項(xiàng)目配置與管理dns服務(wù)器

Linux網(wǎng)絡(luò)操作系統(tǒng)及應(yīng)用教程（項(xiàng)目式）項(xiàng)目十二配置與管理DNS服務(wù)器

項(xiàng)目描述：某高校組建了校園網(wǎng)，為了使校園網(wǎng)中的計(jì)算機(jī)簡(jiǎn)單快捷地訪問(wèn)本地網(wǎng)絡(luò)及Internet上的資源，需要在校園網(wǎng)中架設(shè)DNS服務(wù)器，用來(lái)提供域名轉(zhuǎn)換成IP地址的功能。在完成該項(xiàng)目之前，首先應(yīng)當(dāng)確定網(wǎng)絡(luò)中DNS服務(wù)器的部署環(huán)境，明確DNS服務(wù)器的各種角色及其作用。

項(xiàng)目目標(biāo)：

● 了解DNS服務(wù)器的作用及其在網(wǎng)絡(luò)中的重要性● 理解DNS的域名空間結(jié)構(gòu)● 掌握DNS查詢(xún)模式● 掌握DNS域名解析過(guò)程● 掌握常規(guī)DNS服務(wù)器的安裝與配置● 掌握輔助DNS服務(wù)器的配置● 掌握子域概念及區(qū)域委派配置過(guò)程● 掌握轉(zhuǎn)發(fā)服務(wù)器和緩存服務(wù)器的配置● 理解并掌握DNS客戶(hù)機(jī)的配置● 掌握DNS服務(wù)的測(cè)試12.1

了解DNS服務(wù)器12.3掌握BIND配置文件12.5配置DNS客戶(hù)端

12.6使用nslookup測(cè)試DNS12.7

項(xiàng)目實(shí)錄12.8

練習(xí)題&實(shí)踐習(xí)題12.9

超級(jí)鏈接項(xiàng)目十二配置與管理DNS服務(wù)器

12.2安裝DNS服務(wù)器12.4配置DNS服務(wù)器12.1

了解DNS服務(wù)器12.1.1域名空間

DNS是一個(gè)分布式數(shù)據(jù)庫(kù)，命名系統(tǒng)采用層次的邏輯結(jié)構(gòu)，如同一棵倒置的樹(shù)，這個(gè)邏輯的樹(shù)形結(jié)構(gòu)稱(chēng)為域名空間，由于DNS劃分了域名空間，所以各機(jī)構(gòu)可以使用自己的域名空間創(chuàng)建DNS信息。如圖12.1.1域名空間

1．域和域名DNS樹(shù)的每個(gè)節(jié)點(diǎn)代表一個(gè)域，通過(guò)這些節(jié)點(diǎn)，對(duì)整個(gè)域名空間進(jìn)行劃分，成為一個(gè)層次結(jié)構(gòu)。域名空間的每個(gè)域的名字通過(guò)域名進(jìn)行表示。域名通常由一個(gè)完全正式域名（FQDN）標(biāo)識(shí)。FQDN能準(zhǔn)確表示出其相對(duì)于DNS域樹(shù)根的位置，也就是節(jié)點(diǎn)到DNS樹(shù)根的完整表述方式，從節(jié)點(diǎn)到樹(shù)根采用反向書(shū)寫(xiě)，并將每個(gè)節(jié)點(diǎn)用“.”分隔，對(duì)于DNS域163來(lái)說(shuō)，其完全正式域名（FQDN）。一個(gè)DNS域可以包括主機(jī)和其他域（子域），每個(gè)機(jī)構(gòu)都擁有名稱(chēng)空間的某一部分的授權(quán)，負(fù)責(zé)該部分名稱(chēng)空間的管理和劃分，并用它來(lái)命名DNS域和計(jì)算機(jī)。例如，163為com域的子域，其表示方法為，而www為163域中的Web主機(jī)，可以使用www.表示。通常，F(xiàn)QDN有嚴(yán)格的命名限制，長(zhǎng)度不能超過(guò)256字節(jié)，只允許使用字符a-z，0-9，A-Z和減號(hào)（-）。點(diǎn)號(hào)（.）只允許在域名標(biāo)志之間（例如“”）或者FQDN的結(jié)尾使用。域名不區(qū)分大小。12.1.1域名空間

2．Internet域名空間DNS根域下面是頂級(jí)域，也由Internet域名注冊(cè)授權(quán)機(jī)構(gòu)管理。共有3種類(lèi)型的頂級(jí)域。● 組織域：采用3個(gè)字符的代號(hào)，表示DNS域中所包含的組織的主要功能或活動(dòng)。比如com為商業(yè)機(jī)構(gòu)組織，edu為教育機(jī)構(gòu)組織，gov為政府機(jī)構(gòu)組織，mil為軍事機(jī)構(gòu)組織，net為網(wǎng)絡(luò)機(jī)構(gòu)組織，org為非營(yíng)利機(jī)構(gòu)組織，int為國(guó)際機(jī)構(gòu)組織。● 地址域：采用兩個(gè)字符的國(guó)家或地區(qū)代號(hào)。如cn為中國(guó)，kr為韓國(guó)，us為美國(guó)?！?反向域：這是個(gè)特殊域，名字為，用于將IP地址映射到名字（反向查詢(xún)）。12.1.1域名空間

3．區(qū)（Zone）區(qū)是DNS名稱(chēng)空間的一個(gè)連續(xù)部分，其包含了一組存儲(chǔ)在DNS服務(wù)器上的資源記錄。每個(gè)區(qū)都位于一個(gè)特殊的域節(jié)點(diǎn)，但區(qū)并不是域。DNS域是名稱(chēng)空間的一個(gè)分支，而區(qū)一般是存儲(chǔ)在文件中的DNS名稱(chēng)空間的某一部分，可以包括多個(gè)域。一個(gè)域可以再分成幾部分，每個(gè)部分或區(qū)可以由一臺(tái)DNS服務(wù)器控制。使用區(qū)的概念，DNS服務(wù)器回答關(guān)于自己區(qū)中主機(jī)的查詢(xún)，以及哪個(gè)區(qū)的授權(quán)服務(wù)器。12.1.2DNS服務(wù)器分類(lèi)DNS服務(wù)器分為4類(lèi)。1．主DNS服務(wù)器（Master或Primary）2．輔助DNS服務(wù)器（Slave或Secondary）3．轉(zhuǎn)發(fā)DNS服務(wù)器4．唯高速緩存DNS服務(wù)器（Caching-onlyDNSserver）12.1.3DNS查詢(xún)模式1．遞歸查詢(xún)當(dāng)收到DNS工作站的查詢(xún)請(qǐng)求后，DNS服務(wù)器在自己的緩存或區(qū)域數(shù)據(jù)庫(kù)中查找。如果DNS服務(wù)器本地沒(méi)有存儲(chǔ)查詢(xún)的DNS信息，那么，該服務(wù)器會(huì)詢(xún)問(wèn)其他服務(wù)器，并將返回的查詢(xún)結(jié)果提交給客戶(hù)機(jī)。2．轉(zhuǎn)寄查詢(xún)（又稱(chēng)迭代查詢(xún)）當(dāng)收到DNS工作站的查詢(xún)請(qǐng)求后，如果在DNS服務(wù)器中沒(méi)有查到所需數(shù)據(jù)，該DNS服務(wù)器便會(huì)告訴DNS工作站另外一臺(tái)DNS服務(wù)器的IP地址，然后，再由DNS工作站自行向此DNS服務(wù)器查詢(xún)，依此類(lèi)推直到查到所需數(shù)據(jù)為止。如果到最后一臺(tái)DNS服務(wù)器都沒(méi)有查到所需數(shù)據(jù)，則通知DNS工作站查詢(xún)失敗?！稗D(zhuǎn)寄”的意思就是，若在某地查不到，該地就會(huì)告訴你其他地方的地址，讓你轉(zhuǎn)到其他地方去查。一般在DNS服務(wù)器之間的查詢(xún)請(qǐng)求便屬于轉(zhuǎn)寄查詢(xún)（DNS服務(wù)器也可以充當(dāng)DNS工作站的角色）。12.1.4域名解析過(guò)程1．DNS域名解析的工作原理DNS域名解析的工作過(guò)程如下。①客戶(hù)機(jī)提交域名解析請(qǐng)求，并將該請(qǐng)求發(fā)送給本地的域名服務(wù)器。②當(dāng)本地的域名服務(wù)器收到請(qǐng)求后，就先查詢(xún)本地的緩存。如果有查詢(xún)的DNS信息記錄，則直接返回查詢(xún)的結(jié)果。如果沒(méi)有該記錄，本地域名服務(wù)器就把請(qǐng)求發(fā)給根域名服務(wù)器。③根域名服務(wù)器再返回給本地域名服務(wù)器一個(gè)所查詢(xún)域的頂級(jí)域名服務(wù)器的地址。④本地服務(wù)器再向返回的域名服務(wù)器發(fā)送請(qǐng)求。⑤接收到該查詢(xún)請(qǐng)求的域名服務(wù)器查詢(xún)其緩存和記錄，如果有相關(guān)信息則返回客戶(hù)機(jī)查詢(xún)結(jié)果，否則通知客戶(hù)機(jī)下級(jí)的域名服務(wù)器的地址。⑥本地域名服務(wù)器將查詢(xún)請(qǐng)求發(fā)送給返回的DNS服務(wù)器。⑦域名服務(wù)器返回本地服務(wù)器查詢(xún)結(jié)果（如果該域名服務(wù)器不包含查詢(xún)的DNS信息，查詢(xún)過(guò)程將重復(fù)⑥、⑦步驟，直到返回解析信息或解析失敗的回應(yīng)）。⑧本地域名服務(wù)器將返回的結(jié)果保存到緩存，并且將結(jié)果返回給客戶(hù)機(jī)。12.1.4域名解析過(guò)程2．DNS域名解析實(shí)例假設(shè)客戶(hù)機(jī)使用電信ADSL接入Internet，電信為其分配的DNS服務(wù)器地址為0，域名解析過(guò)程如下。①客戶(hù)端向本地DNS服務(wù)器0直接查詢(xún)的域名。②本地DNS無(wú)法解析此域名，它先向根域服務(wù)器發(fā)出請(qǐng)求，查詢(xún)的DNS地址。③根域DNS管理、.net、.org等頂級(jí)域名的地址解析，它收到請(qǐng)求后把解析結(jié)果返回給本地的DNS。④本地DNS服務(wù)器0得到查詢(xún)結(jié)果后接著向管理域的DNS服務(wù)器發(fā)出進(jìn)一步的查詢(xún)請(qǐng)求，要求得到163的DNS地址。⑤域把解析結(jié)果返回給本地DNS服務(wù)器0。⑥本地DNS服務(wù)器0得到查詢(xún)結(jié)果后接著向管理163域的DNS服務(wù)器發(fā)出查詢(xún)具體主機(jī)IP地址的請(qǐng)求（www），要求得到滿(mǎn)足要求的主機(jī)IP地址。⑦163把解析結(jié)果返回給本地DNS服務(wù)器0。⑧本地DNS服務(wù)器得到了最終的查詢(xún)結(jié)果，它把這個(gè)結(jié)果返回給客戶(hù)端，從而使客戶(hù)端能夠和遠(yuǎn)程主機(jī)通信。12.1.4域名解析過(guò)程12.1.4域名解析過(guò)程3．正向解析與反向解析（1）正向解析。正向解析是指域名到IP地址的解析過(guò)程。（2）反向解析。反向解析是從IP地址到域名的解析過(guò)程。反向解析的作用為服務(wù)器的身份驗(yàn)證。12.1.5資源記錄

為了將名字解析為IP地址，服務(wù)器查詢(xún)它們的區(qū)（又叫DNS數(shù)據(jù)庫(kù)文件或簡(jiǎn)單數(shù)據(jù)庫(kù)文件）。區(qū)中包含組成相關(guān)DNS域資源信息的資源記錄（RR）。例如，某些資源記錄把友好名字映射成IP地址，另一些則把IP地址映射到友好名字。某些資源記錄不僅包括DNS域中服務(wù)器的信息，還可以用于定義域，即指定每臺(tái)服務(wù)器授權(quán)了哪些域，這些資源記錄就是SOA和NS資源記錄。1．SOA資源記錄每個(gè)區(qū)在區(qū)的開(kāi)始處都包含了一個(gè)起始授權(quán)記錄（StartofAuthorityRecord），簡(jiǎn)稱(chēng)SOA記錄。SOA定義了域的全局參數(shù)，進(jìn)行整個(gè)域的管理設(shè)置。一個(gè)區(qū)域文件只允許存在唯一的SOA記錄。2．NS資源記錄名稱(chēng)服務(wù)器（NS）資源記錄表示該區(qū)的授權(quán)服務(wù)器，它們表示SOA資源記錄中指定的該區(qū)的主和輔助服務(wù)器，也表示了任何授權(quán)區(qū)的服務(wù)器。每個(gè)區(qū)在區(qū)根處至少包含一個(gè)NS記錄。12.1.5資源記錄

3．A資源記錄地址（A）資源記錄把FQDN映射到IP地址，因而解析器能查詢(xún)FQDN對(duì)應(yīng)的IP地址。

4．PTR資源記錄相對(duì)于A資源記錄，指針（PTR）記錄把IP地址映射到FQDN。12.1.5資源記錄

5．CNAME資源記錄規(guī)范名字（CNAME）資源記錄創(chuàng)建特定FQDN的別名。用戶(hù)可以使用CNAME記錄來(lái)隱藏用戶(hù)網(wǎng)絡(luò)的實(shí)現(xiàn)細(xì)節(jié)，使連接的客戶(hù)機(jī)無(wú)法知道。6．MX資源記錄郵件交換（MX）資源記錄為DNS域名指定郵件交換服務(wù)器。郵件交換服務(wù)器是為DNS域名處理或轉(zhuǎn)發(fā)郵件的主機(jī)。處理郵件指把郵件投遞到目的地或轉(zhuǎn)交另一不同類(lèi)型的郵件傳送者。轉(zhuǎn)發(fā)郵件指把郵件發(fā)送到最終目的服務(wù)器，用簡(jiǎn)單郵件傳輸協(xié)議（SMTP）把郵件發(fā)送給離最終目的地最近的郵件交換服務(wù)器，或使郵件經(jīng)過(guò)一定時(shí)間的排隊(duì)。12.1.6/etc/hosts文件hosts文件是Linux系統(tǒng)中一個(gè)負(fù)責(zé)IP地址與域名快速解析的文件，以ASCII格式保存在/etc目錄下，文件名為“hosts”。hosts文件包含了IP地址和主機(jī)名之間的映射，還包括主機(jī)名的別名。在沒(méi)有域名服務(wù)器的情況下，系統(tǒng)上的所有網(wǎng)絡(luò)程序都通過(guò)查詢(xún)?cè)撐募?lái)解析對(duì)應(yīng)于某個(gè)主機(jī)名的IP地址，否則就需要使用DNS服務(wù)程序來(lái)解決。通?？梢詫⒊Ｓ玫挠蛎虸P地址映射加入到hosts文件中，實(shí)現(xiàn)快速方便的訪問(wèn)。hosts文件的格式如下：IP地址主機(jī)名/域名【例5-1】假設(shè)要添加域名為，IP地址為；，IP地址為。則可在hosts文件中添加如下記錄。

12.2任務(wù)2安裝DNS服務(wù)器

2.

安裝chroot軟件包

1.

安裝BIND軟件包

3.

DNS服務(wù)的啟動(dòng)與停止DNS服務(wù)對(duì)應(yīng)的軟件包與DNS服務(wù)相關(guān)的軟件包有以下幾個(gè)：bind：DNS服務(wù)器軟件包。bind-utils：DNS測(cè)試工具，包括dig，host與nslookup等。bind-chroot：使BIND運(yùn)行在指定的目錄中的安全增強(qiáng)工具。caching-nameserver：高速緩存DNS服務(wù)器的基本配置文件，建議一定安裝。DNS服務(wù)的安裝檢查DNS服務(wù)對(duì)應(yīng)的軟件包是否安裝，如果沒(méi)有安裝的話，進(jìn)行安裝：安裝chroot軟件包c(diǎn)hroot也就是ChangeRoot，用于改變程序執(zhí)行時(shí)的根目錄位置。早期的很多系統(tǒng)程序，默認(rèn)所有程序執(zhí)行的根目錄都是“/"，這樣黑客或者其他的不法分子就很容易通過(guò)/etc/passwd絕對(duì)路徑來(lái)竊取系統(tǒng)機(jī)密。有了chroot，比如BIND的根目錄就被改變到了/var/named/chroot，這樣即使黑客突破了BIND賬號(hào)，也只能訪問(wèn)/var/named/chroot，能把攻擊對(duì)系統(tǒng)的危害降低到最小。安裝chroot軟件包

①當(dāng)BIND包安裝完后，會(huì)在/usr/sbin目錄下出現(xiàn)bind-chroot-admin文件，這是一個(gè)與chroot有關(guān)的命令文件，利用它，可以禁用或啟用chroot功能，也可以使虛擬根目錄下的named配置文件與實(shí)際根目錄下的named配置文件進(jìn)行同步。其命令格式如下所示。#bind-chroot-admin–[e|d|s]安裝chroot軟件包安裝chroot軟件包DNS服務(wù)的啟動(dòng)與停止DNS服務(wù)的配置文件

在/var/named/chroot/etc目錄下?？衫谩癱p–pnamed.caching-nameserver.confnamed.conf”將模板named.caching-nameserver.conf復(fù)制為named.conf進(jìn)行配置。注意，使用P參數(shù)，保留該文件權(quán)限、所有者和時(shí)間戳，也可用a參數(shù)，遞歸地復(fù)制文件和目錄，同時(shí)保留權(quán)限。12.3任務(wù)3掌握BIND配置文件復(fù)制全局配置文件DNS服務(wù)的配置步驟全局配置文件全局配置文件1：選項(xiàng)配置如下：

◆listen-onport53{;};這個(gè)是DNS偵聽(tīng)本機(jī)的端口及IP。這里設(shè)置表示只偵聽(tīng)這個(gè)地址。如不定義此選項(xiàng)表示偵聽(tīng)所有網(wǎng)絡(luò)

◆directory“/var/named”指主配置文件路徑，這個(gè)路徑也是相對(duì)路徑，它的絕對(duì)路徑/var/named/chroot/var/named

◆query-sourceport53;客戶(hù)端在進(jìn)行DNS查詢(xún)時(shí)必須使用53做為源端口

◆allow-query{localhost;};允許提交查詢(xún)的客戶(hù)端，如不定義此選項(xiàng)表示允許所有查詢(xún)

全局配置文件1：選項(xiàng)配置如下：

◆allow-recursion{/24;/24}：允許提交遞歸查詢(xún)的客戶(hù)端，如不定義此選項(xiàng)表示允許所有

◆allow-transfer{54;}：允許區(qū)域傳輸?shù)腄NS服務(wù)器(輔助DNS)，不寫(xiě)表示允許所有

forwarders{;}：轉(zhuǎn)發(fā)器

◆forwardonly|first：only表示如果在指定的轉(zhuǎn)發(fā)器找不到，不會(huì)去向根查詢(xún)，first表示快速轉(zhuǎn)發(fā)(默認(rèn))全局配置文件2：定義主配置文件，此部分可有多個(gè)，只要求localhost_resolver這個(gè)名字不重復(fù)

◆match-clients{localhost;};客戶(hù)端的源IP

match-destinations{localhost;};解析出的目標(biāo)IP

recursionyes;如果客戶(hù)端提交的FQDN本服務(wù)器沒(méi)有，那么服務(wù)器會(huì)幫助客戶(hù)端去查詢(xún)

◆include“/etc/named.rfc1912.zones”;指定主配置文件全局配置文件上面參數(shù)中所有指定地址范圍(如：listen-on、match-clients等)時(shí)都可以多個(gè)寫(xiě)法如下：

◆單個(gè)IP：;

◆網(wǎng)段：/24;

◆指定多個(gè)IP：;;

◆網(wǎng)段：192.168.0.;

還可以使用!表示不包括

◆none：不匹配所有

◆any：匹配所有

◆localhost：DNS主機(jī)

◆localnet：與DNS主機(jī)同網(wǎng)段全局配置文件

可以在全局配置文件的最頂部通過(guò)以下文件定義一個(gè)計(jì)算機(jī)的集合，在指定地址范圍內(nèi)可使用該集合名稱(chēng)

全局配置文件實(shí)例全局配置文件實(shí)例1：偵聽(tīng)本機(jī)所有IP的DNS請(qǐng)求，但只響應(yīng)/24及/24二個(gè)網(wǎng)段的客戶(hù)端。2：當(dāng)客戶(hù)的IP屬于/24網(wǎng)段時(shí)，啟用這個(gè)主配置文件;當(dāng)客戶(hù)的IP屬于/24網(wǎng)段時(shí)，啟用這個(gè)主配置文件。主配置文件在etc目錄下有一個(gè)主配置的例子文件，將其復(fù)制一份改名為。如下圖復(fù)制時(shí)一定要加-a（或-p），因?yàn)槿绻髋渲梦募膿碛薪M不是named時(shí)，BIND服務(wù)是無(wú)法運(yùn)行的。

主配置文件的其它內(nèi)容無(wú)需修改，只要將已有的正向及反向區(qū)域內(nèi)容復(fù)制一份進(jìn)行修改。zone：指定區(qū)域名稱(chēng)；type：指定類(lèi)型主配置文件類(lèi)型說(shuō)明Master主DNS服務(wù)器：擁有區(qū)域數(shù)據(jù)文件，并對(duì)此區(qū)域提供管理數(shù)據(jù)Slave輔助區(qū)域：擁有主DNS服務(wù)器區(qū)域數(shù)據(jù)文件的副本，輔助DNS服務(wù)器從主DNS服務(wù)器同步所有區(qū)域數(shù)據(jù)Stubstub區(qū)域和slave類(lèi)似，但它只復(fù)制主DNS服務(wù)器上的NS記錄，而不像輔助DNS服務(wù)器會(huì)復(fù)制所有區(qū)域數(shù)據(jù)Forward一個(gè)forwardzone是每個(gè)域的配置轉(zhuǎn)發(fā)的主要部分。一個(gè)zone語(yǔ)句中的typeforward可以包括一個(gè)forward和或forwarders子句，它會(huì)在區(qū)域名稱(chēng)給定的域中查詢(xún)。如果沒(méi)有forwarders語(yǔ)句或forwarders是空表，那么這個(gè)域就不會(huì)轉(zhuǎn)發(fā)，消除了options語(yǔ)句中有關(guān)轉(zhuǎn)發(fā)的配置Hint根域名服務(wù)器的初始化組指定使用的線索區(qū)域hintzone，當(dāng)服務(wù)器啟動(dòng)時(shí)，它使用根線索來(lái)查找根域名服務(wù)器，并找到最近的根域名服務(wù)器列表。如果沒(méi)有指定classIN的線索區(qū)域，服務(wù)器使用編譯時(shí)默認(rèn)的根服務(wù)器線索。不是IN的類(lèi)別沒(méi)有內(nèi)置的默認(rèn)線索服務(wù)器此處已指明區(qū)域的區(qū)域配置文件名為.zone，/24的反向區(qū)域配置文件名為zone.。這個(gè)二文件應(yīng)該位于/var/named(在全局配置文件中定義的)目錄下，這個(gè)路徑也是相對(duì)路徑，它的絕對(duì)路徑/var/named/chroot/var/named。主配置文件file：指定區(qū)域配置文件，該文件中將定義資源記錄；

allow-update：指定動(dòng)態(tài)更新類(lèi)型，none表示不允許動(dòng)態(tài)更新。主配置文件根區(qū)域文件/var/named/chroot/var/named/named.ca區(qū)域配置文件----1．正向、反向解析區(qū)域配置模板區(qū)域配置文件2．/var/named/chroot/var/named/localhost.zone區(qū)域配置文件3．/var/named/