智能DNS(Bind dlz)在企業中的應用

時間 2021-02-15

標籤 php mysql web sql 數據庫編程安全 bash 服務器數據結構欄目系統網絡简体版

原文原文鏈接

51CTO獨家特稿】編者按：在大衆網，智能DNS被用在絕大部分二級域名和一些非大衆網域名上，一年多來運行的至關穩定。曉輝本次總結了過去一年來部署使用智能DNS過程當中的操做步驟和一些經驗心得，跟你們分享。

去年由於二級域名大量增長、Bind下管理不便的關係，在公司部署了智能DNS（ Bind dlz），當時寫過一篇部署文檔進行了記錄。不過在過去一年的使用當中，發現了其中很多的錯誤，因此本次發佈該文檔的第二版，對這些錯誤進行修正。更新內容包括：

一、修正web界面中對新建域名ns 域名是自身的嚴重bug。

二、修正web界面中線路爲電信網通移動。

三、取消A、CNAME、MX、AAAA記錄最多隻能添加10條的限制。

四、修正IP庫到最新。

五、使用CentOS 5.7版本。

智能dns工做示意圖

1、Bind-dlz簡介

全世界範圍內標準DNS服務器是BIND。儘管被流傳了許多年，通過屢次修改，BIND的基本功能保持不變。遺憾的是，有一些很差的缺陷。

BIND從文本文件中獲取數據，這樣容易由於編輯錯誤出現問題。
BIND須要將數據加載到內存中，若是域或者記錄較多，會消耗大量的內存。
BIND啓動時解析Zone文件，對於一個記錄較多的DNS來講，會耽誤更多的時間。
若是最近修改一條記錄，那麼要從新加載或者重啓BIND才能生效，可能會影響客戶端查詢。

bind-dlz主要解決上述缺陷而誕生，在mysql存儲zone的記錄，比在文本中好管理的多。

智能DNS的原理：

在用戶解析一個域名的時候，判斷一下用戶的IP，而後跟DNS服務器內部的IP表匹配一下，看看用戶是電信仍是網通用戶，而後給用戶返回對應的IP地址。

適用範圍：

網站要有三線路接入或者在電信、聯通、移動部署有服務器，這樣智能dns才能派上用場。

2、智能DNS系統服務規劃

一、NameServer服務器設置（到新網或者萬網後臺添加）

ns1.zjyxh.com  192.19.13.15
ns2.zjyxh.com  192.19.11.3

NS1是master ，NS2是slave。二者數據經過mysql來同步。

二、測試NS記錄是否生效

#dig ns www.zjyxh.com
#dig www.zjyxh.com +trace

三、Bind-View規劃

www.zjyxh.com 網通 (CNC)  124.133.11.78
www.zjyxh.com 電信(TELECOM) 58.56.11.153 
www.zjyxh.com 移動(ANY) 120.192.11.13

3、在CentOS 5.7上安裝MySQL Replication

由於Bind-dlz是使用MySQL做爲存儲zone的載體，這樣就能夠用php來操做MySQL。特別注意：智能dns最少部署兩臺NameServer，主從關係。主從同步利用mysql的複製來實現主從同步。

首先下載mysql的最新版並解壓：

wget http://mirrors.sohu.com/mysql/MySQL-5.1/mysql-5.1.60.tar.gz
tar zxf mysql-5.1.60.tar.gz
cd mysql-5.1.60
./configure --prefix=/usr/local/mysql --enable-assembler --with-server-suffix=-DZWWW --enable-thread-safe-client --enable-local-infile --enable-thread-safe-client  --with-big-tables --with-charset=utf8 --with-client-ldflags=-all-static  -with-collation=utf8_general_ci --with-extra-charsets=all --with-mysqld-ldflags=-all-static --with-mysqld-ldflags=-ltcmalloc  --with-mysqld-user=mysql -with-plugins=partition,myisammrg --with-pthread --with-unix-socket-path=/tmp/mysql.sock --without-ndb-debug
make && make install

將my.cnf放到/etc下，並安裝系統數據庫。

wget http://autolemp.googlecode.com/files/my.cnf
cp support-*/mysql.server /etc/init.d/mysqld
cp my.cnf /etc/
chmod 744 /etc/init.d/mysqld
cd /usr/local/mysql
chown -R mysql:mysql .
rm -rf sql-bench mysql-test
mkdir -p /data0/mysql/relaylog/
mkdir -p /data0/mysql/binlog/
chown -R mysql.mysql /data0/mysql
/usr/local/mysql/bin/mysql_install_db --user=mysql --basedir=/usr/local/mysql --datadir=/data0/mysql/data

默認腳本會啓動MySQL。若是報錯，會在數據庫目錄裏有錯誤日誌。

MySQL replication配置

一、MySQL安全設置

* 用mysqladmin命令來改root用戶口令

# mysqladmin -uroot password 51cto.com

//設置MySQL管理操做用戶root的密碼爲51cto.com

* 用setpassword修改口令：

mysql> set password for root@localhost=password('51cto.com);

* 直接修改user表的root用戶口令

mysql> use mysql; 
mysql> update user set password=password('51cto.com') where user='root';
mysql> flush privileges;

二、刪除默認的數據庫和用戶。

咱們的數據庫是在本地，而且也只須要本地的php腳本對mysql進行讀取，因此不少用戶都不須要。mysql初始化後會自動生成空用戶和test庫，這會對數據庫構成威脅，咱們所有刪除。

mysql> drop database test;
mysql> use mysql;
mysql> delete from db; 
mysql> delete from user where not(host="localhost" anduser="root"); 
mysql> flush privileges;

三、Master 機器設置權限，賦予Slave機器FILE及Replication Slave權利，並打包要同步的數據庫結構。

Master# ./mysql -u root -p 51cto.com
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 2 to server version: 5.1.60
Type 'help;'or '\h' for help. Type '\c' to clear the buffer. 
mysql> GRANT FILE ON*.* TO slaverep@172.19.1.3 IDENTIFIEDBY ‘slaverep’; 
mysql> GRANT REPLICATION SLAVE ON *.* TO slaverep@172.19.1.3 IDENTIFIEDBY ‘51cto.com’; 
mysql> Flush privilege;

賦予192.19.11.3也就是Slave 機器有File權限, 這個5.1.60版對replication的權限好像作了調整，只賦予Slave機器有File權限還不行，還要給它REPLICATION SLAVE的權限才能夠。

Master 導入CDN。Sql文件創建CDN數據結構

# mysql -uroot -p 51cto.com 
mysql> create database cdn;
mysql> \q
# mysql cdn -uroot -p 51cto.com < cdn.sql #cdn.sql文件所在的位置

這樣master 就有了CDN庫的數據結構。

Slave同樣。這樣再也不重複。

而後，設置主服務器Master的my.cnf，啓動Mysql服務

Master# vi /etc/my.cnf

在[mysqld]添加或修改如下的內容：

[mysqld]
log-bin=/home/data/mysql/data/binlog/binlog #打開logbin選項以能寫到slave的 I/O線程;
server-id=1 #表示是本機的序號爲1,通常來說就是master的意思.
binlog-do-db=cdn #表示同步cdn數據庫;

而後把Master主服務器的MySQL重啓。

Master# service mysqld restart

四、修改Slave服務器的my.cnf

Slave# vi /etc/my.cnf

在[mysqld]添加或修改如下的內容：

[mysqld]
master-host=192.19.13.15
master-user=slaverep
master-password=51cto.com
master-port=3306
server-id=10
master-connect-retry=60
replicate-do-db=cdn [要更新的數據庫]
log-slave-updates

五、刪除Slave端數據庫目錄中的master.info

Slave# rm -f master.info

六、重啓動Slave的MySQL服務。

Slave# service mysqld restart

七、測試

先檢測兩個MySQL數據庫中的cdn是否正常。正常狀況應該是Master和Slave 中的MySQL都有相同的cdn數據庫，而且裏面的數據都同樣。而後測試replication功能是否起用。在Master中的reptest數據庫添加一筆數據：

Master# mysql -u root -p 
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 12 to server version: 5.1.60
Type 'help;'or '\h' for help. Type '\c' to clear the buffer. 
mysql> use cdn;
Database changed
mysql> INSERT INTO rep_table VALUES ('test1', '4321', 'T',24);
Query OK, 1 row affected (0.00 sec)
mysql>

而後查看Slave機器的reptest數據庫：

Slave# mysql -u root -p 
Enter password: 
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 12 to server version: 5.1.49
Type 'help;'or '\h' for help. Type '\c' to clear the buffer. 
mysql> use cdn;
Database changed
mysql>select * from reptable; 
+------+------+------+------+
| id | name| sex | age | 
+------+------+------+------+
| test1|4321 | T | 24 | 
+------+------+------+------+
1 row in set(0.00 sec) 
mysql> source /root/etc/cdn.sql #導入壓縮包中的cdn.sql

這樣就ok了。接下來是一些性能方面的調優。

爲MySQL添加TCMalloc庫下降系統負載

TCMalloc（Thread-CachingMalloc）是google開發的開源工具──「google-perftools」中的成員。與標準的glibc庫的malloc相比，TCMalloc在內存的分配上效率和速度要高得多，能夠在很大程度上提升MySQL服務器在高併發狀況下的性能，下降系統負載。

一、64位操做系統請先安裝libunwind庫，32位操做系統不要安裝。libunwind庫爲基於64位CPU和操做系統的程序提供了基本的堆棧展轉開解功能，其中包括用於輸出堆棧跟蹤的API、用於以編程方式展轉開解堆棧的API以及支持C++異常處理機制的API。

wget http://download.savannah.gnu.org/releases/libunwind/libunwind-0.99.tar.gz
tar zxvf libunwind-0.99.tar.gz
cd libunwind-0.99/
CFLAGS=-fPIC ./configure
make CFLAGS=-fPIC
make CFLAGS=-fPIC install

二、安裝google-perftools：

wget http://google-perftools.googlecode.com/files/google-perftools-1.6.tar.gz
tar zxvf google-perftools-1.6.tar.gz
cd google-perftools-1.6/
./configure
make && make install
echo "/usr/local/lib" >/etc/ld.so.conf.d/usr_local_lib.conf
/sbin/ldconfig

三、修改MySQL啓動腳本（根據你的MySQL安裝位置而定）：

vi /usr/local/mysql/bin/mysqld_safe

在# executingmysqld_safe的下一行，加上：

export LD_PRELOAD=/usr/local/lib/libtcmalloc.so

保存後退出，而後重啓MySQL服務。

四、使用lsof命令查看tcmalloc是否起效：

lsof -n | grep tcmalloc

若是出現如下信息，說明tcmalloc已經起效：

mysqld 10847 mysql mem REG 8,5 1203756 20484960/usr/local/lib/libtcmalloc.so.0.0.0

MySQL部分配置到此完畢，下面能夠進入正題了：安裝配置Bind-dlz。

4、安裝配置Bind-DLZ 及相關腳本

一、安裝bind

#mkdir /usr/local/src/bind-dlz
#cd /usr/local/src/bind-dlz 
#wget http://ftp.isc.org/isc/bind9/9.6.0-P1/bind-9.6.0-P1.tar.gz
#tar zxvf bind-9.6.0-P1.tar.gz
#cd bind-9.6.0-P1
#./configure --with-dlz-mysql --enable-largefile --enable-threads=no--prefix=/usr/local/bind 
#make -j4 && make install

二、建立相關配置文件

cd /usr/local/bind/etc
../sbin/rndc-confgen >rndc.conf
tail -n10 rndc.conf | head -n9 | sed -e s/#\//g >named.conf
# vilocalhost.zone 
ttl 86400
@ IN SOA localhost. root.localhost. (
1997022700 ; Serial
28800 ; Refresh
14400 ; Retry
3600000 ; Expire
86400 ) ; Minimum
IN NS localhost.
1 IN PTR localhost.
# dig >named.root

編輯named.conf：

#vi named.conf

最下面加入：

include"/usr/local/bind/etc/cnc_acl.conf"; //網通ACL
include "/usr/local/bind/etc/telecom_acl.conf"; //電信ACL
include "/usr/local/bind/etc/view.conf"; //DLZ相關的配

三、配置DNSTSIG

使用dnssec-keygenfunction 產生加密密鑰，一個爲public key，另外一個爲private key,本文假設應用服務器存在CNC,TELECOM,EDU,ANY

(1)產生加密金鑰

#cd /usr/local/bind/sbin 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST cnc 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST telecom 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST edu 
#./dnssec-keygen -a hmac-md5 -b 128 -n HOST any

(2)查看生成的密鑰文件

# cat Kcnc.+157+24406.private //以網通爲例.
Private-key-format: v1.2 
Algorithm: 157 (HMAC_MD5) 
Key: YTjTOw00PzeEaasA16/Rvw== 
Bits: AAA=

將 YTjTOw00PzeEaasA16/Rvw== 加入到named.conf，其它同例。

詳細請參照named.conf配置文件

配置named.conf

#vi /usr/local/bind/etc/named.conf 
key "rndc-key" { 
algorithm hmac-md5; 
secret "5PubnjGuAWeH9F2dIUYd6g=="; 
}; 
controls { 
inet 127.0.0.1 port 953 
allow { 127.0.0.1; } keys {"rndc-key"; }; 
}; 
options { 
directory "/usr/local/bind/etc"; 
pid-file "named.pid"; 
}; 
#TSIG-key 
key "cnc" { 
algorithm hmac-md5; 
secret "YTjTOw00PzeEaasA16/Rvw=="; 
}; 
key "telecom" { 
algorithm hmac-md5; 
secret"pUcQGLpSH2tQgVZ9ZHU6Yg=="; 
}; 
key "edu"{ 
algorithm hmac-md5; 
secret"Bzo6MTzrzbRFQbONYTS1Cw=="; 
}; 
key "any"{ 
algorithm hmac-md5; 
secret"DHpPfGJdMLv91OygBf9H6w=="; 
}; 
#acl 
acl"dns-ip-list"{ 
172.19.3.15; #masterDNS IP 
172.19.1.3; #slaveDNS IP 
}; 
#acl include 
include"/usr/local/bind/etc/cnc_acl.conf"; //網通ACL 
include"/usr/local/bind/etc/telecom_acl.conf"; //電信 ACL
include"/usr/local/bind/etc/edu_acl.conf"; //教育網ACL 
include"/usr/local/bind/etc/view.conf"; //bind-view部分

三、Bind啓動腳本

#!/bin/bash
# chkconfig: 345 71 71 
# description:bind daemondcase"$1" in 
start)
if [ -x/usr/local/bind/sbin/named ]; then
/usr/local/bind/sbin/named -c /usr/local/bind/etc/named.conf -u bind
echo "BIND9-named server started"
fi
;;
stop)
kill `cat/usr/local/bind/etc/named.pid` && echo . && echo 'BIND9 serverstopped'
;;
restart)
echo .
echo "Restart BIND9 server"
$0 stop
sleep 10
$0 start
;;
reload)
/usr/local/bind/sbin/rndcreload
;;
status)
/usr/local/bind/sbin/rndcstatus
;;
*)
echo"$0 start | stop | restart |reload |status"
;;
esac
chkconfig --add bind9
service bind9 start#啓動bind
service bind9 reload# 重載bind
service bind9 restart# 重啓bind

剩餘文檔見 etc.tar.gz這個文件，裏面很詳細。部署master時候用tar zxf etc.tar.gz -C /usr/local/bind/etc覆蓋便可，剩下的slave在部署bind仍是將配置文件解壓到/usr/local/bind/etc/便可，將rndc-key 和dnssec從新配置一遍就能夠用了！

另外，web管理界面能夠在這裏下載（下載以後解壓縮，而後上傳到你的NameServer下便可）：

http://down.51cto.com/data/296744

注意事項

部署DNS，防火牆和路由器要設置清楚，我部署的時候就是由於硬防沒有對master和slave服務器開放tcp和udp53端口，形成不能解析域名。須要你們切記！

做者簡介：崔曉輝，網名coralzd，大衆網系統管理員，精通網站系統架構、Unix技術。gtalk：coralzd@gmail.com

本文出自「曉輝」博客，請務必保留此出處 http://coralzd.blog.51cto.com/90341/729847