Linux基礎(chǔ)與應(yīng)用實(shí)踐 課件 任務(wù)八 DNS服務(wù)器配置

Linux基礎(chǔ)與項(xiàng)目實(shí)踐任務(wù)八DNS服務(wù)器配置0203DNS服務(wù)安裝與配置DNS工作原理01DNS簡介04配置企業(yè)自己的DNS服務(wù)器DNS簡介PART01DNS系統(tǒng)的組成3DNS（DomainNameSystem，域名系統(tǒng)）是基于客戶/服務(wù)器模型設(shè)計(jì)的。從本質(zhì)上看，整個(gè)域名系統(tǒng)是以一個(gè)大的分布式數(shù)據(jù)庫的方式工作的。大多數(shù)Internet連接的組織都有一個(gè)域名服務(wù)器，每個(gè)服務(wù)器包含指向其他域名服務(wù)器的信息，結(jié)果是這些服務(wù)器形成一個(gè)大的協(xié)調(diào)工作的域名數(shù)據(jù)庫。每當(dāng)一個(gè)應(yīng)用需要將域名解析為IP地址時(shí)，這個(gè)應(yīng)用便成為域名系統(tǒng)的一個(gè)客戶。這個(gè)客戶將待解析的域免放在一個(gè)DNS請求信息中，并將這個(gè)請求發(fā)給域名服務(wù)器。服務(wù)器從請求中取出域名，將它解析為對應(yīng)的IP地址，然后在一個(gè)回答信息中將結(jié)果地址返回給應(yīng)用。因此，可以將DNS系統(tǒng)分為三個(gè)部分。1）域名2）域名服務(wù)器3）解析器DNS域名4

在域名系統(tǒng)中，每臺計(jì)算機(jī)的域名由一系列用點(diǎn)分開的字母數(shù)字段組成。例如，某臺計(jì)算機(jī)的FQDN（FullQualifiedDomainName）為，采用的是一種層次化結(jié)構(gòu)。FQDN的格式格式通常包括4個(gè)部分，分別是主機(jī)名.企業(yè)名.機(jī)構(gòu)類型.地理域。以這個(gè)域名為例，.cn表示的是地理域，即中國，.edu表示網(wǎng)絡(luò)機(jī)構(gòu)類型是教育網(wǎng)，tjtc是進(jìn)行注冊時(shí)的企業(yè)（單位）名稱，要求是唯一的，以前有企業(yè)進(jìn)行域名搶注，主要指的就搶注的就是這個(gè)，tjtc是天津職業(yè)大學(xué)在進(jìn)行域名注冊時(shí)選擇的名稱。www是指的這個(gè)企業(yè)（單位）中的一臺主機(jī)，www即worldwideweb，通常是Web服務(wù)器所部署的主機(jī)。DNS域名5機(jī)構(gòu)類型地理域域用途域用途域說明域說明com商業(yè)組織cc商業(yè)公司CN中國US美國edu教育組織biz商業(yè)CA加拿大UK英國net網(wǎng)絡(luò)組織coop企業(yè)FA法國JP日本mil軍事機(jī)構(gòu)info信息服務(wù)IT意大利KR韓國gov政府機(jī)構(gòu)name個(gè)人DE德國AU澳大利亞org非商業(yè)機(jī)構(gòu)pro會計(jì)、律師CH瑞士RU俄羅斯int國際組織tv寬頻服務(wù)SG新加坡TW臺灣省museum博物館arpaIP地址樹ES西班牙QA卡塔爾常見機(jī)構(gòu)類型和地理域信息DNS服務(wù)器類型6DNS服務(wù)器是一個(gè)分布式數(shù)據(jù)庫系統(tǒng)，理論上來說，全世界所有DNS數(shù)據(jù)庫應(yīng)該是一致的。DNS服務(wù)器的類型主要有三種，分別是主域服務(wù)器、輔域服務(wù)器和Cachingonly域名服務(wù)器。1．主域服務(wù)器每個(gè)DNS域都一定要有一個(gè)主域服務(wù)器。主域服務(wù)器包含了本域內(nèi)所有主機(jī)名與其對應(yīng)的IP地址、別名等信息。2．輔域服務(wù)器為了提高查詢速度以及提供信息冗余，通常會在一定的范圍或機(jī)構(gòu)內(nèi)部署輔域服務(wù)器，輔域服務(wù)器通常不能配置域名，它的數(shù)據(jù)庫信息是與主域服務(wù)器同步獲取的。3．Cachingonly域名服務(wù)器Cachingonly服務(wù)器不提供任何關(guān)于區(qū)的權(quán)威信息，當(dāng)用戶向它發(fā)出詢問時(shí)，僅僅轉(zhuǎn)發(fā)給其它的域名服務(wù)器，直到得到答案，并把答案在自己的Cache中保存一段時(shí)間，如果客戶發(fā)出同樣的詢問時(shí)，它直接用Cache中的信息來回答，無需詢問轉(zhuǎn)發(fā)給其它的域名服務(wù)器。Cachingonly域名服務(wù)器通常是為了減少DNS的傳輸量而建立。DNS工作原理PART02DNS工作機(jī)制8DNS服務(wù)的管理不是集中的，它的層次結(jié)構(gòu)允許將整個(gè)管理任務(wù)分成多份，分別由每個(gè)子域自行管理，也就是說，DNS允許將子域授權(quán)給其他組織進(jìn)行管理。這樣，被委托的子域必有自己的域名服務(wù)器，該子域的域名服務(wù)器維護(hù)屬于該子域的所有主機(jī)信息，并負(fù)責(zé)回答所有的相關(guān)查詢。采用委托管理的優(yōu)越性主要有以下優(yōu)點(diǎn)。l工作負(fù)載均衡。將DNS數(shù)據(jù)庫分配到各個(gè)子域的域名服務(wù)器上，大幅度降低了上級或頂級域名服務(wù)器進(jìn)行名字查詢的負(fù)載。l提高了域名服務(wù)器的響應(yīng)速度。負(fù)載均衡使得查詢的時(shí)間大幅度縮減。l提高了網(wǎng)絡(luò)帶寬的利用率。由于數(shù)據(jù)庫的分散性使得服務(wù)器與本地接近，減小了帶寬資源的浪費(fèi)。DNS工作機(jī)制9DNS區(qū)域（Zone）

為了便于根據(jù)實(shí)際情況分散域名管理工作的負(fù)載，可將DNS域名劃分為區(qū)域來進(jìn)行管理。區(qū)域是DNS服務(wù)器的管轄范圍，是由單個(gè)域或具有上下隸屬關(guān)系的緊密相鄰的多個(gè)子域組成一個(gè)管理單位。DNS服務(wù)器便是以區(qū)域?yàn)閱挝粊砉芾碛蛎?，而不是以域?yàn)閱挝弧?/p>

一臺DNS服務(wù)器可以管理一個(gè)或多個(gè)區(qū)域，而一個(gè)區(qū)域也可以有多臺DNS服務(wù)器來管理。DNS允許DNS域名分成幾個(gè)區(qū)域（Zone），它存儲著有關(guān)一個(gè)或多個(gè)DNS域的名稱信息。在DNS服務(wù)器中必須先建立區(qū)域，再在區(qū)域中建立子域，以及在區(qū)域或子域中添加主機(jī)等各種記錄。DNS查詢模式10DNS的查詢模式主要有兩種，分別是遞歸查詢和迭代查詢。1．遞歸查詢（RecursiveQuery）DNS查詢模式11遞歸查詢流程描述如下：（1）客戶端向本機(jī)配置的本地域名服務(wù)器發(fā)起DNS域名查詢請求；（2）本地域名服務(wù)器收到請求后，會先查詢本地緩存，如果有記錄值會直接返回給客戶端；如果沒有記錄，則本地域名服務(wù)器會向根域名服務(wù)器發(fā)起請求；（3）根域名服務(wù)器收到請求后，會根據(jù)所要查詢域名中的后綴將所對應(yīng)的域名服務(wù)器（如.com、.cn等）返回給本地域名服務(wù)器；（4）本地域名服務(wù)器根據(jù)返回結(jié)果向所對應(yīng)的域名服務(wù)器發(fā)起查詢請求；（5）對應(yīng)的域名服務(wù)器在收到DNS查詢請求后，也是先查詢自己的緩存，如果有所請求域名的解析記錄，則會直接將記錄返回給本地域名服務(wù)器，然后本地域名服務(wù)器再將記錄返回給客戶端，完成整個(gè)DNS解析過程。（6）如果本級域名服務(wù)器沒有記錄值，就會下一級域名對應(yīng)的服務(wù)器地址返回給本地域名服務(wù)器，本地域名服務(wù)器再次對下一級域名服務(wù)器發(fā)起請求，如此類推，直到最終對應(yīng)區(qū)域的權(quán)威域名服務(wù)器返回結(jié)果給本地域名服務(wù)器。然后本地域名服務(wù)器將記錄值返回給DNS客戶端，同時(shí)緩存本地查詢記錄，以便在TTL值內(nèi)用戶再次查詢時(shí)直接將記錄返回給客戶端。DNS查詢模式122．迭代查詢（IterativeQuery）DNS解析過程13

為了將一個(gè)域名解析成一個(gè)IP地址，客戶應(yīng)用程序調(diào)用一個(gè)解析器的庫程序，將名字作為參數(shù)傳遞給它，形成DNS客戶，然后DNS客戶發(fā)送查詢請求給本地域名服務(wù)器，服務(wù)器首先在其管轄區(qū)域內(nèi)查找名字，名字找到后，把對應(yīng)的IP地址返回給客戶。DNS服務(wù)安裝與配置PART03BIND簡介15BIND的全稱是BerkeleyInternetNameDomain，是美國加利福尼亞大學(xué)伯克利分校開發(fā)的一個(gè)域名服務(wù)器軟件包，Linux使用這個(gè)軟件來提供域名服務(wù)。BIND的服務(wù)端軟件是被稱作named的守護(hù)進(jìn)程。BIND的主頁是。BIND的組成包括：1．named守護(hù)進(jìn)程BIND的服務(wù)端軟件稱為named守護(hù)進(jìn)程，其主要功能如下：l若查詢的主機(jī)名與本地區(qū)域信息中相應(yīng)的資源記錄匹配，則使用該信息來解析主機(jī)名并為客戶機(jī)做出應(yīng)答（UDP：53）。l若本地區(qū)域信息中沒有要查詢的主機(jī)名，默認(rèn)會以遞歸方式查詢其他DNS服務(wù)器并將其響應(yīng)結(jié)果緩存于本地。l執(zhí)行“區(qū)傳輸（zonetransfer）”，在服務(wù)器之間復(fù)制zone數(shù)據(jù)（TCP:53）。2．解析器庫程序解析器庫程序負(fù)責(zé)聯(lián)系DNS服務(wù)器實(shí)現(xiàn)域名的解析。3．命令執(zhí)行接口常用的DNS命令行執(zhí)行接口包括nslookup、host和dig等。BIND安裝16CentOS9系統(tǒng)默認(rèn)并沒有安裝BIND組件，在系統(tǒng)安裝光盤中提供了相應(yīng)的RPM包，在系統(tǒng)光盤的Packages目錄下使用ls命令查詢BIND組件，顯示結(jié)果如下：[root@officePackages]#lsbind*-l-r--r--r--.1rootroot5170044月292022bind-9.16.23-3.el9.x86_64.rpm-r--r--r--.1rootroot228454月292022bind-chroot-9.16.23-3.el9.x86_64.rpm-r--r--r--.1rootroot490654月292022bind-dnssec-doc-9.16.23-3.el9.noarch.rpm-r--r--r--.1rootroot1212674月292022bind-dnssec-utils-9.16.23-3.el9.x86_64.rpm-r--r--r--.1rootroot10982612月82021bind-dyndb-ldap-11.9-7.el9.x86_64.rpm-r--r--r--.1rootroot13009564月292022bind-libs-9.16.23-3.el9.x86_64.rpm-r--r--r--.1rootroot158214月292022bind-license-9.16.23-3.el9.noarch.rpm-r--r--r--.1rootroot2141604月292022bind-utils-9.16.23-3.el9.x86_64.rpmBIND安裝17與DNS服務(wù)相關(guān)的文件分類文件說明守護(hù)進(jìn)程/usr/sbin/namedDNS服務(wù)守護(hù)進(jìn)程管理工具/usr/sbin/rndcBIND的控制工具/usr/sbin/named-checkconf配置文件語法檢查工具/usr/sbin/named-checkzone區(qū)文件檢查工具systemd的服務(wù)配置單元/usr/lib/systemd/system/named.servicenamed服務(wù)單元配置文件/usr/lib/systemd/system/named-setup-mdc.service生成rndc所需要密鑰的單元配置文件配置文件/etc/named.conf主配置文件/var/named區(qū)數(shù)據(jù)庫文件存儲目錄文檔/usr/share/doc/bind/sample配置文件模板目錄域名服務(wù)器配置語法18主配置文件named.conf主配置文件named.conf可以使用以下3種風(fēng)格的注釋。l/*C語言風(fēng)格的注釋*/l//C++語言風(fēng)格的注釋l#Shell語言風(fēng)格的注釋主配置文件named.conf的配置語句配置語句說明acl定義IP地址的訪問控制列表controls定義RNDC命令使用的控制通道include將其他文件包含到本配置文件中key定義授權(quán)的安全密鑰logging定義日志的記錄規(guī)范options定義全局配置選項(xiàng)server定義遠(yuǎn)程服務(wù)器的特征trusted-keys為服務(wù)器定義DNSSEC加密密鑰zone定義一個(gè)區(qū)聲明域名服務(wù)器配置語法19主配置文件named.conf常用的全局配置子句子句說明listen-on指定服務(wù)監(jiān)聽的IPv4網(wǎng)絡(luò)接口，默認(rèn)監(jiān)聽本機(jī)所有IPv4網(wǎng)絡(luò)接口listen-on-v6指定服務(wù)監(jiān)聽的IPv6網(wǎng)絡(luò)接口，默認(rèn)監(jiān)聽本機(jī)所有IPv6網(wǎng)絡(luò)接口recursionyes|no是否使用遞歸式DNS服務(wù)器，默認(rèn)為yesdnssec-enableyes|no是否返回DNSSEC相關(guān)的資源記錄dnssec-validationyes|no指定確保資源記錄是經(jīng)過DNSSEC驗(yàn)證為可信的，默認(rèn)為yesmax-cache-size指定服務(wù)器緩存可以使用的最大內(nèi)存，默認(rèn)值為32MBdirectory“path”定義服務(wù)器區(qū)配置文件的工作目錄，默認(rèn)為/var/namedforwarders{IPaddr}定義轉(zhuǎn)發(fā)器，指定上游DNS服務(wù)器列表forwardonly|first指定如何使用轉(zhuǎn)發(fā)器，first表示優(yōu)先使用forwarders指定的DNS服務(wù)器做域名解析，如果查詢不到再使用本地DNS服務(wù)器做域名解析；only表示只使用forwarders指定的DNS服務(wù)器做域名解析，如果查詢不到則返回DNS客戶端查詢失敗域名服務(wù)器配置語法20主配置文件named.conf常用的區(qū)聲明子句子句說明typemaster|hint|slave說明一個(gè)區(qū)的類型：master說明一個(gè)區(qū)為主域名服務(wù)器hint說明一個(gè)區(qū)為啟動時(shí)初始化高速緩存的域名服務(wù)器slave說明一個(gè)區(qū)為輔助域名服務(wù)器file“filename”說明一個(gè)區(qū)域的信息源數(shù)據(jù)庫的文件名masters對于slave服務(wù)器，指定master服務(wù)器的地址域名服務(wù)器配置語法21訪問控制列表（ACL）就是一個(gè)被命名的地址匹配列表。使用訪問控制列表可以使配置簡單而清晰，一次定義之后可以在多處使用，不會使配置文件因?yàn)榇笞畹腎P地址而變得混亂。要定義訪問控制列表，可以傅acl語句來實(shí)現(xiàn)。acl語句的語法如下：aclacl_name{address-match_list;//用分號間隔的IP地址或CIDR}；acl語句在使用時(shí)要注意以下幾點(diǎn)：lacl是named.conf中的頂級語句，不能將其嵌入其他語句。l要使用用戶自定義的訪問控制列表，必須在使用之前定義。因?yàn)椴豢梢栽趏ptions語句里使用訪問控制列表，所以定義訪問控制列表的acl語句應(yīng)該位于options語句之前。l為了便于維護(hù)管理員定義的訪問控制列表，可以將所有定義acl的語句存放在單獨(dú)的文件/etc/named/named.acls中，然后在主配置文件/etc/named.conf的開始處添加include“/etc/named/named.acls”配置行。域名服務(wù)器配置語法22可以使用ACL的配置語句語句適用范圍說明allow-queryoptions,zone指定哪些主機(jī)或網(wǎng)絡(luò)可以查詢本服務(wù)器上權(quán)威資源記錄，默認(rèn)允許所有主機(jī)查詢allow-query-cacheoptions,zone指定哪些主機(jī)或網(wǎng)絡(luò)可以查詢本服務(wù)器上的非權(quán)威資源記錄（經(jīng)過遞歸查詢獲取的資源記錄），默認(rèn)允許localhost和localnets查詢allow-transferoptions,zone指安哪些主機(jī)允許和本地服務(wù)器進(jìn)行域傳輸，默認(rèn)值是允許和所有主機(jī)進(jìn)行域傳輸allow-updatezone指定哪些主機(jī)允許為主域名服務(wù)器提交動態(tài)DNS更新。默認(rèn)為拒絕任何主機(jī)進(jìn)行更新blackholeoptions指定不接收來自哪些主機(jī)的查詢請求和地址解析。默認(rèn)值是none域名服務(wù)器配置語法23區(qū)文件定義了一個(gè)區(qū)的域名信息，通常也稱域名數(shù)據(jù)庫文件。區(qū)文件保存在BIND的工作目錄/var/named中。表中列出了/var/named目錄布局。目錄說明/var/namednamed服務(wù)的工作目錄。存放本地服務(wù)器的權(quán)威區(qū)數(shù)據(jù)庫文件。在named運(yùn)行期間不能寫此目錄/var/named/slaves存放由主服務(wù)器傳輸而來的輔助服務(wù)器的區(qū)數(shù)據(jù)庫文件。在named運(yùn)行期間能寫此目錄/var/named/dynamic存放動態(tài)數(shù)據(jù)，如動態(tài)DNS區(qū)文件或DNSSEC密鑰文件。在named運(yùn)行期間能寫此目錄/var/named/data存放各種狀態(tài)文件和調(diào)試文件。在named運(yùn)行期間能寫此目錄/var/named/chrootBIND的chrootjail環(huán)境根目錄域名服務(wù)器配置語法24標(biāo)準(zhǔn)資源記錄中的字段字段說明name資源記錄引用的域?qū)ο竺?，可以是一臺單獨(dú)的主機(jī)也可以是整個(gè)域取值說明.根域@默認(rèn)域，可以在文件中使用￥ORIGINdomain來說明默認(rèn)域標(biāo)準(zhǔn)域名全域名必須以“.”結(jié)束，或是針對默認(rèn)域@的相對域名空該記錄使用最后一個(gè)帶有名字的域?qū)ο髏tl(timetolive)生命字段。它以秒為單位定義該資源記錄中的信息存放在高速緩存中的時(shí)間長度，省略此字段的話表示使用$TTL指令指定的值IN將該記錄標(biāo)識為一個(gè)InternetDNS資源記錄type指定資源記錄類型rdata指定與這個(gè)資源記錄有關(guān)的數(shù)據(jù)，數(shù)據(jù)字段的內(nèi)容取決于類型字段域名服務(wù)器配置語法25常見的標(biāo)準(zhǔn)資源記錄類型

類型說明區(qū)記錄SOA（StartofAuthority）SOA記錄標(biāo)示一個(gè)授權(quán)區(qū)定義的開始SOA記錄后的所有信息是控制這個(gè)區(qū)的NS（NameServer）標(biāo)識區(qū)的域名服務(wù)器以及授權(quán)子域基本記錄A（Address）用于將主機(jī)名轉(zhuǎn)換為IPv4地址AAAA（AddressIPv6）用于將主機(jī)名轉(zhuǎn)換為IPv6地址PRT（PointTeR）將IP地址轉(zhuǎn)換為主機(jī)名MX（MaileXchanger）郵件交換記錄。控制郵件的路由安全記錄KEY（PublicKey）儲存一個(gè)關(guān)于DNS名稱的公鑰NXT（Next）與DNSSEC一起使用，用于指出一個(gè)特定名稱不在域中SIG（Signatrue）指出帶簽名和身份認(rèn)證的區(qū)信息可選記錄CNAME（CanonicalNAME）給定主機(jī)的別名，主機(jī)規(guī)范名在A記錄中給出SRV（Services）描述知名網(wǎng)絡(luò)服務(wù)的信息TXT（Text）注釋或非關(guān)鍵的信息配置企業(yè)自己的DNS服務(wù)器PART0427實(shí)驗(yàn)?zāi)繕?biāo)?了解DNS服務(wù)器的作用?了解DNS服務(wù)器的類型?掌握DNS服務(wù)器的安裝?掌握DNS服務(wù)器的配置實(shí)驗(yàn)任務(wù)描述任務(wù)七的實(shí)驗(yàn)中，公司搭建了一個(gè)內(nèi)部使用的Web服務(wù)器，但是只能使用IP地址進(jìn)行訪問，這樣不方便記錄，也與使用互聯(lián)網(wǎng)的方式不一樣?？梢酝ㄟ^搭建一臺自己的DNS服務(wù)器，為公司內(nèi)部進(jìn)行域名解析，使用域名訪問公司內(nèi)部的服務(wù)器。實(shí)驗(yàn)環(huán)境要求?Windows桌面操作系統(tǒng)（建議使用Win10）?CentOS9操作系統(tǒng)實(shí)驗(yàn)步驟28第一步：域名規(guī)劃。任務(wù)七的實(shí)驗(yàn)中搭建的公司W(wǎng)eb服務(wù)器的地址為00?，F(xiàn)在需要為公司規(guī)劃一個(gè)域名。因?yàn)槭窃诠緝?nèi)部使用，所以可以自己來設(shè)置域名。為了便于實(shí)驗(yàn)和理解，這里除了解析Web站點(diǎn)外，還添加了一些測試域名。域名配置如表所示。主機(jī)域名IP地址別名Web服務(wù)器00FTP服務(wù)器01

郵件服務(wù)器00

打印服務(wù)器10實(shí)驗(yàn)步驟29第二步：安裝bind服務(wù)。前面課程里已經(jīng)講解了bind的安裝，可以查看一下當(dāng)前系統(tǒng)中是否已完成bind軟件包的安裝，如圖所示。實(shí)驗(yàn)步驟30第三步：啟動named服務(wù)，如圖所示。實(shí)驗(yàn)步驟31第四步：配置named.conf文件，修改listen-on的參數(shù)為“any”，allow-query的參數(shù)為“any”，如圖所示。[root@office~]#vi/etc/named.conf

實(shí)驗(yàn)步驟32第五步：定義解析區(qū)域。早期bind版本是直接在named.conf文件中進(jìn)行區(qū)域的設(shè)置，這個(gè)版本是通過include文件加載相應(yīng)區(qū)域文件，查看named.conf中的配置文件可以看到，如圖所示。實(shí)驗(yàn)步驟33第六步：編輯named.rfc1912.zones文件，根據(jù)規(guī)劃，添加和兩個(gè)區(qū)域配置內(nèi)容，如圖所示。[root@office~]#vi/etc/named.rfc1912.zones實(shí)驗(yàn)步驟34第七步：在/var/named/目錄下創(chuàng)建正向解析文件.zone和mymailnet.zone。因?yàn)楫?dāng)前沒有這兩個(gè)區(qū)的的配置文件，需要重新寫。也可以使用系統(tǒng)中提供的模板，簡化編寫操作。[root@office~]#cd/var/named[root@officenamed]#lsdatadynamicnamed.canamed.emptynamed.localhostnamed.loopbackslaves[root@officenamed]#cpnamed.localhost.zone[root@officenamed]#cpnamed.localhost.zone實(shí)驗(yàn)步驟35第八步：修改.zone文件。[root@officenamed]#vi.zone文件內(nèi)容如圖所示。實(shí)驗(yàn)步驟36第九步：修改.zone文件。[root@officenamed]#vimymail.net