D
@ IN  SOA xxx (

    ;serial
    ;refresh //从服务器同步时间
    ;retry   //从服务器同步失败后，再次尝试的时间
    ;expire  //当主服务器挂了，我尝试多久判断主服务器停止服务，我也停止服务，
    ;minimum //否定结果的缓存有效期

)
NS记录格式

MX记录格式

A记录格式
name 可以有多种表示方式
@ 表示区域名zone.
可以简写，也可以写全就是name.zone.
当大量连续相似的可以使用

$GENERATE 1-127  表示连续的1-127 然后之后用$ 来调用这个1-127

$ORIGIN EXAMPLE.
$GENERATE 1-127 HOST-$ A 1.2.3.$
表示
HOST-1.EXAMPLE. A 1.2.3.1.EXAMPLE.
...........................
...........................
HOST-127.EXAMPLE. A 1.2.3.127.EXAMPLE.
PTR记录格式

CNAME记录格式

3、 dig 和host 和nslookup客户端测试工具 ,rndc和named

服务器端工具
rndc


SYNOPSIS
       rndc [-b source-address] [-c config-file] [-k key-file] [-s server] [-p port] [-V] [-y key_id] {command}

用法：
command常用如下
reload：从新加载配置文件和区域数据
flush：清除服务器的缓存

named

SYNOPSIS
       named [-4] [-6] [-c config-file] [-d debug-level] [-E engine-name] [-f] [-g] [-m flag] [-n #cpus]
             [-p port] [-s] [-S #max-socks] [-t directory] [-U #listeners] [-u user] [-v] [-V] [-x cache-file]

named-checkconf (检查named的配置文件语法)


SYNOPSIS
       named-checkconf [-h] [-v] [-j] [-t directory] {filename} [-p] [-z]
用法：
filename不指定默认是/etc/named.conf
-p：如果检查没有错误，以规范的格式删除/etc/named.conf和其中include的文件内容
-z：
-t：

named-checkzone(检查named的zone配置文件语法)

arpaname （将ip地址生成反向解析的arpa格式）
客户端工具
dig（domain information groper域名信息搜索器）

SYNOPSIS
        dig [@server] [-b address] [-c class] [-f filename] [-k filename] [-m] [-p port#] [-q name] [-t type]
           [-x addr] [-y [hmac:]name:key] [-4] [-6] [name] [type] [class] [queryopt...]

       dig [-h]

       dig [global-queryopt...] [query...]
用法：

我们以百度www.baidu.com来查询

1、我们先找根服务器
dig NS .

然后去找负责com.区域的服务器

2、dig NS com. @a.root-servers.net.(192.5.5.241)

;; QUESTION SECTION:
;com.                           IN      NS

;; AUTHORITY SECTION:
com.                    172800  IN      NS      f.gtld-servers.net.
com.                    172800  IN      NS      l.gtld-servers.net.
com.                    172800  IN      NS      c.gtld-servers.net.
com.                    172800  IN      NS      d.gtld-servers.net.
com.                    172800  IN      NS      e.gtld-servers.net.
com.                    172800  IN      NS      j.gtld-servers.net.
com.                    172800  IN      NS      b.gtld-servers.net.
com.                    172800  IN      NS      k.gtld-servers.net.
com.                    172800  IN      NS      m.gtld-servers.net.
com.                    172800  IN      NS      i.gtld-servers.net.
com.                    172800  IN      NS      h.gtld-servers.net.
com.                    172800  IN      NS      g.gtld-servers.net.
com.                    172800  IN      NS      a.gtld-servers.net.

;; ADDITIONAL SECTION:
a.gtld-servers.net.     172800  IN      A       192.5.6.30
b.gtld-servers.net.     172800  IN      A       192.33.14.30
c.gtld-servers.net.     172800  IN      A       192.26.92.30
d.gtld-servers.net.     172800  IN      A       192.31.80.30
e.gtld-servers.net.     172800  IN      A       192.12.94.30
f.gtld-servers.net.     172800  IN      A       192.35.51.30
g.gtld-servers.net.     172800  IN      A       192.42.93.30
h.gtld-servers.net.     172800  IN      A       192.54.112.30
i.gtld-servers.net.     172800  IN      A       192.43.172.30
j.gtld-servers.net.     172800  IN      A       192.48.79.30
k.gtld-servers.net.     172800  IN      A       192.52.178.30
l.gtld-servers.net.     172800  IN      A       192.41.162.30
m.gtld-servers.net.     172800  IN      A       192.55.83.30

3、然后去找负责baidu.com.区域的服务器

dig NS baidu.com. @a.gtld-servers.net.(192.5.6.30)

查找负责解析baidu.com.区域的DNS服务器有以下
;; QUESTION SECTION:
;baidu.com.                     IN      NS

;; AUTHORITY SECTION:
baidu.com.              172800  IN      NS      dns.baidu.com.
baidu.com.              172800  IN      NS      ns2.baidu.com.
baidu.com.              172800  IN      NS      ns3.baidu.com.
baidu.com.              172800  IN      NS      ns4.baidu.com.
baidu.com.              172800  IN      NS      ns7.baidu.com.

;; ADDITIONAL SECTION:
dns.baidu.com.          172800  IN      A       202.108.22.220
ns2.baidu.com.          172800  IN      A       61.135.165.235
ns3.baidu.com.          172800  IN      A       220.181.37.10
ns4.baidu.com.          172800  IN      A       220.181.38.10
ns7.baidu.com.          172800  IN      A       119.75.219.82

4、然后去找www.baidu.com 

dig  NS  www.baidu.com @202.108.22.220

;; QUESTION SECTION:
;www.baidu.com.                 IN      NS

;; ANSWER SECTION:
www.baidu.com.          1200    IN      CNAME   www.a.shifen.com.

;; AUTHORITY SECTION:
a.shifen.com.           1200    IN      NS      ns2.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns1.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns5.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns3.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns4.a.shifen.com.

;; ADDITIONAL SECTION:
ns1.a.shifen.com.       1200    IN      A       61.135.165.224
ns2.a.shifen.com.       1200    IN      A       180.149.133.241
ns3.a.shifen.com.       1200    IN      A       61.135.162.215
ns4.a.shifen.com.       1200    IN      A       115.239.210.176
ns5.a.shifen.com.       1200    IN      A       119.75.222.17

它说www.name.com 是www.a.shifen.com 的别名，那么负责shifen.com的DNS服务器是哪个。有好多，然后又有好多可解析a.shifen.com的DNS服务器地址

dig NS shifen.com. @192.5.6.30

;shifen.com.                    IN      NS

;; AUTHORITY SECTION:
shifen.com.             172800  IN      NS      dns.baidu.com.
shifen.com.             172800  IN      NS      ns2.baidu.com.
shifen.com.             172800  IN      NS      ns3.baidu.com.
shifen.com.             172800  IN      NS      ns4.baidu.com.

;; ADDITIONAL SECTION:
dns.baidu.com.          172800  IN      A       202.108.22.220
ns2.baidu.com.          172800  IN      A       61.135.165.235
ns3.baidu.com.          172800  IN      A       220.181.37.10
ns4.baidu.com.          172800  IN      A       220.181.38.10

好我就去问a.shifen.com区域是谁负责解析的。

;; QUESTION SECTION:
;a.shifen.com.                  IN      NS

;; AUTHORITY SECTION:
a.shifen.com.           1200    IN      NS      ns2.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns1.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns4.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns5.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns3.a.shifen.com.

;; ADDITIONAL SECTION:
ns1.a.shifen.com.       1200    IN      A       61.135.165.224
ns2.a.shifen.com.       1200    IN      A       180.149.133.241
ns3.a.shifen.com.       1200    IN      A       61.135.162.215
ns4.a.shifen.com.       1200    IN      A       115.239.210.176
ns5.a.shifen.com.       1200    IN      A       119.75.222.17

5、那么解析 www.a.shifen.com 

dig A www.a.shifen.com @61.135.165.224 

;; QUESTION SECTION:
;www.a.shifen.com.              IN      A

;; ANSWER SECTION:
www.a.shifen.com.       300     IN      A       61.135.169.125
www.a.shifen.com.       300     IN      A       61.135.169.121

;; AUTHORITY SECTION:
a.shifen.com.           1200    IN      NS      ns1.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns2.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns3.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns4.a.shifen.com.
a.shifen.com.           1200    IN      NS      ns5.a.shifen.com.

;; ADDITIONAL SECTION:
ns1.a.shifen.com.       600     IN      A       61.135.165.224
ns2.a.shifen.com.       600     IN      A       180.149.133.241
ns3.a.shifen.com.       600     IN      A       61.135.162.215
ns4.a.shifen.com.       600     IN      A       115.239.210.176
ns5.a.shifen.com.       600     IN      A       119.75.222.17

nslookup （交互式查询域名工具）

SYNOPSIS
        nslookup [-option] [name | -] [server]

用法：  
  nslookup 不加参数进入交互式模式
  nslookup host server 指定dns解析host
  交互式选项主要有set和ls,exit退出交互式模式

host

SYNOPSIS
        host [-aCdlnrsTwv] [-c class] [-N ndots] [-R number] [-t type] [-W wait] [-m flag] [-4] [-6] {name}
            [server]

用法：
    简单查询域名的工具,不加参数列出用法
    host [name] [server]  指定用哪个域名服务器去查询主机，可以正向查询，也可以反向查询，name指定为FQDN或者ip即可。

4、DNS服务器类型，主从方式，转发，master|slave|forward

主DNS服务器

options{

   allow-transfer {slaverdns_ip;};

}；

zone "magedu.com" IN {

  type master;
  file "named.magedu.com"

};

从DNS服务器

options{

    allow-transfer {none;};
};

zone "magedu.com" IN {

  type slave;
  masters {masterdns_ip;};
  file "slaves/named.magedu.com";    
};

sequenceDiagram
主服务器->>从服务器:小弟来给你库
从服务器->>主服务器:好的大哥
从服务器->>主服务器:大哥数据库更新了没
主服务器->>从服务器:小弟没有更新

转发服务器

全局转发：

options {

    forward first|only;   //only只转发，找到找不到都不去找根；first，先找ip，ip找不到去找根
    forwarders {ip;};

}；

区域转发：

zone xxx IN {             //指定哪个区域需要转发            

    forward first|only;   //only只转发，找到找不到都不去找根；first，先找ip，ip找不到去找根
    forwarders {ip;};

};

5、子域

vim /var/named.magedu.com
    zhengzhou IN  NS  zhengzhou 
    zhengzhou IN  A   192.168.23.72

6、view（视图，智能DNS）和 acl

步骤
- 首先要创建acl匹配用户端ip（可以不使用acl，直接写1.0.0.0/16在match-clients中）
- 然后要开启view，所有的zone和include 配置的zone数据都要移动到view视图配置中
- 为不同的acl提供不同的数据库文件，返回的解析地址也更符合用户的需求。就是只能dns，因此这里重要的是acl中数据的精准和快速的匹配。
```
以下就是针对不同地域的客户端主机，分配不同的dns解析数据库，去解析离客户端最近的服务器地址。通常配合CDN使用。
acl chinet {1.0.0.0/16;};
acl cmcc   {2.0.0.0/16;};   
acl unicom {3.0.0.0/16;};
acl other  {any;};
view view_chinet{
```
match-clients {chinet; };
zone "magedu.com"{
type master;
file "named.magedu.com";
};
include "/etc/named.xxx"; //这里通常放置的公共的配置数据
};
view view_cmcc{

match-clients {chinet; };
zone "magedu.com"{
type master;
file "named.magedu.com";
};
include "/etc/named.xxx"; //这里通常放置的公共的配置数据
};
等其他视图

注意

DNS 使用udp 53 监听查询，主从区域数据同步需使用tcp 53 和udp 53

7、bind编译安装

前提：准备编译环境，开发工具等

1、下载源码，并解压，进入编译安装目录

[https://www.isc.org/downloads/xxx]
tar xf bind-9.10.6-P1.tar.gz
cd bind-9.10.6-P1

2、执行编译操作

mkdir -pv /home/lq/program/bind
./configure --prefix=/home/lq/program/bind --sysconfdir=/etc/named/ --without-openssl
yum  groupinstall  Development tools
yum  install openssl-devel
make && make install

3、创建用户

groupadd -r -g 53 named
useradd -r -s /sbin/nologin -u 53 -g 53 named

4、创建相关配置文件，及添加程序执行路径到PATH变量


echo 'export PATH='/home/lq/program/bind/bin:$PATH'' > /etc/profile.d/named.sh

man -M  /home/lq/program/share/man   named.conf

vim /etc/named.conf
options {

    dirname=/var/named;

};
zone "." IN {

  type hint;
  file "named.ca";

};

mkdir /var/named

vim /var/named/named.ca

chmod 640
chown root:named


- 5、创建服务启动脚本

# 8、dns全局环境搭建测试

- 实验目的：

模拟客户端-运营商服务器-根域（.）-根的一级子域（com）-一级子域的一级子域（magedu.com）-(magedu.com的主从服务器)-服务器主机（www.magedu.com)的解析过程。

- 地址规划：

编号 | 主机 | ip地址
---|---|---
1 | 根（.）| 192.168.23.71/24
2 | com域（dns.com.） | 192.168.23.72/24
3 | magedu.com主域(dnsmaster.magedu.com.) | 192.168.23.72/24
4 | magedu.com备域(dnsslave.magedu.com.) | 192.168.23.74/24
5 | www网站(www.magedu.com) | 192.168.23.75/24
6 | 运营商服务器 | 192.168.23.76/24
7 | 客户端  | 192.168.32.77/24

- 根配置：

vim /etc/named.conf
    options{
        directory "/var/named";
        recursion no;
    };
    zone "." IN {
       type hint;
       file "named.ca";
    };

vim /var/named/named.ca
    $TTL 1D
    @                   IN      SOA     @ ( 0 1D 3H 1W 2H)
    @                   IN      NS      a.root-servers.net.  
    a.root-servers.net. IN      A       192.168.23.71

chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chgrp -R named /var/named/
chgrp named /etc/named/named.conf


- com.域配置：

vim /etc/named.conf
    options{
        directory "/var/named";
        recursion no;
    };
    zone "." IN {
       type hint;
       file "named.ca";
    };
    zone "com." IN {
        type master;
        file "named.com";
    };

dig NS . @ 192.168.23.71 > /var/named/named.ca

vim /var/named/named.com
    $TTL 1D
    @                   IN      SOA     dns  ( 0 1D 3H 1W 2H)
    @                   IN      NS      dns  
   magedu               IN      NS      dnsmaster.magedu
   magedu               IN      NS      dnsslave.magedu
   dns                  IN      A       192.168.23.72
   dnsmaster.magedu     IN      A       192.168.23.73
   dnsslave.magedu      IN      A       192.168.23.74

chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chgrp -R named /var/named/
chgrp named /etc/named/named.conf

- magedu.com.主域配置：

vim /etc/named.conf
    options{
        directory "/var/named";
        recursion no;
    };

    zone "magedu.com." IN {
        type master;
        file "named.magedu.com";
    };

vim /var/named/named.com
    $TTL 1D
    @                   IN      SOA     dnsmaster  ( 0 1D 3H 1W 2H)
    @                   IN      NS      dnsmaster 
    @                   IN      NS      dnsslave
   dnsmaster            IN      A       192.168.23.73
   dnsslave             IN      A       192.168.23.74

chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chgrp -R named /var/named/
chgrp named /etc/named/named.conf

- magedu.com.备域配置：

vim /etc/named.conf
    options{
        directory "/var/named";
        recursion no;
    };

    zone "magedu.com." IN {
        type slave;
        masters {192.168.23.73;};
        file "named.magedu.com";
    };

vim /var/named/named.com
    $TTL 1D
    @                   IN      SOA     dnsslave  ( 0 1D 3H 1W 2H)
    @                   IN      NS      dnsmaster 
    @                   IN      NS      dnsslave
   dnsmaster            IN      A       192.168.23.73
   dnsslave             IN      A       192.168.23.74
   www                  IN      A       192.168.23.75
chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chgrp -R named /var/named/
chgrp named /etc/named/named.conf


- 运营商域配置：

vim /etc/named.conf
    options{
        directory "/var/named";
        allow-recursion {any;};
    };
    zone "." IN {
       type hint;
       file "named.ca";
    };
    zone "com." IN {
        type master;
        file "named.com";
    };

dig NS . @ 192.168.23.71 > /var/named/named.ca

chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chgrp -R named /var/named/
chgrp named /etc/named/named.conf


- 客户端配置：

echo -n 'nameserver 192.168.23.76' > /etc/resolv.conf



服务测试:

压力测试：

# 9、注意事项

码农公寓