DNS:从零搭建公司内网DNS服务器

By | 2020年10月20日

写在前面的话

 

网上关于 DNS 的文章其实一搜索一大把,但是看别人的文档一般都会有个问题,乱,不讲究,全是 ctrl c + ctrl v,我个人是看不下去的。头皮发麻。所以决定自己来写写这方面的东西,当然很多概念性的东西还是来源于网络。至于写这篇的目的其实算是做个总结。对于 DNS 这个东西。它可能不是你工作的必须,但是有它能够解决你很多公司内网中复杂问题。我们后面提到的企业级,可能更多的还是说公司内网这样的环境,至于生产环境,人有多大胆,地有多大产吧。

 

 

DNS 概念性东西

 

FQDN:完全限定域名,即每个域在全球唯一,域不是域名,google.com 是域,www.google.com 是域名。

域可以分为根域(.)和顶级域(TLD

顶级域又可以分为三类:

1. 通用顶级域(.com 商业机构,.org 非营利性组织,.net 网络服务机构等)

2. 国家顶级域(.cn 中国,.uk 英国,.us 美国,.jp 日本)

3. 反向域(基础建设顶级域,.arpa

 

DNS 查询方式包含递归和迭代:

1. 递归是客户端发起一次请求给 DNS 服务器,通过多次查找返回正确解析。

2. 迭代是发出多次请求查询不同的 DNS 服务器。

 

解析方式包含正向解析和反向解析:正向解析指代将 FQDN 转换成 IP,反向则相反。

一般 DNS 的服务器类型包含:主从 DNS 服务器,缓存服务器,转发服务器。

主从好理解,就是从自动更新同步主的配置,作为 backup 存在。

缓存的服务器作用在于使用递归查询,将查询到的结果返回客户端,并缓存查询的结果。

转发服务器作用在于当发现查询不是本机的时候则将请求转发出去。

 

DNS 监听 TCP 和 UDP 都是 53 端口。

以下是一次完整的请求大致过程:

从客户机到服务器之前采用得是递归查询,而服务器之间则是采用迭代查询。

 

DNS 记录类型:DNS 域名数据库由资源记录和区文件指令组成。

SOA 记录:起始授权机构记录,SOA 备注说明了众多 NS(name server)记录中谁是主名称服务器,不参与功能,但是不能缺少。

NS 记录:域授权记录,当请求到达根域的时候,通过 NS 记录找到对应的域。

A 记录:当通过 NS 记录到达域以后,比如访问 www.baidu.com,通过 NS 我们找到了 baidu.com,此时就需要通过 A 记录找到 www。

MX:将该域下的所有邮件服务器地址指向邮件服务器。

AAAA 记录:A 记录处理 IPV4,AAAA 处理 IPV6。

PTR 记录:反向解析,将 IP 解析成域名。

CNAME:别名记录,允许多个名字映射到另外一个域名。比如我们 ping 百度的时候可以发现返回其实是 www.a.shifen.com 这个域名返回。所有 www.baidu.com 其实是个别名。

 

 

搭建单台 DNS

 

我们这里准备了三台虚拟机:

IP 系统 说明
 192.168.100.111  CentOS Linux release 7.5  DNS 服务器,主机名:demo-node1
 192.168.100.112  CentOS Linux release 7.5  客户机,主机名:demo-node2
 192.168.100.113  CentOS Linux release 7.5  客户机,主机名:demo-node3

 

1. DNS 服务器安装 bind 服务:

yum -y install bind-utils bind bind-devel bind-libs

 

2. 配置主配置文件:/etc/named.conf

options {
    listen-on port 53 { any; };
    listen-on-v6 port 53 { ::1; };
    directory     "/var/named";
    dump-file     "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    recursing-file  "/var/named/data/named.recursing";
    secroots-file   "/var/named/data/named.secroots";
    allow-query     { any; };
    recursion yes;
    dnssec-enable yes;
    dnssec-validation yes;
    bindkeys-file "/etc/named.iscdlv.key";
    managed-keys-directory "/var/named/dynamic";
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
    forwarders { 202.96.128.166;8.8.8.8; };
};

logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

zone "." IN {
    type hint;
    file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

最终内容如下,红色部分为我们修改的。

 

3. 追加域名解析入口配置:/etc/named.rfc1912.zones

zone "dylan.com" IN {           # 测试用的域是 dylan.com
        type master;
        file "dylan.com.zone";  # 配置文件为 dylan.com.zone,该文件目录为 /var/named/ 下
};

 

4. 配置单独的解析文件:

/var/named/
cp named.localhost dylan.com.zone
chown named.named dylan.com.zone

修改配置:dylan.com.zone

$TTL 1D                                         ;TTL 修改配置生效时间,默认为一天
@       IN SOA  @ rname.invalid. (
                                        0       ; serial,配置编号,每次改完配置 +1,这样从服务器就知道更新配置
                                        1D      ; refresh,从服务器刷新时间,默认一天刷新一次
                                        1H      ; retry,如果刷新失败,默认1小时重试一次
                                        1W      ; expire,缓存过期时间,一周
                                        3H )    ; minimum
        NS      @
        A       127.0.0.1
        AAAA    ::1
www     IN A       192.168.100.112

我们新加了个 www.dylan.com 的 A 记录。

 

4. 启动服务测试:

systemctl start named
systemctl enable named

查看端口:

netstat -tlunp | grep 53

结果如图:

我们看到除了服务本身的 53 端口外,还监听了 953,这是 dns 服务的一个插件,现在我们先不管。

本机测试解析:

dig @127.0.0.1 www.dylan.com

查看结果:

 

另外介绍两种检查配置的方法:

# 检查主配置
named-checkconf /etc/named.conf

# 检查 zone 配置
named-checkzone dylan.com /var/named/dylan.com.zone

结果如下:

 

我们在客户端修改 DNS 配置测试,修改网卡 DNS 配置重启网卡:

 

 

主从 DNS 服务搭建

 

1. 主从 DNS 的搭建开始的时候其实是和单机搭建一样的,我们修改主服务器的配置文件:/etc/named.rfc1912.zones

将我们之前的配置进行修改:

zone "dylan.com" IN {           # 测试用的域是 dylan.com
        type master;
        file "dylan.com.zone";  # 配置文件为 dylan.com.zone,该文件目录为 /var/named/ 下
        allow-update { 192.168.100.113; };
        allow-transfer { 192.168.100.113; };    # 允许同步DNS的辅助服务器IP
        also-notify { 192.168.100.113; };
        notify yes;                             # 启用变更通告,当主文件变更,通知从进行比较同步
};

红色部分是我们新加的,并指定了从的地址,重启服务

systemctl restart named

 

2. 从服务器也安装 bind 并将 /etc/named.conf 配置拷贝过来。

接着也是配置:/etc/named.rfc1912.zones,此时就能体现主从的不同:

zone "dylan.com" IN {
        type slave;
        file "slaves/dylan.com.zone";
        masters { 192.168.100.111; };   # 指定主服务器的 IP
        masterfile-format text;         # 指定区域文件的格式为text,不指定有可能会为乱码
};

我们不需要再去配置 dylan.com.zone 文件,因为我们需要去主同步。所有直接启动从的 dns 服务。

systemctl start named
systemctl enable named

重启成功后我们会发现,在从服务器的 /var/named/slaves 目录下,dylan.com.zone 已经同步成功。

 

3. 修改主配置测试同步情况:

我们修改主服务器的 dylan.com.zone,新加解析的同时,修改配置编号,让从能够探测到变化。

此时我们重启主服务器,会发现从服务器就能够同步成功。

顺便值得一提的是,我这里使用 reload named 服务并没有使配置生效。

 

 

小结

 

值得一提的是,我们在域名解析过程中,还会遇到某些特殊情况:

1. 可以引用当区域名字,比如直接访问 baidu.com 就是这样的解析

2. 同一名字通过不同的名字定义多条记录,此时 DNS 会轮询响应。

3. 同一值可以多个名字。

4. * 泛域名解析,比如配置 *.baidu.com 指向某个 IP,那么如果你访问 a.baidu.com 这种没有配置的会默认走这个配置。

 

Category: os

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注