Linux 第24天: (09月26日) Linux DNS

Linux 第24天: (09月26日) Linux DNS

 

 

 

本章內容
名字解析
DNS服務
實現主從服務器
實現子域
實現view
編譯安裝
壓力測試
DNS排錯

 

DNS服務
DNS: Domain Name Service，協議（C/S, 53/udp, 53/tcp）應用層協議
BIND：BekerleyInternatName Domain, ISC （www.isc.org）
本地名稱解析配置文件：hosts
/etc/hosts
%WINDIR%/system32/drivers/etc/hosts
1.1.1.1 www.magedu.com
2.2.2.2 www.apple.com

 

DNS域名
根域
一級域名：Top Level Domain: tld
com, edu, mil, gov, net, org, int，
三類：組織域、國家域(.cn, .ca, .hk, .tw)、反向域
二級域名
三級域名
最多127級域名
ICANN（The Internet Corporation for Assigned Names and Numbers）互聯網名稱與數字地址分配機構，負責在全球範圍內對互聯網通用頂級域名（gTLD）以及國家和地區頂級域名（ccTLD）系統的管理、以及根服務器系統的管理。

 

DNS解析
DNS查詢類型：
遞歸查詢
迭代查詢
名稱服務器：域內負責解析本域內的名稱的主機；
根服務器：13組服務器
解析類型：
FQDN --> IP
IP --> FQDN
注意：正反向解析是兩個不一樣的名稱空間，是兩棵不一樣的解析樹

 

DNS服務器類型
DNS服務器的類型：
主DNS服務器
從DNS服務器
緩存DNS服務器（轉發器）
主DNS服務器：管理和維護所負責解析的域內解析庫的服務器
從DNS服務器：從主服務器或從服務器「複製」（區域傳輸）解析庫副本
序列號：解析庫版本號，主服務器解析庫變化時，其序列遞增刷新時間間隔：從服務器從主服務器請求同步解析的時間間隔
重試時間間隔：從服務器請求同步失敗時，再次嘗試時間間隔
過時時長：從服務器聯繫不到主服務器時，多久後中止服務
「通知」機制：主服務器解析庫發生變化時，會主動通知從服務器

 

區域傳輸
區域傳輸：
徹底傳輸：傳送整個解析庫
增量傳輸：傳遞解析庫變化的那部份內容
Domain: Fully Qualified Domain Name正向：FQDN --> IP
反向: IP --> FQDN
負責本地域名的正向和反向解析庫：
正向區域
反向區域

 

DNS解析
一次完整的查詢請求通過的流程：
Client -->hosts文件-->DNS Service Local Cache --> DNS Server (recursion) --> Server Cache --> iteration(迭代) --> 根--> 頂級域名DNS-->二級域名DNS…
解析答案：
確定答案：
否認答案：請求的條目不存在等緣由致使沒法返回結果
權威答案：
非權威答案：

 

資源記錄
區域解析庫：由衆多RR組成：
資源記錄：Resource Record, RR
記錄類型：A, AAAA, PTR, SOA, NS, CNAME, MX
SOA：Start Of Authority，起始受權記錄；一個區域解析庫有且僅能有一個SOA記錄，必須位於解析庫的第一條記錄
A：internet Address，做用，FQDN --> IP
AAAA: FQDN --> IPv6
PTR: PoinTeR，IP --> FQDN
NS: Name Server，專用於標明當前區域的DNS服務器
CNAME：Canonical Name，別名記錄
MX:Mail eXchanger，郵件交換器
資源記錄定義的格式：
語法：name[TTL]IN rr_type value
注意：
(1) TTL可從全局繼承
(2) @可用於引用當前區域的名字
(3) 同一個名字能夠經過多條記錄定義多個不一樣的值；此時DNS服務器會以輪詢方式響應
(4) 同一個值也可能有多個不一樣的定義名字；經過多個不一樣的名字指向同一個值進行定義；此僅表示經過多個不一樣的名字能夠找到同一個主機

 

SOA記錄
name: 當前區域的名字，例如「magedu.com.」
value: 有多部分組成
(1) 當前區域的主DNS服務器的FQDN，也可使用當前區域的名字；
(2) 當前區域管理員的郵箱地址；但地址中不能使用@符號，通常用.替換，例如linuxedu.magedu.com
(3) 主從服務區域傳輸相關定義以及否認的答案的統一的TTL
例如：
magedu.com. 86400 IN SOA ns.magedu.com. nsadmin.magedu.com. (
2015042201 ;序列號
2H ;刷新時間
10M;重試時間
1W;過時時間
1D;否認答案的TTL值
)

 

NS記錄
name: 當前區域的名字
value: 當前區域的某DNS服務器的名字，例如ns.magedu.com.；
注意：一個區域能夠有多個NS記錄；
例如：
magedu.com.INNS ns1.magedu.com.
magedu.com.INNS ns2.magedu.com.
注意：
(1) 相鄰的兩個資源記錄的name相同時，後續的可省略(2) 對NS記錄而言，任何一個ns記錄後面的服務器名字，都應該在後續有一個A記錄

 

MX記錄
name: 當前區域的名字
value: 當前區域的某郵件服務器(smtp服務器)的主機名
一個區域內，MX記錄可有多個；但每一個記錄的value以前應該有一個數字(0-99)，表示此服務器的優先級；數字越小優先級越高
例如：
magedu.com.IN MX 10 mx1.magedu.com.
IN MX 20 mx2.magedu.com.
注意：
(1) 對MX記錄而言，任何一個MX記錄後面的服務器名字，都應該在後續有一個A記錄

 

A記錄
name: 某主機的FQDN，例如www.magedu.com.
value: 主機名對應主機的IP地址；
例如：
www.magedu.com.IN A 1.1.1.1
www.magedu.com.IN A2.2.2.2
mx1.magedu.com. IN A3.3.3.3
mx2.magedu.com. IN A4.4.4.4
注意：
*.magedu.com. IN A 5.5.5.5
magedu.com.IN A6.6.6.6
避免用戶寫錯名稱時給錯誤答案，可經過泛域名解析進行解析至某特定地址

 

其它記錄
AAAA:
name: FQDN
value: IPv6
PTR:
name: IP，有特定格式，把IP地址反過來寫，1.2.3.4，要寫做4.3.2.1；而有特定後綴：in-addr.arpa.，因此完整寫法爲：4.3.2.1.in-addra.arpa.
value: FQDN
例如：
4.3.2.1.in-addr.arpa. IN PTR www.magedu.com
簡寫成：如1.2.3爲網絡地址，可省
4 IN PTR www.magedu.com.
注意：網絡地址及後綴可省略；主機地址依然須要反着寫

 

別名記錄
CNAME：
name: 別名的FQDN
value: 真正名字的FQDN；
例如：
www.magedu.com. IN CNAME websrv.magedu.com.

 

子域
子域受權：每一個域的名稱服務器，都是經過其上級名稱服務器在解析庫進行受權
相似根域受權tld：
.com.IN NS ns1.com.
.com.IN NSns2.com.
ns1.com. IN A 2.2.2.1
ns2.com. IN A 2.2.2.2
magedu.com. 在.com的名稱服務器上，解析庫中添加資源記錄：
magedu.com. IN NS ns1.magedu.com.
magedu.com. IN NS ns2.magedu.com.
magedu.com. IN NS ns3.magedu.com.
ns1.magedu.com. IN A 3.3.3.1
ns2.magedu.com. IN A 3.3.3.2
ns3.magedu.com. IN A 3.3.3.3
glue record：粘合記錄，父域受權子域的記錄

 

互聯網域名
域名註冊：
代理商：萬網, 新網；godaddy
註冊完成之後，想本身用專用服務來解析
管理後臺：把NS記錄指向的服務器名稱，和A記錄指向的服務器地址

 

BIND安裝
BIND的安裝配置：
dns服務程序包:bind，unbound
程序名：named，unbound
程序包：yum list all bind*
bind：服務器
bind-libs：相關庫
bind-utils:客戶端
bind-chroot: /var/named/chroot/

 

bind服務器
服務腳本和名稱：/etc/rc.d/init.d/named,unbound.service
主配置文件：/etc/named.conf, /etc/named.rfc1912.zones, /etc/rndc.key，/etc/unbound/unbound.conf
解析庫文件：/var/named/ZONE_NAME.ZONE
注意：
(1) 一臺物理服務器可同時爲多個區域提供解析；
(2) 必需要有根區域文件；named.ca
(3) 應該有兩個（若是包括ipv6的，應該更多）實現localhost和本地迴環地址的解析庫
rndc: remote name domain controller，
默認與bind安裝在同一主機，且只能經過127.0.0.1鏈接named進程
提供輔助性的管理功能；953/tcp

 

配置文件
主配置文件：
全局配置：options {};
日誌子系統配置：logging {};
區域定義：本機可以爲哪些zone進行解析，就要定義哪些zone；
zone "ZONE_NAME" IN {};
注意：任何服務程序若是指望其可以經過網絡被其它主機訪問，至少應該監聽在一個能與外部主機通訊的IP地址上
緩存名稱服務器的配置：
監聽外部地址便可；
dnssec: 建議關閉dnssec，設爲no

 

配置主DNS服務器
主DNS名稱服務器：
(1) 在主配置文件中定義區域
zone "ZONE_NAME" IN {
type {master|slave|hint|forward};
file "ZONE_NAME.zone";
};
(2) 定義區域解析庫文件
出現的內容：
宏定義；
資源記錄；
主配置文件語法檢查：
named-checkconf
解析庫文件語法檢查：
named-checkzone"magedu.com" /var/named/magedu.com.zone
rndcstatus|reload;service named reload

 

主區域示例
$TTL 86400
$ORIGIN magedu.com.
@INSOAns1.magedu.com.admin.magedu.com (
2015042201
1H
5M
7D
1D )
INNSns1
INNSns2
INMX 10mx1
INMX 20mx2
ns1INA172.16.100.11
ns2INA172.16.100.12
mx1INA172.16.100.13
mx2INA172.16.100.14
websrvINA172.16.100.11
websrvINA172.16.100.12
wwwINCNAMEwebsrv

 

測試命令dig
dig [-t type] name [@SERVER] [query options]
dig只用於測試dns系統，不會查詢hosts文件進行解析
查詢選項：
+[no]trace：跟蹤解析過程
+[no]recurse：進行遞歸解析
測試反向解析：
dig -x IP @SERVER
模擬區域傳送：
dig -t axfrZONE_NAME @SERVER
dig -t axfrmagedu.com @172.16.100.11
dig –t axfr100.16.172.in-addr.arpa @172.16.1.1

 

測試命令
host [-t type] name [SERVER]
host –t NS magedu.com @172.16.0.1
nslookup命令：
nslookup[-option] [name | -] [server]
交互式模式：
nslookup>
server IP: 指明使用哪一個DNS server進行查詢
set q=RR_TYPE: 指明查詢的資源記錄類型
NAME: 要查詢的名稱

 

反向區域
反向區域：
區域名稱：網絡地址反寫.in-addr.arpa.
172.16.100. --> 100.16.172.in-addr.arpa.
(1) 定義區域
zone "ZONE_NAME" IN {
type {master|slave|forward}；
file "網絡地址.zone"
};
(2) 定義區域解析庫文件
注意：不須要MX,以PTR記錄爲主

 

反向區域示例
$TTL 86400
$ORIGIN 100.16.172.in-addr.arpa.
@INSOAns1.magedu.com. admin.magedu.com. (
2015042201
1H
5M
7D
1D )
INNSns1.magedu.com.
INNSns2.magedu.com.
11INPTRns1.magedu.com.
11INPTRwww.magedu.com.
12INPTRmx1.magedu.com.
12INPTRwww.magedu.com.
13INPTRmx2.magedu.com.

 

從服務器
一、應該爲一臺獨立的名稱服務器
二、主服務器的區域解析庫文件中必須有一條NS記錄指向從服務器
三、從服務器只須要定義區域，而無須提供解析庫文件；解析庫文件應該放置於/var/named/slaves/目錄中
四、主服務器得容許從服務器做區域傳送
五、主從服務器時間應該同步，可經過ntp進行；
六、bind程序的版本應該保持一致；不然，應該從高，主低
定義從區域的方法：
zone "ZONE_NAME" IN {
type slave;
masters { MASTER_IP; };
file "slaves/ZONE_NAME.zone";
};

 

rndc命令
rndc：
rndc--> rndc(953/tcp)
rndcCOMMAND
COMMAND:
reload: 重載主配置文件和區域解析庫文件
reload zone: 重載區域解析庫文件
retransfer zone: 手動啓動區域傳送過程，而無論序列號是否增長
notify zone: 從新對區域傳送發通知
reconfig: 重載主配置文件
querylog: 開啓或關閉查詢日誌文件/var/log/message
trace: 遞增debug一個級別
trace LEVEL: 指定使用的級別
notrace：將調試級別設置爲0
flush：清空DNS服務器的全部緩存記錄

 

子域
子域受權：分佈式數據庫
正向解析區域子域方法：
定義一個子區域：
ops.magedu.com. IN NS ns1.ops.magedu.com.
ops.magedu.com. IN NSns2.ops.magedu.com.
ns1.ops.magedu.com. IN A 1.1.1.1
ns2.ops.magedu.com. IN A 1.1.1.2
fin.magedu.com. IN NS ns1.fin.magedu.com.
fin.magedu.com. IN NS ns2.fin.magedu.com.
ns1.fin.magedu.com. IN A 3.1.1.1
ns2.fin.magedu.com. IN A 3.1.1.2
注意：關閉dnssec功能：
dnssec-enable no;
dnssec-validation no;

 

轉發服務器
注意：被轉發的服務器須要可以爲請求者作遞歸，不然轉發請求不予進行
(1) 全局轉發: 對非本機所負責解析區域的請求，全轉發給指定的服務器
Options {
forward first|only;
fowwarders{ ip;};
};
(2) 特定區域轉發：僅轉發對特定的區域的請求，比全局轉發優先級高
zone "ZONE_NAME" IN {
type forward;
forward first|only;
forwarders { ip;};
};
注意：關閉dnssec功能：
dnssec-enable no;
dnssec-validation no;

 

bind中ACL
bind中基礎的安全相關的配置：
acl: 把一個或多個地址歸併爲一個集合，並經過一個統一的名稱調用
格式：
aclacl_name{
ip;
net/prelen;
……
};
示例：
aclmynet{
172.16.0.0/16;
10.10.10.10;
};
bind有四個內置的acl:
none: 沒有一個主機
any: 任意主機
localhost: 本機
localnet: 本機的IP同掩碼運算後獲得的網絡地址
注意：只能先定義，後使用；所以通常定義在配置文件中，處於options的前面

 

訪問控制
訪問控制的指令：
allow-query {}：容許查詢的主機；白名單；
allow-transfer {}：容許區域傳送的主機；白名單
allow-recursion {}: 容許遞歸的主機,建議全局使用
allow-update {}: 容許更新區域數據庫中的內容

 

bind view
view:視圖，一個bind服務器可定義多個view，每一個view中可定義一個或多個zone
每一個view用來匹配一組客戶端；
多個view內可能須要對同一個區域進行解析，但使用不一樣的區域解析庫文件
格式：
view VIEW_NAME {
match-clients { };
};
注意：
(1) 一旦啓用了view，全部的zone都只能定義在view中
(2) 僅在容許遞歸請求的客戶端所在view中定義根區域
(3) 客戶端請求到達時，是自上而下檢查每一個view所服務的客戶端列表
CDN: Content Delivery Network
智能DNS:
dnspod
dns.la

 

編譯安裝bind
下載bind:
isc.org:
bind-9.8
bind-9.9
bind-10
編譯安裝bind
# tar xvfbind-9.11.0a3.tar.gz
# cd bind-9.11.0a3/
# groupadd-r -g 53 named
# useradd-r -u 53 -g 53 named
# ./configure --prefix=/usr/local/bind9 --sysconfdir=/etc/named/ --disable-ipv6 --disable-chroot--enable-threads
# make
# make install
環境變量：
vim /etc/profile.d/named.sh
export PATH=/usr/local/bind9/bin:
/usr/local/bind9/sbin/:$PATH
庫和頭文件
vim /etc/ld.so.conf.d/named.conf
/usr/local/bind9/lib
ldconfig–v
ls -sv/usr/local/bind9/include /usr/include/named
man幫助
vim /etc/man.config
MANPATH /usr/local/bind9/share/man
man named.conf

vim /etc/named/named.conf
options {
directory "/var/named/"
};
zone "." IN {
type hint;
file "named.ca";
};
zone "localhost" IN {
type master;
file 「named.localhost";
allow-update {none;};
};
zone 「1.0.0.127.in-addr.arpa" IN {
type master;
file "named.loopback";
allow-update {none;};
};

區域數據庫
mkdir/var/named
named-checkconf
dig +norec@a.root-servers.net > /var/named/named.ca
vim /var/named/named.localhost
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
IN NS localhost.
localhost. IN A 127.0.0.1

vim /var/named/named.local
$TTL 1d
@ IN SOA localhost. admin.localhost. (
2016061801
1h
5m
7d
1d)
IN NS localhost.
IN PTR localhost.

 

編譯安裝bind
設置權限
chmod 640 /var/named/*
chmod 640 /etc/named/named.conf
chown :named /var/named/*
chown :named /etc/named/named.conf
啓動服務和測試
man named
named -u named -f -g -d 3 前端級別3方式運行
named -u named 後臺運行
killall named
ss -uln
tail /var/log/message
named -u named
支持rndc
rndc reload 看報錯提示
rndc-confgen -r /dev/urandom > /etc/named/rndc.conf 生成key
tail /etc/named/rndc.conf >> /etc/named/named.conf
killall -SIGHUP named
rndc status

 

壓力測試
/root/bind-xxx/contrib/scripts
編譯壓力測試工具
cd /root/bind-xxx/contrib/queryperf
./configure
make
cp queryperf /usr/local/bind9/bin
queryperf -h
壓力測試
vim test.txt
www.magedu.com A
magedu.com NS
magedu.com MX
pop3.magedu.com A
web.magedu.com A
queryperf -d test.txt -s 127.0.0.1
打開日誌功能
rndc querylog
rndc status
queryperf -d test.txt -s 127.0.0.1
wc -l /var/log/message

 

#dig A example.com
; <<>> DiG9.9.4-RedHat-9.9.4-14.el7 <<>> A example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<-opcode: QUERY, status: NOERROR, id: 30523
...
SERVFAIL:Thenameserverencountered a problem while processing the query.
可以使用dig +trace排錯，多是網絡和防火牆致使
NXDOMAIN：The queried name does not exist in the zone.
多是CNAME對應的A記錄不存在致使
REFUSED：The nameserverrefused the client's DNS request due to policy restrictions.
多是DNS策略致使

 

DNS排錯NOERROR不表明沒有問題，也能夠是過期的記錄查看是否爲權威記錄，flags:aa標記判斷被刪除的記錄仍能返回結果，多是由於*記錄存在如：*.example.com．INA172.25.254.254注意「.」的使用避免CNAME指向CNAME記錄，可能產生迴環test.example.com. IN CNAME lab.example.com.lab.example.com. IN CNAME test.example.com.正確配置PTR記錄，許多服務依賴PTR，如sshd,MTA正確配置輪詢round-robin記錄