DNS服務

本章內容

名字解析

DNS服務

實現主從服務器

實現子域

實現view

編譯安裝

壓力測試

DNS排錯

DNS服務

DNS:Domain Name Service 應用層協議

C/S,53/udp, 53/tcp

BIND：Bekerley Internat Name Domain

ISC （www.isc.org）

本地名稱解析配置文件：hosts

/etc/hosts

%WINDIR%/system32/drivers/etc/hosts

122.10.117.2 www.abc.com

93.46.8.89 www.google.com

FQDN：全稱域名

例：www.qq.com

www：主機名，或者別名

qq.com：domain 域名

分散式：/etc/hosts

集中式：NIS

分佈式（既分散又集中）：DNS

DNS域名

根域

一級域名：Top Level Domain: tld

com, edu, mil, gov, net, org, int,arpa

三類：組織域、國家域(.cn, .ca, .hk, .tw)、反向域

二級域名

三級域名

最多127級域名

ICANN（The Internet Corporation for Assigned Names and Numbers）互聯網名稱與數字地址分配機構，負責在全球範圍內對互聯網通用頂級域名（gTLD）以及國家和地區頂級域名（ccTLD）系統的管理、以及根服務器系統的管理

DNS解析

DNS查詢類型：

遞歸查詢（負責到底，例如小區的DNS服務器）

迭代查詢（不負責到底，例如根服務器）

名稱服務器：域內負責解析本域內的名稱的主機

根服務器：13組服務器，對應13個IP地址，每個IP地址都是1個根服務器集羣，其中美國10個，日本1個，荷蘭1個，瑞典1個

解析類型：

FQDN --> IP 正向解析

IP --> FQDN 反向解析

注意：正反向解析是兩個不同的名稱空間，是兩棵不同的解析樹

DNS服務器類型

DNS服務器的類型：

主DNS服務器

從DNS服務器

緩存DNS服務器（轉發器）

主DNS服務器：管理和維護所負責解析的域內解析庫的服務器

從DNS服務器：從主服務器或從服務器“複製”（區域傳輸）解析庫副本

序列號：解析庫版本號，主服務器解析庫變化時，其序列遞增

刷新時間間隔：從服務器從主服務器請求同步解析的時間間隔

重試時間間隔：從服務器請求同步失敗時，再次嘗試時間間隔

過期時長：從服務器聯繫不到主服務器時，多久後停止服務

“通知”機制：主服務器解析庫發生變化時，會主動通知從服務器

區域傳輸

區域傳輸：

完全傳輸：傳送整個解析庫

增量傳輸：傳遞解析庫變化的那部分內容

Domain: Fully Qualified Domain Name

正向：FQDN --> IP

反向: IP --> FQDN

負責本地域名的正向和反向解析庫

正向區域

反向區域

DNS解析

一次完整的查詢請求經過的流程：

Client -->hosts文件 -->DNS Service Local Cache --> DNS Server (recursion) --> Server Cache --> iteration(迭代) --> 根--> 頂級域名DNS-->二級域名DNS…

解析答案：

肯定答案：

否定答案：請求的條目不存在等原因導致無法返回結果

權威答案：

非權威答案：

資源記錄

區域解析庫：由衆多RR組成：

資源記錄：Resource Record, RR

記錄類型：A, AAAA, PTR, SOA, NS, CNAME, MX

SOA：Start Of Authority，起始授權記錄；一個區域解析庫有且僅能有一個SOA記錄，必須位於解析庫的第一條記錄

A：internet Address，作用，FQDN --> IP

AAAA: FQDN --> IPv6

PTR: PoinTeR，IP --> FQDN

NS: Name Server，專用於標明當前區域的DNS服務器

CNAME：Canonical Name，別名記錄

MX: Mail eXchanger，郵件交換器

資源記錄定義的格式：

語法：name [TTL] IN rr_type value

注意：

(1) TTL可從全局繼承

(2) @可用於引用當前區域的名字

(3) 同一個名字可以通過多條記錄定義多個不同的值；此時DNS服務器會以輪詢方式響應

(4) 同一個值也可能有多個不同的定義名字；通過多個不同的名字指向同一個值進行定義；此僅表示通過多個不同的名字可以找到同一個主機

SOA記錄

value: 有多部分組成

(1) 當前區域的主DNS服務器的FQDN，也可以使用當前區域的名字；

(2) 當前區域管理員的郵箱地址；但地址中不能使用@符號，一般用.替換，例如linuxedu.abc.com

(3) 主從服務區域傳輸相關定義以及否定的答案的統一的TTL

例如：

abc.com. 86400 IN SOA ns.abc.com. nsadmin.abc.com. (

2018042201 ;序列號，10位及以下

2H ;刷新時間

10M ;重試時間

1W ;過期時間

1D ;否定答案的TTL值

)

NS記錄

value: 當前區域的某DNS服務器的名字，例如ns.abc.com.

注意：一個區域可以有多個NS記錄

例如：

abc.com. IN NS ns1.abc.com.

abc.com. IN NS ns2.abc.com.

注意：

(1) 相鄰的兩個資源記錄的name相同時，後續的可省略 (2) 對NS記錄而言，任何一個ns記錄後面的服務器名字，都應該在後續有一個A記錄

MX記錄

value: 當前區域的某郵件服務器(smtp服務器)的主機名

一個區域內，MX記錄可有多個；但每個記錄的value之前應該有一個數字(0-99)，表示此服務器的優先級；數字越小優先級越高

例如：

abc.com. IN MX 10 mx1.abc.com.

IN MX 20 mx2.abc.com.

注意：

(1) 對MX記錄而言，任何一個MX記錄後面的服務器名字，都應該在後續有一個A記錄

A記錄

value: 主機名對應主機的IP地址

例如：

www.abc.com. IN A 1.1.1.1

www.abc.com. IN A 2.2.2.2

mx1.abc.com. IN A 3.3.3.3

mx2.abc.com. IN A 4.4.4.4

$GENERATE 1-254 HOST$ A 1.2.3.$ ;表示HOST1-254.abc.com分別對應1.2.3.1-254，就像循環一樣

*.abc.com. IN A 5.5.5.5 ;略寫：* A 5.5.5.5

abc.com. IN A 6.6.6.6 ;略寫：@ A 6.6.6.6

避免用戶寫錯名稱時給錯誤答案，可通過泛域名解析進行解析至某特定地址

其它記錄

AAAA:

value: IPv6

PTR:

name: IP，有特定格式，把IP地址反過來寫，1.2.3.4，要寫作4.3.2.1；而有特定後綴：in-addr.arpa.，所以完整寫法爲：4.3.2.1.in-addr.arpa.

value: FQDN

例如：

4.3.2.1.in-addr.arpa. IN PTR www.abc.com.

如1.2.3爲網絡地址，可簡寫成：

4 IN PTR www.abc.com.

注意：網絡地址及後綴可省略；主機地址依然需要反着寫

別名記錄

CNAME：

value: 真正名字的FQDN

例如：

www.abc.com. IN CNAME websrv.abc.com.

子域

子域授權：每個域的名稱服務器，都是通過其上級名稱服務器在解析庫進行授權

類似根域授權tld：

.com. IN NS ns1.com.

.com. IN NS ns2.com.

ns1.com. IN A 2.2.2.1

ns2.com. IN A 2.2.2.2

abc.com. 在.com的名稱服務器上，解析庫中添加資源記錄

abc.com. IN NS ns1.abc.com.

abc.com. IN NS ns2.abc.com.

abc.com. IN NS ns3.abc.com.

ns1.abc.com. IN A 3.3.3.1

ns2.abc.com. IN A 3.3.3.2

ns3.abc.com. IN A 3.3.3.3

glue record：粘合記錄，父域授權子域的記錄

互聯網域名

域名註冊：

代理商：萬網, 新網, godaddy

註冊完成以後，想自己用專用服務來解析

管理後臺：把NS記錄指向的服務器名稱，和A記錄指向的服務器地址

阿里雲DNS

BIND安裝

BIND的安裝配置：

dns服務程序包:bind，unbound

程序名：named，unbound

程序包：yum list all bind*

bind：服務器

bind-libs：相關庫

bind-utils:客戶端

bind-chroot: /var/named/chroot/

bind服務器

服務腳本和名稱：/etc/rc.d/init.d/named /usr/lib/systemd/system/named.service

主配置文件：/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key

解析庫文件：/var/named/ZONE_NAME.ZONE

注意：

(1) 一臺物理服務器可同時爲多個區域提供解析

(2) 必須要有根區域文件；named.ca

(3) 應該有兩個（如果包括ipv6的，應該更多）實現localhost和本地迴環地址的解析庫

rndc: remote name domain controller，

默認與bind安裝在同一主機，且只能通過127.0.0.1連接named進程

提供輔助性的管理功能；953/tcp

配置文件

主配置文件：

全局配置：options {};

日誌子系統配置：logging {};

區域定義：本機能夠爲哪些zone進行解析，就要定義哪些zone

zone "ZONE_NAME" IN {};

注意：任何服務程序如果期望其能夠通過網絡被其它主機訪問，至少應該監聽在一個能與外部主機通信的IP地址上

緩存名稱服務器的配置：

監聽外部地址即可

dnssec: DNS安全擴展，建議關閉dnssec，設爲no

配置主DNS服務器

主DNS名稱服務器：

(1) 在主配置文件中定義區域

zone "ZONE_NAME" IN {

type {master|slave|hint|forward};

file "ZONE_NAME.zone";

};

(2) 定義區域解析庫文件

出現的內容

宏定義

資源記錄

主配置文件語法檢查：

named-checkconf

解析庫文件語法檢查：

named-checkzone "abc.com" /var/named/abc.com.zone

rndc status|reload ;service named reload

實驗：用3臺虛擬機，192.168.30.6-8/24做實驗，將其中192.168.30.8這臺配置爲主DNS服務器

vim /etc/named.conf

修改以下這兩行爲這個值

options {

listen-on port 53 { localhost; };

allow-query { localhost;any; };

}

或者直接把這兩行註釋掉

vim /etc/named.rfc1912.zones

添加如下內容

zone "abc.com" IN {

type master;

file "abc.com.zone";

};

copy -p /var/named/named.localhost /var/named/abc.com.zone

以named.localhost爲模板複製一份abc.com.zone，注意文件的所有者所屬組等權限問題！

主區域示例

vim /var/named/abc.com.zone

$TTL 1D

$ORIGIN abc.com.

@ IN SOA dns1.abc.com. admin.abc.com（郵箱，不能用@符號） (

2018061001 ;序列號

1D;刷新時間

1H ;重試時間

1W ;過期時間

3H ) ;否定答案的TTL值

IN NS dns1

IN NS dns2

IN MX 10 mx1

IN MX 20 mx2

dns1 IN A 192.168.30.8

dns2 IN A 192.168.30.7

mx1 IN A 192.168.30.6

mx2 IN A 192.168.30.7

websrv IN A 192.168.30.6

websrv IN A 192.168.30.7

www IN CNAME websrv

service named start #啓動DNS服務

dig www.abc.com @127.0.0.1 #在本機上測試，解析成功

測試命令dig

dig [-t type] name [@SERVER] [query options]

dig只用於測試dns系統，不會查詢hosts文件進行解析

查詢選項：

+[no]trace：跟蹤解析過程 : dig +trace abc.com

+[no]recurse：進行遞歸解析

測試反向解析：

dig -x IP = dig -t ptr reverseip.in-addr.arpa

模擬區域傳送：

dig -t axfr ZONE_NAME @SERVER

dig -t axfr abc.com @10.10.10.11

dig -t axfr 100.1.10.in-addr.arpa @172.16.1.1

dig -t NS . @114.114.114.114

dig -t NS . @a.root-servers.net

測試命令

host [-t type] name [SERVER]

host -t NS abc.com 172.16.0.1

host -t soa abc.com

host -t mx abc.com

host -t axfr abc.com

host 1.2.3.4

nslookup命令： nslookup [-option] [name | -] [server]

•交互式模式：

nslookup>

server IP: 指明使用哪個DNS server進行查詢

set q=RR_TYPE: 指明查詢的資源記錄類型

NAME: 要查詢的名稱

反向區域

反向區域：

區域名稱：網絡地址反寫.in-addr.arpa.

172.16.100. --> 100.16.172.in-addr.arpa.

(1) 定義區域

zone "ZONE_NAME" IN {

type {master|slave|forward}；

file "網絡地址.zone"

};

(2) 定義區域解析庫文件

注意：不需要MX,以PTR記錄爲主

反向區域示例

vim /etc/named.rfc1912.zones

添加以下內容

zone "30.168.192.in-addr.arpa." IN {

type master;

file "192.168.30.zone";

};

vim /var/named/192.168.30.zone

$TTL 1D

@ IN SOA dns1.abc.com. admin.abc.com. ( 1 1D 1H 1W 3H )

NS dns1.abc.com.

dns1.abc.com. A 192.168.30.8

dns2.abc.com. A 192.168.30.7

8 PTR dns1.abc.com.

7 PTR dns2.abc.com.

6 PTR websrv.abc.com.

7 PTR websrv.abc.com.

6 PTR mx1.abc.com.

7 PTR mx2.abc.com.

注意文件權限！

systemctl reload named #重新加載named服務

dig -x 192.168.30.6 @127.0.0.1 #測試，反向解析成功

windows上測試

windows cmd>nslookup

>server 192.168.30.8

>set q=ptr

>192.168.30.7

例：

dig -t ns . @a.root-servers.net #查看根域

這也是/etc/named.ca的內容，如果/etc/named.ca丟失，可dig -t ns . @a.root-servers.net > /etc/named.ca重新生成

允許動態更新

指定的zone語句塊中：Allow-update {any;}; #可以寫192.168.30.0/24

chmod 770 /var/named

setsebool -P named_write_master_zones on

systemctl reload named

nsupdate

•>server 127.0.0.1

•>zone abc.com

•>update add ftp.abc.com 88888 IN A 8.8.8.8

•>send

•>update delete www.abc.com A

•>send

測試：dig ftp.abc.com @127.0.0.1

ll /var/named/abc.com.zone.jnl

named-journalprint abc.com.zone.jnl

這個日誌文件過一會兒纔會更新進abc.com.zone裏

cat /var/named/abc.com.zone

從服務器

1、應該爲一臺獨立的名稱服務器

2、主服務器的區域解析庫文件中必須有一條NS記錄指向從服務器

3、從服務器只需要定義區域，而無須提供解析庫文件；解析庫文件應該放置於/var/named/slaves/目錄中

4、主服務器得允許從服務器作區域傳送

5、主從服務器時間應該同步，可通過ntp進行；

6、bind程序的版本應該保持一致；否則，應該從高，主低

定義從區域的方法：

zone "ZONE_NAME" IN {

type slave;

masters { MASTER_IP; };

file "slaves/ZONE_NAME.zone";

};

例：

在主服務器

vim /etc/named.conf

allow-transfer { slaveip; }; #添加此行，因在CentOS 6的從服務器上，/var/named/slaves目錄裏同步過來的解析庫文件是明文的，可隨便查看，是重大的安全隱患，因此主服務器應當只允許從服務器作區域傳送

在從服務器

vim /etc/named.conf

allow-transfer { none; }; 添加此行，從服務器不允許區域傳送

vim /etc/named.rfc1912.zones 添加如下內容

zone "abc.com" IN {

type slave;

masters { 192.168.30.8; };

file "slaves/abc.com.zone.slave";

#這裏slaves目錄指/var/named/slaves目錄，這個目錄默認就有寫權限

};

systemctl start named

啓動服務，發現在從服務器上/var/named/slaves/abc.com.zone.slave文件會隨着主服務器的更新而更新，在從服務器上查詢DNS也能查到了

iptables -A INPUT -p udp --dport 53 -j REJECT 關閉udp53端口，將無法被查詢

iptables -A INPUT -p tcp --dport 53 -j REJECT 關閉tcp或udp53端口，將無法被同步

rndc命令

rndc：

rndc --> rndc (953/tcp)

rndc COMMAND

COMMAND:

status: 查看狀態

reload: 重載主配置文件和區域解析庫文件

reload zonename: 重載區域解析庫文件

retransfer zonename: 手動啓動區域傳送，而不管序列號是否增加

notify zonename: 重新對區域傳送發通知

reconfig: 重載主配置文件

querylog: 開啓或關閉查詢日誌文件/var/log/message

trace: 遞增debug一個級別

trace LEVEL: 指定使用的級別

notrace：將調試級別設置爲 0

flush：清空DNS服務器的所有緩存記錄

子域

子域授權：分佈式數據庫

正向解析區域子域方法

定義一個子區域：

ops.abc.com. IN NS ns1.ops.abc.com.

ops.abc.com. IN NS ns2.ops.abc.com.

ns1.ops.abc.com. IN A 1.1.1.1

ns2.ops.abc.com. IN A 1.1.1.2

fin.abc.com. IN NS ns1.fin.abc.com.

fin.abc.com. IN NS ns2.fin.abc.com.

ns1.fin.abc.com. IN A 3.1.1.1

ns2.fin.abc.com. IN A 3.1.1.2

注意：關閉dnssec功能：

vim /etc/name.conf

dnssec-enable no;

dnssec-validation no;

實驗：實現子域

有三種方式

1 直接當成記錄

只有一臺機的話，在abc.com.zone中直接加一條記錄即可

如直接加www.bj IN A 192.168.30.6

2 子域，本機獨立域

子域都可由一臺機來管理的話，例如公司內部，可單獨新建一個區域文件，例如bj.abc.com.zone，sh.abc.com.zone，並在/etc/named.rfc1912.zones裏添加上信息

3 委派給另一臺主機維護子域

子域由不同主機來管理的話，就需要委派了，例如互聯網上com父域委派給abc.com子域。委派操作如下

在父域DNS服務器

關閉dnssec功能：

vim /etc/name.conf

dnssec-enable no;

dnssec-validation no;

recursion no #禁止遞歸：

子域委派

vim /var/named/abc.com.zone #添加如下兩行

bj IN NS dns1.bj.abc.com

dns1.bj IN A 192.168.30.6

rndc reload

在子域DNS服務器

建立bj.abc.com區域即可

vim /etc/named.rfc1912.zones #添加以下信息

zone "bj.abc.com" IN {

type master;

file "bj.abc.com.zone";

};

vim /var/named/bj.abc.com.zone #注意文件權限

$TTL 1D

@ IN SOA dns1.bj.abc.com. admin.bj.abc.com. ( 1 1D 1H 1W 3H )

NS dns1.bj.abc.com.

dns1 A 192.168.30.6

www A 192.168.30.7

從別的機器上dig測試父域DNS服務器，成功找到子域記錄

轉發服務器

注意：被轉發的服務器需要能夠爲請求者做遞歸，否則轉發請求不予進行

如果DNS服務器只是在企業中用於內部解析的，不希望轉到根上，則可以把遞歸取消掉

vim /etc/named.conf

recursion yes|no

(1) 全局轉發: 對非本機所負責解析區域的請求，全轉發給指定的服務器

Options {

forward first|only; #first是指本機解析不了的話，優先轉發到forwarders所指定的服務器，解析不了再找根，only是指forwarders的服務器解析不了就算了

forwarders { ip;};

};

(2) 特定區域轉發：僅轉發對特定的區域的請求，比全局轉發優先級高

zone "ZONE_NAME" IN {

type forward;

forward first|only;

forwarders { ip;};

};

注意：關閉dnssec功能：

dnssec-enable no;

dnssec-validation no;

下圖爲192.168.30.8成功將從192.168.30.6來的DNS請求轉發給192.168.30.7，並解析成功的配置

bind中ACL

bind中基礎的安全相關的配置：

acl: 把一個或多個地址歸併爲一個集合，並通過一個統一的名稱調用

格式：

acl acl_name {

ip;

net/prelen;

……

};

示例：

acl mynet {

172.16.0.0/16;

10.10.10.10;

};

bind有四個內置的acl:

none: 沒有一個主機

any: 任意主機

localhost: 本機

localnet: 本機的IP同掩碼運算後得到的網絡地址

注意：只能先定義，後使用；因此一般定義在配置文件中，處於options的前面

訪問控制

訪問控制的指令：

allow-query {}：允許查詢的主機；白名單

allow-transfer {}：允許區域傳送的主機；白名單

allow-recursion {}: 允許遞歸的主機,建議全局使用

allow-update {}: 允許更新區域數據庫中的內容

智能DNS

CDN內容分發網絡

bind view

CDN: Content Delivery Network內容分發網絡

服務商：藍汛，網宿，帝聯等

智能DNS:

dnspod

dns.la

view:視圖：實現智能DNS：

一個bind服務器可定義多個view，每個view中可定義一個或多個zone

每個view用來匹配一組客戶端

多個view內可能需要對同一個區域進行解析，但使用不同的區域解析庫文件

注意：

(1) 一旦啓用了view，所有的zone都只能定義在view中

(2) 僅在允許遞歸請求的客戶端所在view中定義根區域

(3) 客戶端請求到達時，是自上而下檢查每個view所服務的客戶端列表

格式：

view VIEW_NAME {

match-clients { testacl; };

zone “abc.com” {

type master;

file “abc.com.zone”; };

include “/etc/named.rfc1912.zones”;

};

實驗：實現智能DNS

北京和上海分別轉不同的DNS

這裏以192.168.30.8這臺虛擬機作爲主DNS服務器，在其上

vim /etc/named.conf #acl要放在前邊

acl beijingnet {

192.168.30.0/24;

172.20.101.0/24; //注意順序，前邊有的後邊就不會看了，所以小的網段要往前放

};

acl shanghainet {

172.20.0.0/16;

};

acl othernet {

any;

};

cp -p /var/named/abc.com.zone /var/named/abc.com.zone.bj

cp -p /var/named/abc.com.zone /var/named/abc.com.zone.sh

websrv A 192.168.30.1-3 三個數據庫裏的地址改成不一樣的，分別代表三個地區的websrv服務器

cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.bj -p

vim /etc/named.rfc1912.zones.bj

zone "abc.com" IN {

type master;

file "abc.com.zone.bj";

};

cp /etc/named.rfc1912.zones /etc/named.rfc1912.zones.sh -p

vim /etc/named.rfc1912.zones.sh

zone "abc.com" IN {

type master;

file "abc.com.zone.sh";

};

vim /etc/named.conf

view beijingview {

match-clients {beijingnet;};

include "/etc/named.rfc1912.zones.bj"; #語法1；

};

view shanghaiview {

match-clients {shanghainet;};

zone "abc.com" {

type master;

file "abc.com.zone.sh";

}; #語法2；兩種語法都可以

};

view otherview {

match-clients {othernet;};

include "/etc/named.rfc1912.zones";

};

把以下4行剪切到/etc/named.rfc1912.zones文件中

zone "." IN {

type hint;

file "named.ca";

};

把view外邊的倒數第二行的include "/etc/named.rfc1912.zones"這行也註釋掉！

rndc reload

dig websrv.abc.com @192.168.30.X

dig websrv.abc.com @172.20.X.X

dig websrv.abc.com @127.0.0.1

可以看到，從不同的主機段查詢，返回了不同的IP地址，實現了智能DNS

此處是www.abc.com而不是websrv.abc.com是因爲加了CNAME別名

www CNAME websrv

編譯安裝bind

下載bind:

isc.org:

bind-9.10

bind-9.11

bind-10

編譯安裝bind

tar xvf bind-9.11.0a3.tar.gz

cd bind-9.11.0a3/

groupadd -r -g 53 named

useradd -r -u 53 -g 53 named

./configure --prefix=/usr/local/bind9

--sysconfdir=/etc/named/ --without-openssl

--disable-ipv6 --disable-chroot --enable-threads

make

make install

環境變量

•vim /etc/profile.d/named.sh

export PATH=/usr/local/bind9/bin:

/usr/local/bind9/sbin/:$PATH

庫和頭文件

•vim /etc/ld.so.conf.d/named.conf

/usr/local/bind9/lib

•ldconfig -v

•ls -sv /usr/local/bind9/include /usr/include/named

man幫助

•vim /etc/man.config | /etc/man_db.conf

MANPATH /usr/local/bind9/share/man

•man named.conf

vim /etc/named/named.conf

options {

directory "/var/named/"

};

zone "." IN {

type hint;

file "named.ca";

};

zone "localhost" IN {

type master;

file “named.localhost";

allow-update {none;};

};

zone “1.0.0.127.in-addr.arpa" IN {

type master;

file "named.loopback";

allow-update {none;};

};

區域數據庫

•mkdir /var/named

•named-checkconf

•dig +norec @a.root-servers.net > /var/named/named.ca

•vim /var/named/named.localhost

$TTL 1d

@ IN SOA localhost. admin.localhost. (

2016061801

1d)

IN NS localhost.

localhost. IN A 127.0.0.1

vim /var/named/named.loopback

$TTL 1d

@ IN SOA localhost. admin.localhost. (

2016061801

1d)

NS @

A 127.0.0.1

PTR localhost.

設置權限

•chmod 640 /var/named/*

•chmod 640 /etc/named/named.conf

•chgrp -R named /var/named/

•chgrp named /etc/named/named.conf

啓動服務和測試

•man named

•named -u named -f -g -d 3 前端級別3方式運行

•named -u named 後臺運行

•killall named

•ss -tuln

•tail /var/log/message

•named -u named

支持rndc

•rndc reload 觀察錯誤提示

•rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key

•tail /etc/named/rndc.conf >> /etc/named/named.conf

•killall -SIGHUP named

•rndc status

壓力測試

/root/bind-xxx/contrib/scripts

編譯壓力測試工具

•cd /root/bind-xxx/contrib/queryperf

•./configure

•make

•cp queryperf /usr/local/bind9/bin

•queryperf -h

壓力測試

壓力測試

•vim test.txt

www.abc.com A

abc.com NS

abc.com MX

pop3.abc.com A

web.abc.com A

•queryperf -d test.txt -s 127.0.0.1

打開日誌功能

•rndc querylog

•rndc status

•queryperf -d test.txt -s 127.0.0.1

•wc -l /var/log/message

DNS排錯

#dig A example.com

•; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com

•;; global options: +cmd

•;; Got answer:

•;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30523

•...

•SERVFAIL:The nameserver encountered a problem while processing the query.

•可使用dig +trace排錯，可能是網絡和防火牆導致

NXDOMAIN：The queried name does not exist in the zone.

•可能是CNAME對應的A記錄不存在導致

REFUSED：The nameserver refused the client's DNS request due to policy restrictions.

•可能是DNS策略導致

NOERROR不代表沒有問題，也可以是過時的記錄

查看是否爲權威記錄，flags:aa標記判斷

被刪除的記錄仍能返回結果，可能是因爲*記錄存在

如：*.example.com． IN A 172.25.254.254

注意“.”的使用

避免CNAME指向CNAME記錄，可能產生迴環

test.example.com. IN CNAME lab.example.com.

lab.example.com. IN CNAME test.example.com.

正確配置PTR記錄，許多服務依賴PTR，如sshd,MTA

正確配置輪詢round-robin記錄

工作中用到的腳本合集

微服務實踐Aspire項目發佈到遠程k8s集羣

通過f-string編寫簡潔高效的Python格式化輸出代碼

[轉帖]20個常用的Linux工具命令

[轉帖]PostgreSQL從小白到高手教程 - 第46講：poc-tpch測試

24-5-18 X

DNS服務

Nginx服務

FTP文件傳輸協議

LVS負載均衡集羣

Linux防火牆

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結