Red Hat Certified Engineer 8 備考第十四天 搭個DNS

時間：2019年8月5日

地點：家裏

內容：DNS、bind服務

DNS    DNS（Domain Name System，域名系統） 這是一項用於管理和解析域名與IP地址對應關係的技術，簡單來講，就是可以接受用戶輸入的域名或IP地址，而後自動查找與之匹配（或者說具備映射關係）的IP地址或域名，即將域名解析爲IP地址（正向解析），或將IP地址解析爲域名（反向解析）。

    

     主服務器：在特定區域內具備惟一性，負責維護該區域內的域名與IP地址之間的對應關係。

    從服務器：從主服務器中得到域名與IP地址的對應關係並進行維護，以防主服務器宕機等狀況。

    緩存服務器：經過向其餘域名解析服務器查詢得到域名與IP地址的對應關係，並將常常查詢的域名信息保存到服務器本地，以此來提升重複查詢時的效率。

     DNS運行示意圖（見下圖）

    

     目前全球總部總共有13個IPV4的DNS根服務器

    

bind服務     BIND（Berkeley Internet Name Domain，伯克利因特網名稱域）服務是全球範圍內使用最普遍、最安全可靠且高效的域名解析服務程序。

     主配置文件（/etc/named.conf）：這些參數用來定義bind服務程序的運行。

     區域配置文件（/etc/named.rfc1912.zones）：用來保存域名和IP地址對應關係的所在位置。

     數據配置文件目錄（/var/named）：該目錄用來保存域名和IP地址真實對應關係的數據配置文件。

                                               正向解析參數及ZONE文件寫法（下圖所示）

    

    

                                         反向解析參數及ZONE文件寫法（下圖所示）

    

    

     安全加密傳輸（TSIG）詳見RFC2845

          dnssec-keygen     dnssec-keyfromlabel命令從一個加密硬件中獲取給定的密鑰並生產密鑰文件。當dnssec-keyfromlabel命令執行成功後，將輸出一個格式爲Knnnn.+aaa+iiiii的字符串。其中，nnnn表示密鑰名；aaa表示加密算法；iiiii表示密鑰標標識符。 格式爲「 dnssec-keyfromlabel [選項]  」。

          -a algorithm：選擇的加密算法。算法的值必須是RSAMD五、RSASHA一、DSA、NSEC3RSASHA一、NSEC3DSA、RSASHA25六、RSASHA5十二、ECCGOST其中之一。這些值是不區分大小寫的。若是沒有指定算法，默認使用RSASHA1值。

          -3：使用NSEC3能力的算法生成一個DNSSEC密鑰。若是此選項是用來顯示設置，沒有算法在命令行上，默認狀況下，將使用NSEC3RSASHA1。

          -E engine：指定的加密硬件的名稱。

          -l label：在加密硬件中指定密鑰對的標籤。

          -n nametype：指定密鑰文件的全部者類型。這類型的值能夠是ZONE、HOST、ENTITY、USER、OTHER。

          -C：兼容模式。生成一箇舊式密鑰文件，沒有任何元數據。默認狀況下，DNSSEC keyfromlabel將包括密鑰的建立日期用私鑰存儲在元數據中、其餘日期（出版日期、激活日期等）。

          -c class：DNS記錄包含的密鑰應該有指定的類。若是不指定，IN類被使用。

          -f flag：在標誌KEY/DNSKEY記錄的領域設置指定的標誌。***承認的標誌是密鑰簽名密鑰（KSK）和REVOKE。

          -G：生成一個密鑰，但不發佈或簽署。該選項和-P、-A選項不兼容。

          -h：顯示幫助信息。

          -K directory：設置要密鑰文件的目錄。

          -k：生成密鑰的記錄，而不是DNSKEY記錄。

          -p protocol：設置密鑰值協議。該協議是在0～255之間。默認設置爲3（DNSSEC）。

          -t type：指示密鑰類型。類型必須是AUTHCONF、NOAUTHCONF、NOAUTH、NOCOND其中之一。默認爲AUTHCONF。AUTH用來驗證數據的能力和conf可以加密的數據。

          -v level：設置調試級別。

          -y：容許生成DNSSEC密鑰文件，即便密鑰ID與現有密鑰相同，在任一密鑰中  撤銷。

          -P date/offset：設置密鑰文件的出版日期。

          -A date/offset：設置密鑰文件的激活日期。

          -D date/offset：設置密鑰文件的刪除日期。

          -I date/offset：設置密鑰文件的失效日期。

          -R date/offset：設置密鑰的撤銷日期。

     部署緩存服務器

            向主配置文件添加forwarders參數，格式爲：「{ ip; }」

     分離解析技術

            1.刪除主配置文件中的根域項。

            2.以ACL的形式定義區域IP並配置對應的正向解析服務。

書面筆記