《域名系統(tǒng)DNS》PPT課件.ppt

1、第9章 域名系統(tǒng)(DNS),9.1 命名機(jī)制與名字管理 9.2 因特網(wǎng)域名 9.3 DNS服務(wù)器 9.4 域名解析 9.5 DNS報文格式 9.6 DNS資源記錄 9.7 DNS配置及數(shù)據(jù)庫文件,9.1 命名機(jī)制與名字管理,因特網(wǎng)的命名機(jī)制要求主機(jī)名字具有： 全局惟一性 便于管理 便于映射 網(wǎng)絡(luò)中通常采用的命名機(jī)制有兩種：無層次命名機(jī)制和層次型命名機(jī)制。 無層次(flat)命名機(jī)制：早期因特網(wǎng)采用，主機(jī)名用一個字符串表示，沒有任何結(jié)構(gòu)。所有的無結(jié)構(gòu)主機(jī)名構(gòu)成無層次名字空間。 為了保證無層次名字的全局惟一性，命名采用集中式管理方式，名字地址映射通常通過主機(jī)文件完成。,問題：無層次命名不適合具有大

2、量對象的網(wǎng)絡(luò)，隨著網(wǎng)絡(luò)中對象的增加，中央管理機(jī)構(gòu)的工作量也會增加，映射效率降低，而且容易出現(xiàn)名字沖突。 層次型命名機(jī)制將層次結(jié)構(gòu)引入主機(jī)名字，該結(jié)構(gòu)對應(yīng)于管理機(jī)構(gòu)的層次。 層次型命名機(jī)制將名字空間分成若干子空間，每個機(jī)構(gòu)負(fù)責(zé)一個子空間的管理。授權(quán)管理機(jī)構(gòu)可以將其管理的子名字空間進(jìn)一步劃分，授權(quán)給下一級機(jī)構(gòu)管理，而下一級又可以繼續(xù)劃分他所管理的名字空間。這樣一來，名字空間呈一種樹形結(jié)構(gòu)，樹上的每一個節(jié)點都有一個相應(yīng)的標(biāo)號。,根是惟一的，所以不需要標(biāo)號。樹的葉結(jié)點是那些需要根據(jù)名字去尋址的主機(jī)（通常是網(wǎng)絡(luò)上提供服務(wù)的服務(wù)器）。 惟一性：每個機(jī)構(gòu)或子機(jī)構(gòu)向上申請自己負(fù)責(zé)管理的名字空間，并向下分配子名

3、字空間。在給結(jié)點命名標(biāo)號時（分配子名字空間），每個機(jī)構(gòu)或子機(jī)構(gòu)只要保證自己所管理的名字的下一級標(biāo)號不發(fā)生重復(fù)就可以保證所有的名字不重復(fù)。 管理：通過層次化的名字結(jié)構(gòu)，將名字空間的管理工作分散到多個不同層次的管理機(jī)構(gòu)去進(jìn)行管理，減輕了單個管理機(jī)構(gòu)的管理工作量，提高了效率。 映射：很多的名字解析工作可以在本地完成。極大地提高了系統(tǒng)適應(yīng)大量且迅速變化的對象的能力。 當(dāng)前因特網(wǎng)采用的是層次型命名機(jī)制。,返回,9.2 因特網(wǎng)域名,根據(jù)系統(tǒng)采用的是無層次命名機(jī)制還是層次型命名機(jī)制，主機(jī)名可以通過主機(jī)文件或者域名系統(tǒng)DNS進(jìn)行轉(zhuǎn)換。 用主機(jī)文件進(jìn)行名字解析時，每個需要進(jìn)行名字解析的主機(jī)都擁有一個HOSTS文

4、件?，F(xiàn)在，小型網(wǎng)絡(luò)仍然可以采用這種方式進(jìn)行名字解析。下面是Windows系統(tǒng)中的HOSTS文件。,# This is a sample HOSTS file used by Microsoft # TCP/IP for Windows. # This file contains the mappings of IP addresses to # host names. # Each entry should be kept on an individual line. The # IP address should be placed in the first column # followe

5、d by the corresponding host name. # The IP address and the host name should be # separated by at least one space. # Additionally, comments (such as these) may be # inserted on individual lines or following the machine # name denoted by a # symbol. # For example: # 7 # source server # 38.2

6、5.63.10 # x client host localhost,域名系統(tǒng)DNS是在1984年為取代HOSTS文件而創(chuàng)建的層次型名字系統(tǒng)。 域名系統(tǒng)層次結(jié)構(gòu)從高到低的組織： 根域（Root）位于DNS的最高層，一般不出現(xiàn)在域名中。如果確實需要指明根，那么它將出現(xiàn)在FQDN的最后面，以一個句點“”表示。 頂級域又稱為一級域，頂級域按照組織類型和國家劃分，可以分為三個主要的域：通用頂級域名gTLD、國家代碼頂級域名ccTLD和反向域。 gTLD：com、org和net是向所有用戶開放的三個通用頂級域名，也稱為全球域名，任何國家的用戶都可申請注冊它們下面的二級域名。mil、go

7、v和edu三個通用頂級域名只向美國專門機(jī)構(gòu)開放。int是適用于國際化機(jī)構(gòu)的國際頂級域名（iTLD）。,上述7個傳統(tǒng)的通用頂級域供不應(yīng)求，后來又新增了7個頂級域：biz、info、name、pro、aero、coop和museum(新的頂級域名)。 其中前4個是非限制性域，后3個是限制性域，限制性域只能用于專門的領(lǐng)域。 ccTLD：目前有240多個國家代碼頂級域名，由二個字母縮寫來表示。uk代表英國，hk代表香港(地區(qū))， sg代表新加坡。 反向域：的頂級域名為arpa，用于實現(xiàn)IP地址到域名的反向解析。 次級域又叫二級域，次級域與具體的公司或組織相關(guān)聯(lián)。 子域是次級域下面的域，子域是各個組織將

8、名字空間進(jìn)行的進(jìn)一步劃分。,主機(jī)名(Host Name)是最末級的名字。 每個域/子域?qū)?yīng)圖9-1中的一棵子樹，而在實際的名字空間的管理中采用的是區(qū)域（Zone）的概念，區(qū)域是DNS的管理單元，通常是指一個DNS服務(wù)器所管理的名字空間。區(qū)域和域是不同的概念，域是一個完整的子樹，而區(qū)域可以是子樹中的任何一部分，區(qū)域可以是一個域，也可以不是一個域，區(qū)域不一定包含那部分DNS樹中的所有子域。圖9-2描述了區(qū)域和域的不同。,DNS主要由3個部分構(gòu)成： 名字解析器(resolver) 名字解析器請求名字服務(wù)器的服務(wù)，獲得待查主機(jī)的IP地址。解析器位于應(yīng)用程序中或主機(jī)的例行程序庫中。 域名空間(domai

9、n name space) 用樹形結(jié)構(gòu)組織的DNS數(shù)據(jù)庫。 名字服務(wù)器(name server) 名字服務(wù)器用于保存域名空間各部分的信息，響應(yīng)名字解析請求。,返回,9.3 DNS服務(wù)器,DNS服務(wù)器可以通過多種方法獲取域名空間的部分信息： 可以由管理員編輯一個原始區(qū)域文件 從其他名字服務(wù)器那里復(fù)制區(qū)域文件 通過向其他DNS服務(wù)器查詢來獲取具有一定時效的緩存信息 名字服務(wù)器的三種主要類型： 主（primary）名字服務(wù)器 次（secondary）名字服務(wù)器 惟高速緩存（caching-only）名字服務(wù)器 主名字服務(wù)器是擁有一個區(qū)域文件的原始版本的服務(wù)器。關(guān)于該區(qū)域文件的任何變更都在這個主名字服

10、務(wù)器的原始版本上進(jìn)行。,次名字服務(wù)器從其他主名字服務(wù)器那里復(fù)制一個區(qū)域文件。該區(qū)域文件是主名字服務(wù)器的原始區(qū)域文件的一個只讀版本。關(guān)于區(qū)域文件的任何改動都在主名字服務(wù)器那里進(jìn)行，次名字服務(wù)器通過區(qū)域傳輸（zone transfer）跟隨主名字服務(wù)器上區(qū)域文件的變化。 惟高速緩存名字服務(wù)器上沒有區(qū)域文件，它的職責(zé)是幫助名字解析器完成名字解析，并緩存解析結(jié)果。惟高速緩存名字服務(wù)器對名字解析請求的響應(yīng)是非授權(quán)的。惟高速緩存名字服務(wù)器在啟動之后，通過緩存查詢的結(jié)果來逐漸建立DNS信息。緩存條目的生存期TTL由提供授權(quán)解析結(jié)果的名字服務(wù)器決定。該服務(wù)器將查詢的生存期和名字解析一起返回。,返回,9.4 域

11、名解析,TCP/IP的域名系統(tǒng)是一個有效的、可靠的、通用的、分布式的名字地址映射系統(tǒng)。 域名解析包括正向解析和反向解析： 正向解析是根據(jù)域名查詢其對應(yīng)的IP地址或其他相關(guān)信息 反向解析是根據(jù)IP地址查詢其對應(yīng)的域名 DNS服務(wù)器和客戶端屬于TCP/IP模型的應(yīng)用層，DNS既可以使用UDP，也可以使用TCP來進(jìn)行通信。DNS服務(wù)器使用UDP/TCP的53號熟知端口。 DNS服務(wù)器能夠接收兩種類型的解析： 遞歸解析（Recursive resolution） 反復(fù)解析（iterative resolution）。,9.4.1 遞歸解析 遞歸解析要求名字服務(wù)器系統(tǒng)一次性完成名字地址變換。遞歸查詢強(qiáng)迫

12、指定的DNS服務(wù)器對請求做出響應(yīng)，該響應(yīng)或者是一個失敗響應(yīng)，或者是一個包含相應(yīng)的解析結(jié)果的成功響應(yīng)?？蛻舳擞嬎銠C(jī)的解析器通常會發(fā)出遞歸查詢。,9.4.2 反復(fù)解析反復(fù)解析要求客戶端本身反復(fù)尋求名字服務(wù)器的服務(wù)來獲得最終的解析結(jié)果。在反復(fù)解析中，名字服務(wù)器收到請求后，若能夠給出解析結(jié)果，則向客戶端發(fā)回最終結(jié)果，若本名字服務(wù)器無法給出解析結(jié)果，則應(yīng)向查詢者提供它認(rèn)為能夠給出解析結(jié)果的服務(wù)器的IP地址。請求者收到該IP地址后，將向該地址發(fā)解析請求，直到獲得最終解析結(jié)果或失敗響應(yīng)。 當(dāng)一個名字服務(wù)器試圖找到它的本地域之外的名字時，往往會發(fā)送反復(fù)查詢。為了解析名字，它可能必須查詢許多外面的DNS服務(wù)器，

13、一般從根域服務(wù)器開始自頂向下查找。,9.4.3 反向解析名字解析中的反向解析是指由主機(jī)的IP地址求得其域名的過程。DNS在名字空間中設(shè)置了一個稱為的特殊域，專門用于反向解析。為了能夠?qū)⒎聪蚪馕雠c正向解析用相同的方法進(jìn)行解析，反向解析將IP地址的字節(jié)顛倒過來寫，構(gòu)成反向解析的“名字空間”。地址為26的主機(jī)的域名為02.. 。,9.4.4 解析效率解決：兩步名字解析機(jī)制和高速緩存技術(shù)。 采用兩步名字解析機(jī)制解析時，第一步先通過本地名字服務(wù)器進(jìn)行解析，若不行，再采用自頂向下的方法搜索。兩步法既提高了效率又

14、保證了域名管理的層次結(jié)構(gòu)。 在名字服務(wù)器中采用高速緩存技術(shù)，存放最近解析過的名字地址映射和描述解析該名字的服務(wù)器位置的信息，可避免每次解析非本地名字時都進(jìn)行自頂向下的搜索，減小非本地名字解析帶來的開銷。,有效性問題：若授權(quán)名字服務(wù)器中的名字地址映射已發(fā)生變化而高速緩存未能作相應(yīng)刷新，則會帶來有效性問題，高速緩存內(nèi)容的失效會導(dǎo)致解析錯誤。 解決方法： 服務(wù)器向解析器報告緩沖信息時，必須注明該信息是非授權(quán)的信息，同時還指出能夠給出授權(quán)解析結(jié)果的名字服務(wù)器的地址。若解析器僅注重效率，它可以立即使用非授權(quán)的結(jié)果，若解析器注重解析的準(zhǔn)確性，則可以立即向授權(quán)服務(wù)器發(fā)出解析請求，以便獲得準(zhǔn)確的結(jié)果。 高速緩

15、存中的每一個映射條目都有一個生存時間TTL，一旦某條目的TTL時間到，便將它從緩沖區(qū)中刪除。 事實上，由于域名地址映射的穩(wěn)定性，名字緩沖機(jī)制還是非常有效的。,返回,9.5 DNS報文格式,DNS報文包括請求報文和響應(yīng)報文。請求報文和響應(yīng)報文的格式是相同的。 DNS報文的首部由6個字段構(gòu)成： 標(biāo)識字段長度為16比特，用于匹配請求和響應(yīng)。 標(biāo)志字段長度為16比特，劃分為如圖9-7所示的若干子字段。 QR子字段(1比特)：用來區(qū)別請求和響應(yīng)。0表示請求報文，1表示響應(yīng)報文。 OpCode子字段(4比特)：用來定義操作類型。 0表示標(biāo)準(zhǔn)查詢（正向解析） 1表示反向查詢（反向解析） 2表示服務(wù)器狀態(tài)請求

16、。,DNS報文首部的后面是可變部分，包括四個小部分。 問題部分由一組問題記錄組成。問題記錄格式如圖。 詢問名字段可變長，詢問名由標(biāo)號序列構(gòu)成，每個標(biāo)號前有一個字節(jié)指出該標(biāo)號的字節(jié)長度。 詢問類（query class）16比特，1表示因特網(wǎng)協(xié)議(IN)。 詢問類型（query type）16比特，定義詢問希望得到的回答類型。域名雖然主要針對主機(jī)而言，但由于域名系統(tǒng)的通用性，域名解析既可以用于獲取IP地址，也可以用于獲取名字服務(wù)器和主機(jī)信息等。為了區(qū)分這些不同類型的對象，域名系統(tǒng)中每一命名條目都被賦予類型屬性。(表9-3),表9-3 常用的類型 A 1 IPv4地址 用于域名到IPv4地址的轉(zhuǎn)換

17、 NS 2 名字服務(wù)器 標(biāo)識區(qū)域的授權(quán)名字服務(wù)器 CNAME 5 正規(guī)名 定義主機(jī)正規(guī)名的別名 SOA 6 授權(quán)開始 標(biāo)識授權(quán)的開始 PTR 12 指針 指向其他域名空間的指針 HINFO 13 主機(jī)信息 標(biāo)識主機(jī)使用的CPU和OS MX 15 郵件交換 標(biāo)識用于域的郵件交換資源 AAAA 28 IPv6地址 用于域名到IPv6地址的轉(zhuǎn)換 AXFR 252 區(qū)域傳輸 請求傳輸整個區(qū)域 ANY 255 全記錄請求 請求所有的記錄,記錄別名 數(shù)值 記錄類型描 述,DNS報文的其余三個部分是回答部分、授權(quán)部分和附加信息部分，附加信息包含回答部分和授權(quán)部分返回的資源所要求的附加信息（如IP地址）。 這

18、三部分均由一組資源記錄組成，而且僅在應(yīng)答報文中出現(xiàn)。一條資源記錄描述一個域名，格式如圖。,在響應(yīng)報文中，回答的域名往往與問題中的域名相同。為了節(jié)省響應(yīng)報文的空間，服務(wù)器對回答的域名采用壓縮格式，對相同的域名只存放一個拷貝，其他采用指針表示。 若開始的兩個二進(jìn)制位為“11”，則接下去的14比特為指針，該指針指向存放在報文中另一位置的域名字符串。 若開始的兩個二進(jìn)制位為“00”，則接下去的6比特指出緊跟在計數(shù)字節(jié)后面的標(biāo)號的長度。,解析域名的請求報文,解析域名的響應(yīng)報文,返回,9.6 DNS資源記錄,DNS響應(yīng)報文中的回答部分、授權(quán)部分和附加信息部分由資源記錄構(gòu)成，資源記錄存放在名字服務(wù)器的數(shù)據(jù)庫

19、中。DNS具有20多種不同類型的資源記錄，下面給出幾種常用的資源記錄的格式。 授權(quán)開始（ SOA）資源記錄定義在域中充當(dāng)主名字服務(wù)器的主機(jī)及相關(guān)參數(shù)。語法如下： IN SOA ( ),符號指明名字服務(wù)器所負(fù)責(zé)的域，通過引導(dǎo)文件可以查到域名。 IN和SOA分別指明資源記錄的類和類型。 名字服務(wù)器(NS)資源記錄指明哪一個DNS服務(wù)器對于域是授權(quán)服務(wù)器。要確保在主名字服務(wù)器和次名字服務(wù)器內(nèi)包含NS資源記錄。語法： IN NS 指明名字服務(wù)器所對應(yīng)的域的名稱。指定域名的授權(quán)名字服務(wù)器的完全合格域名FQDN。 地址(A)資源記錄指明主機(jī)的IP地址。語法： IN A 指明主機(jī)名。定義主機(jī)的IPv4地址。

20、IPv6的資源記錄類型為AAAA。,正規(guī)名（CNAME）資源記錄提供為主機(jī)創(chuàng)建別名的能力。通過使用別名，可以使提供多種服務(wù)的主機(jī)以不同的名字提供不同的服務(wù)。語法： IN CNAME ：主機(jī)的別名。：實際主機(jī)名。 郵件交換(MX)資源記錄描述該域的郵件服務(wù)器。一個域可以有多個MX資源記錄，以便實現(xiàn)指定域的email服務(wù)的負(fù)載均衡和容錯。語法： IN MX 是郵件交換服務(wù)器處理郵件的域名。是郵件交換服務(wù)器的代價值，代價值代表服務(wù)器的優(yōu)先級。代價值越小，優(yōu)先級越高。相同的代價值：進(jìn)行負(fù)載均衡。僅當(dāng)?shù)痛鷥r值的郵件交換服務(wù)器不可達(dá)時，郵件才被送往高代價的郵件交換服務(wù)器。字段代表郵件交換服務(wù)器的主機(jī)名。,

21、返回,9.7 DNS配置及數(shù)據(jù)庫文件,BIND(Berkeley Internet Name Daemon)軟件是一個客戶/服務(wù)系統(tǒng)，客戶端稱為解析器或轉(zhuǎn)換程序(resolver)，解析器產(chǎn)生域名信息的查詢請求，并將信息發(fā)送給服務(wù)器，服務(wù)器回答解析器的查詢。BIND的服務(wù)器是一個稱為named的守護(hù)進(jìn)程。 BIND DNS服務(wù)器的配置依賴于幾個文本文件?？梢杂梦谋揪庉嬈髦苯由蛇@些文件或者是從基本模板修改而得到。DNS必須配置的文件包括DNS配置文件（又稱引導(dǎo)文件）、DNScache文件、DNS正向查詢文件和DNS反向查詢文件。,9.7.1 DNS配置文件 BIND的DNS服務(wù)器用配置文件na

22、med.conf來包含如下的信息： （1）其他DNS文件所在的路徑。 （2）包含因特網(wǎng)根服務(wù)器映像的cache文件的名字。 （3）DNS服務(wù)器授權(quán)的任何主域域名以及包含那個域的資源記錄的數(shù)據(jù)庫文件名。 （4）DNS服務(wù)器授權(quán)的任何次域域名、包含那個域的資源記錄的數(shù)據(jù)庫文件名以及對應(yīng)的主名字服務(wù)器的IP地址。,options directory “/etc/db”; ; zone “.” type hint; file “named.cache”; ; zone “” type master; file “named.hosts”; ;,BIND-8.x配置文件named.conf的一個例子。,

23、zone “0.0.127.” type master; file “named.local”; ; zone “85.119.202.” type master; file “named.rev”; ; zone“” typeslave; file“slavenet.njust”; masters 0; ;,9.7.2 DNScache文件,；last update： Aug 22，1997 ；related version of root zone： 1997082200 ；formerly NS.INTERNIC.N

24、ET 3600000 IN NS A.ROOT-SERVERS.NET. A.ROOT-SERVERS.NET. 3600000 A ；formerly NSl.ISI.EDU 3600000 NS B.ROOT-SERVERS.NET. B.ROOT-SERVERS.NET. 3600000 A 07 3600000 NS C.ROOT-SERVERS.NET. C.ROOT-SERVERS.NET. 3600000 A 2 3600000 NS D.ROOT-SERVERS.NET. D.ROOT-SERVERS.NET. 360

25、0000 A 0,DNScache文件包含一系列的根域名服務(wù)器。該文件應(yīng)該隨根域名服務(wù)器的不斷更新而更新。以下是DNScache文件(named.cache)的一個版本。, 3600000 NS E.ROOT-SERVERS.NET. E.ROOT-SERVERS.NET. 3600000 A 0 3600000 NS F.ROOT-SERVERS.NET. F.ROOT-SERVERS.NET. 3600000 A 41 3600000 NS G.ROOT-SERVERS.NET. G.ROOT-SERVERS.NET. 360

26、0000 A 3600000 NS H.ROOT-SERVERS.NET. H.ROOT-SERVERS.NET. 3600000 A 3 3600000 NS I.ROOT-SERVERS.NET. I.ROOT-SERVERS.NET. 3600000 A 7 3600000 NS J.ROOT-SERVERS.NET. J.ROOT-SERVERS.NET. 3600000 A 0 3600000 NS K.ROOT-SERVERS.NET. K.ROOT-SERVERS.NET. 3600000

27、A 29 3600000 NS L.ROOT-SERVERS.NET. L.ROOT-SERVERS.NET. 3600000 A 2 3600000 NS M.ROOT-SERVERS.NET. M.ROOT-SERVERS.NET. 3600000 A 3 ；End of File,9.7.3 DNS正向查詢文件,正向查詢是指根據(jù)主機(jī)名查詢其IP地址和其他信息。相關(guān)的資源記錄數(shù)據(jù)保存在DNS正向查詢文件中。一個典型的正向查詢區(qū)域文件named.hosts的例子： IN SOA . .( 1998030501 ；serial 1

28、0800 ；refresh 3 hours 3600 ；retry 1 hour 604800 ；expire 7 days 86480 ；TTL 1 day ) IN NS . IN NS . . IN A 26 . IN A 27 msrv1 IN A 28 www IN CNAME . ftp IN CNAME . mail IN CNAME . . IN MX 10 . . IN MX 20 .,9.7.4 DNS反向查詢文件,DNS反向查詢文件提供將一個IP地址轉(zhuǎn)換為主機(jī)名的功能。 反向查詢區(qū)的區(qū)域文件是根據(jù)IP

29、網(wǎng)絡(luò)的網(wǎng)絡(luò)地址決定的。在反向查詢區(qū)的區(qū)域文件里，IP地址是逆序的。 如果一個網(wǎng)絡(luò)的地址為，則命名其反向查詢區(qū)為10.。如果網(wǎng)絡(luò)的地址為，則命名其反向查詢區(qū)為16.172.。 配置文件名可以是任何名字。為了便于記憶，通常的命名為或named.rev。,在DNS反向查詢區(qū)域文件中，通常至少配置兩個反向查詢區(qū)域： 環(huán)回地址的反向查詢區(qū)域 該域用的實際網(wǎng)絡(luò)地址的反向查詢區(qū)域 地址資源記錄要確保包含了所有在網(wǎng)絡(luò)上經(jīng)常被訪問的主機(jī)的地址資源記錄。而且要確保SOA、NS或者郵件交換(MX)資源記錄中所列舉的