1、DNS 域名解析服务整个 Internet 大家庭中连接了数以亿计的服务器、个人主机，其中大部分的网站、邮件等服务器都使用了域名形式的地址，如 、 等。很显然这种地址形式要比使用 64.233.189.147、202.108.33.74 的 IP 地址形式更加直观，而且更容易被用户记住。DNS 系统在网络中的作用就是维护着一个地址数据库，其中记录了各种主机域名与 IP地址的对应关系，以便为客户程序提供正向或反向的地址查询服务，即正向解析与反向解析。 正向解析：根据域名查 IP 地址，即将指定的域名解析为相对应的 IP 地址。域名的正向解析是 DNS 服务器最基本的功能，也是最常用的功能。 反向
2、解析：根据 IP 地址查域名，即将指定的 IP 地址解析为相对应的域名。域名的反向解析不是很常用，只在一些特殊场合才会用到，如可用于反垃圾邮件的验证。实际上，每一台 DNS 服务器都只负责管理一个有限范围（一个或几个域）内的主机域名和 IP 地址的对应关系，这些特定的 DNS 域或 IP 地址段称为“zone ”（区域） 。根据地址解析的方向不同，DNS 区域相应地分为正向区域（包含域名到 IP 地址的解析记录）和反向区域（包含 IP 地址到域名的解析记录） 。根据所管理的区域地址数据的来源不同， DNS 系统可以分为不同的类型。在同一台DNS 服务器中，相对于不同的区域来说，也拥有不同的身份
3、。常见的几种类型如下。 缓存域名服务器：只提供域名解析结果的缓存功能，目的在于提高查询速度和效率，但是没有自己控制的区域地址数据。构建缓存域名服务器时，必须设置根域或指定其他 DNS 服务器作为解析来源。 主域名服务器：维护某一个特定 DNS 区域的地址数据库，对其中的解析记录具有自主控制权，是指定区域中唯一存在的权威服务器、官方服务器。构建主域名服务器时，需要自行建立所负责区域的地址数据文件。 从域名服务器：与主域名服务器提供完全相同的 DNS 解析服务，通常用于 DNS 服务器的热备份。对客户机来说，无论使用主域名服务器还是从域名服务器，查询的结果都是一样的。关键区别在于，从域名服务器提供
4、的解析结果并不是由自己决定的，而是来自于主域名服务器。构建从域名服务器时，需要指定主域名服务器的位置，以便服务器能自动同步区域的地址数据库。以上所述主、从服务器的角色只是针对某一个特定的 DNS 区域来说的。例如，同一台DNS 服务器，可以是“”区域的主域名服务器，同时也可以是“”区域的从域名服务器。一、安装和控制 DNS 服务器BIND 不是唯一能够提供域名服务的 DNS 服务程序，但它却是应用最为广泛的，BIND可以运行在大多数 Linux/UNIX 主机中。其官方站点位于 https:/www. isc.org/o1、安装 BIND 软件在 RHEL 6.5 系统中，系统光盘自带了 BI
5、ND 服务的安装文件，主要包括以下几个软件包。RHEL 6 开始不提供 caching-nameserver 这个包了，默认的 named.conf 的功能就是 caching nameserver。 bind-9.8.2-0.17.rcl.e16_4.6.x86_64.rpm。 bind-utils-9.8.2-0.17.rcl.e16_4.6.x86_64.rpm。 bind-libs-9.8.2-0.17.rcl.e16_4.6.x86_64.rpm。 bind-chroot-9.8.2-0.17.rcl.e16_4.6.x86_64.rpm。各软件包的主要作用如下。 bind：提供了域
6、名服务的主要程序及相关文件。 bind-utils：提供了对 DNS 服务器的测试工具程序，如 nslookup 等。 bind-1ibs：提供了 bind、bind-utils 需要使用的库函数。 bind-chroot：为 BIND 服务提供一个伪装的根目录（将/var/named/chroot/文件夹作为BIND 的根目录） ，以提高安全性。默认已安装 bind-utils 和 bind-libs，所以只需要安装 bind 和 bind-chroot 即可。rootlocalhost Server# rpm -qa | grep “bind“ /查询是否已安装与 BIND 相关的软件包b
7、ind-9.8.2-0.17.rcl.e16_4.6.x86_64bind-chroot-9.8.2-0.17.rcl.e16_4.6.x86_64bind-1ibs-9.8.2-0.17.rcl.e16_4.6.x86_64bind-utils-9.8.2-0.17.rcl.e16_4.6.x86_642、BIND 服务控制BIND 软件包安装完毕以后，会自动增加一个名为 named 的系统服务，通过脚本文件/etc/init.d/named 或 service 工具都可以控制 DNS 域名服务的运行。例如，执行以下操作可以查询 named 服务的运行状态。rootlocalhost # s
8、ervice named statusrndc: neither /etc/rndc.conf nor /etc/rndc.key was foundnamed 已停3、BIND 服务的配置文件使用 BIND 软件构建域名服务时，主要涉及两种类型的配置文件：主配置文件和区域数据文件。其中，主配置文件用于设置 named 服务的全局选项、注册区域及访问控制等备种运行参数；区数据文件用于存放某个 DNS 区域的地址解析记录（正向或反向记录） 。. 主配置文件主配置文件 named.conf 通常位于 /etc/目录下，在 named.conf 文件中，主要包括全局配置、区域配置两个部分，每一条配置
9、记录的行尾以分号“; ”表示结束，以“#”号或者“/”开始的部分表示注释文字（大段注释可以使用“/* */”的格式） 。1). 全局配置部分全局配置参数包括在形如“options ;”的大括号中，如可以设置监听的地址和端口、区数据文件存放的目录、允许哪些客户机查询等。rootlocalhost # cd /var/named/chroot/etc/rootlocalhost etc# vim named.conf /省略部分参数options listen-on port 53 173.16.16.1; ; /监听地址和端口directory “/var/named“; /区域数据文件的默认存
10、放位置allow-query 192.168.1.0/24; 173.16.16.0/24; ; /允许使用本 DNS 服务的网段; /省略部分参数上述配置内容中，除了 directory 项通常会保留以外，其他的配置项都可以省略。若不指定 listen-on 配置项时，named 默认在所有接口的 UDP 53 端口监听服务，不指定 allow-query配置项时，默认会响应所有客户机的查询请求。2). 区域配置部分区域配置参数使用“zone ;”的配置格式，一台 DNS 服务器可以为多个区域提供解析，因此在 named.conf 文件中也可以有很多个 zone 配置段。区域类型按照解析方向
11、可分为正向区域、反向区域。rootlocalhost etc# vim named.conf /省略部分参数zone ““ IN /正向““区域type master; /类型为主区域file “.zone“; /区域数据文件为 benet. com. zoneallow-transfer 173.16.16.2; ; /允许下载的从服务器地址;zone “16.16.173.in-addr.arpa“ IN /反向“173.16.16.0/24“区域type master;file “173.16.16.arpa“; /省略部分参数在上述配置内容中，有几个地方需要注意。 每个 zone 区域
12、都是可选的（包括根域、回环域、反向域） ，具体根据实际需要而定，zone 配置部分的“IN”关键字也可以省略。 反向区域的名称由倒序的网络地址和“in-addr.arpa”组合而成。例如，对于 172.16.1.0/24 网段，其反向区域名称表示为“1.16.172. in-addr.arpa”。 file 配置项用于指定实际的区域数据文件，文件名称由管理员自行设置。 区域配置中的部分参数（如 allow-transfer）也可以放在全局配置里。修改完主配置文件以后，可以执行 named-checkconf 命令对 named.conf 文件进行语法检查。如果文件中没有语法错误，该命令将不给出
13、任何提示，反之，则会给出相应的提示信息，只要根据出错提示修正文件中的错误即可。带“-z ”选项的 named-checkconf 命令还可以尝试加载主配置文件中对应的区域数据库文件，并检查该文件是否存在问题。例如，当出现“file not found”的错误时，表示找不到对应的文件。rootlocalhost etc# named-checkconf -z /etc/named.confzone loading from master file .zone failed: file not foundzone not loaded due to errors._default/ file
14、not found /省略部分参数关于 named.conf 文件中各种配置项的详细说明，可以执行“man named.conf， ，查看手册页，也可参考配置样本文件/usr/share/doc/bind-9.8.2/sample/etc/named.conf。. 区域数据配置文件区域数据配置文件通常位于/var/named/目录下，每个区域数据文件对应一个 DNS 解析区域，文件名及内容由该域的管理员自行设置。根域“.”的区域数据文件比较特殊。Internet 中所有的 DNS 服务器都使用同一份根区域数据文件，其中列出了所有根服务器的域名和 IP 地址。根区域数据文件可以从国际互联网络信息
15、中心（InterNIC）的官方网站地址 http:/www. TTL 配置项、 SOA （Start of Authority，授权信息开始）记录、地址解析记录。文件中的注释信息以分号“；”开始。1). TTL 配置及 SOA 记录部分第一行的 TTL 配置用于设置默认生存周期，即缓存解析结果的有效时问。 SOA 记录部分用于设置区域名称、管理邮箱，以及为从域名服务指定更新参数。rootlocalhost # cd /var/named/chroot/var/named/rootlocalhost named# vim .zone$TTL 86400 ;有效解析记录的生存周期 IN SOA
16、. . ( ;SOA 标记、域名、管理邮箱2011030501 ;更新序列号，可以是 10 位以内的整数3H ;刷新时间，重新下载地址数据的间隔15M ;重试延时，下载失败后的重试间隔1W ;失效时间，超过该时间仍无法下载则放弃1D ;无效解析记录的生存周期)上述配置内容中，时间单位默认为秒，也可以使用以下单位: M (分)、H (时)、W (周)、D(天 )。文件中的 “”符号当于“.” ， “.”，表示域管理员的电子邮箱地址（由于“”符号已有其他含义，因此将邮件地址中的“”用代替） 。SOA 记录中的更新序列号用来同步主、从服务器的区域数据，当从服务器判断区域更新时，若发现主服务器中的序列
17、号与本地区域数据中的序列号相同，则不会进行下载。2).地址解析记录部分地址解析记录用来设置 DNS 区域内的域名、 IP 地址映射关系，包括正向解析记录和反向解崭记录。反向解析记录只能用在反向区域数据文件中。rootlocalhost named# vim .zone /省略部分参数 IN NS .IN MX 10 ns1 IN A 58.16.16.203www IN A 173.16.16.1mail IN A 173.16.16.4ftp IN CNAME www上述配置内容中，用到以下四种常见的地址解析记录。 NS 域名服务器（Name Server）：记录当前区域的 DNS 服务器的
18、主机地址。 MX 邮件交换（Mail Exchange ）：记录当前区域的邮件服务器的主机地址，数字 10表示（当有多个 MX 记录时）选择邮件服务器的优先级，数字越大优先级越低。 A 地址（Address）：记录正向解析条目。例如， “WWW IN A 173.16.16.1”表示或名 对应的 IP 地址是 173.16.16.1。 CNAME 别名（Canonical Name）：记录某一个正向解析条目的其他名称。例如， “ftp IN CNAME www”表示域名 是 的别名。其中，NS、MX 记录行首的“ ”符号可以省略（默认继承 SOA 记录行首的信息） ，但是必须保留一个空格或
19、 Tab 制表位。在反向区域数据文件中，不会用到 A 地址记录，而是使用 PTR 指针（Point ）记录。例如，对于反向区域 16.16.173.in-addr.arpa，添加的反向解析记录可以是以下形式。rootlocalhost named# vim 16.16.173.in-addr.arpa /省略部分参数1 IN PTR .4 IN PTR .使用 PTR 记录时，第一列中只需要指明对应 IP 地址的 “主机地址”部分即可，如“1” 、“4”等，系统在查找地址记录时会自动将当前反向域的网络地址作为前缀。例如，上述文件中的“4 IN PTR .”，表示 IP 地址为 173.16.1
20、6.4 的主机的域名是.。在区域数据配置文件中，凡是不以点号“.结尾的主机地址，系统在查找地址记录时都会自动将当前的域名作为后缀。例如，若当前的 DNS 域为“” ，则在文件中的主机地址“www”相当于“” 。因此，当使用完整的 FQDN 地址时，务必记得地址末尾的点号“.”不能省略。修改完区域数据文件以后，可以执行 named-checkconf 命令对该文件进行语法检查。依次指定区域名称、数据文件名作为参数。如果文件中没有语法错误，系统将给出“OK”的提示信息。例如，若要检查 DNS 区域 的区域数据文件 .zone，可以执行以下操作。rootlocalhost # cd /var/na
21、med/chroot/var/named/rootlocalhost named # named-checkzone .zonezone loaded seria1 20110305010K当一台服务器需要同时承载某个 DNS 区域内的许多个不同的域名时（如 IDC 的虚拟主机服务器、提供个人主页空问的网站服务器等） ，可以在区域数据文件的最后一行添加泛域名解析记录，即使用“*”以匹配任意主机名。* IN A 173.16.16.173二、使用 BIND 构建域名服务器学习了 DNS 服务器的相关基础知识、BIND 软件包的安装，以及 DNS 服务器的配置文件组成、配置格式等。下面分别讲解
22、构建缓存域名服务器、主域名服务器、从域名服务器的基本过程。1、构建缓存域名服务器缓存域名服务器通常架设在公司的局域网内，主要目的是提高域名解析的速度，减少对互联网访问的出口流量。例如，在一个小型企业的内部网络，如下图中，可单独建立一台（或集成在网关主机中）缓存域名服务器，为备部门的员工计算机提供 DNS 解析服务。参考上述网络结构，本小节案例使用的基本环境和要求如下所述。 缓存域名服务器的 IP 地址为 192.168.1.5，并能够正常访问互联网。 缓存域名服务器代为处理客户端的 DNS 解析请求，并缓存查询结果。 局域网内的各 PC 将首选 DNS 服务器地址设为 192.168.1.5。
23、下面讲解使用 BIND 构建此缓存域名服务器的基本步骤。. 建立主配置文件 named.conf若使用范本文件创建 named.conf，应注意修改或删除默认的监听设置、查询控制，以便能够为局域网段的客户机提供服务。另外，logging、view 配置部分一般用不到，可以先注释以避免其干扰。rootlocalhost # vim /var/named/chroot/etc/named.confoptions listen-on port 53 192.168.1.5; ;directory “/var/named“;dump-file “/var/named/data/cache_dump.d
24、b“; /设置域名缓存数据库文件位置statistics-file “/var/named/data/named_stats.txt“; /设置状态统计文件位置memstatistics-file “/var/named/data/named_mem_stats.txt“;allow-query 192.168.1.0/24; ;recursion yes;zone “.“ IN /正向“.”根区域type hint; /类型为根区域file “named.ca“; /区域数据文件为 named.ca;上述配置内容中，dump-file、statistics-file、memstatistic
25、s-file 等配置项用于指定缓存数据库文件、状态统计文件的位置。添加了“zone “.“ IN ;”部分的根区域设置，尽管缓存服务器并没有自主控制的区域数据，但可以向根服务器进行迭代查询，并将最终获得的解析结果反馈给客户。有时候为了提高解析效率，也可以不向根区域查询，而是将来自客户端的查询请求转发给国内电信运营商的 DNS 服务器（如北京的 202.106.0.20、 202.106.148.1） ，缓存服务器收到返回的查询结果后再传递给客户端。只要去掉“zone “.“ IN ;”的设置，并在全局配置中正确设置 forwarders 参数即可实现该功能。rootlocalhost etc#
26、 vim named.confoptions /省略部分内容forwarders 202.106.0.20; 202.106.148.1; ;. 确认根域的区域数据文件 named.ca根区域的区域数据文件默认位于文件/var/named/named.ca 中，该文件记录了 Internet 中13 台根域服务器的域名和 IP 地址等相关信息。. 启动 mmed 服务执行“service named start”命令，启动 named 服务，并通过 netstat 命令确认 named 服务的端口监听状态。若服务启动失败或发现没有正常监听 UDP53 端口，可以根据错误提示信息(或者/var/
27、log/messages 文件中的日志记录)排除错误，然后再重启服务即可。rootlocalhost etc# service named start启动 named: 确定rootlocalhost etc# netstat -anpu | grep namedudp 0 0 192.168.1.5:53 0.0.0.0:* 11687/namedudp 0 0 0.0.0.0:53 0.0.0.0:* 11687/named. 验证缓存域名服务器在局域网内的客户机中，将首选 DNS 服务器的地址设为 192.168.1.5.生效后，执行“nslookup ”命令对其进行解析，验证其是否能够
28、获得该域名对应的 IP 地址信息。2、构建主域名服务器主域名服务器通常架设在 Internet 环境中，提供某一个域或某几个域内的主机名与 IP 地址的查询服务。为了分担域名查询的压力、提供区域数据的备份，有时还会另外架设一台从域名服务器，与主域名服务器同时提供服务，如下图所示。参考下图的网络结构，将分别介绍主域名服务器、从域名服务器的构建过程。案例使用的基本网络环境和要求如下所述。 主、从域名服务器均位于 Internet 中，所负责的 DNS 区域为“” 。 主服务器的 IP 地址为 173.16.16.5，主机名为 o 从服务器的 IP 地址为 173.16.16.6，主机名为 o 参考
29、各服务器的地址映射关系，为 173.16.16.0/24 网段提供反向解析。 设置 域的泛域名解析，对应的 IP 地址为 173.16.16.1。 在 区域中，除了 NS 记录以外，提供的解录还包括以下内容。 网站服务器 ，IP 地址为 173.16.16.1。 邮件服务器 ，IP 地址为 173.16.16.2。 在线培训服务器 ，IP 地址为 173.16.16.3。 客户机将首选、备用 DNS 服务器分别设为 173.16.16.5 和 173.16.16.6，使用其中的任何一个服务器.都能够正常查询 区域中的主机地址。下面首先讲解使用 BIND 构建主域名服务器的基本步骤。. 确
30、认本机的网络地址、主机映射、默认 DNS 服务器地址。将主域名服务器的 IP 地址设为 173.16.16.5、主机名设为 ，通过修改网络配置文件的方式进行。另外，为了提高域名解析效率，建议将两个 DNS 服务器的地址映射直接写入到/etc/hosts 文件中，并在/etc/resolv.conf 文件中指定两个 DNS 服务器的地址。rootlocalhost # tail -2 /etc/hosts173.16.16.5 nsl173.16.16.6 ns2rootlocalhost # tail -2 /etc/resolv.confnameserver 173.16.16.5nam
31、eserver 173.16.16.6. 建立主配置文件 named.confo新创建的 named.conf 主配置文件，由于只需要提供 域的正向解析和173.16.16.0/24 网段的反向解析，因此相应地添加这两个区域即可。根区域、回环域等其他配置内容可以省略。rootlocalhost # cd /var/named/chroot/etc/rootlocalhost etc# vim named.confoptions directory “/var/named“;zone ““ IN /正向““区域type master; /类型为主区域file “.zone“; /区域数据文件为
32、 benet. com. zoneallow-transfer 173.16.16.6; ; /允许从服务器地址下载正向域数据;zone “16.16.173.in-addr.arpa“ IN /反向“173.16.16.0/24“区域type master;file “173.16.16.arpa“;allow-transfer 173.16.16.6; ; /允许从服务器地址下载反向域数据;当不需要建立从域名服务器时，上述配置内容中的“allow-transfer ”部分可以不添加，当不需要提供反向解析时， “zone “16.16.173.in-addr.arpa“ IN ”部分也可以去
33、掉。. 建立正向、反向区域数据文件。根据 named.conf 中的 zone 区域设置，分别建立正向区域数据文件 .zone.反向区域数据文件 173. 16. 16.arpao 配置内容可以参考区域数据文件/var/named/named. localhost。rootlocalhost # cd /var/named/chroot/var/named/rootlocalhost named# vim .zone$TTL 86400 ;有效解析记录的生存周期 IN SOA . . ( ;SOA 标记、域名、管理邮箱2011030501 ;更新序列号，可以是 10 位以内的整数3H ;刷新时
34、间，重新下载地址数据的间隔15M ;重试延时，下载失败后的重试间隔1W ;失效时间，超过该时间仍无法下载则放弃1D ;无效解析记录的生存周期) IN NS .IN NS .IN MX 10 .ns1 IN A 173.16.16.5ns2 IN A 173.16.16.6mail IN A 173.16.16.2www IN A 173.16.16.1study IN A 173.16.16.3* IN A 173.16.16.1rootlocalhost named# vim 173.16.16.arpa$TTL 86400 IN SOA . . (20110305013H 15M 1W 1
35、D ) IN NS .IN NS .1 IN PTR .2 IN PTR .3 IN PTR .5 IN PTR .6 IN PTR . 启动 named 服务或重载配置。执行“service named start”命令以启动 named 服务，如果之前 named 服务已经在运行，也可以重启服务或重载配置。rootlocalhost named# service named reload重新载入 named: 确定. 验证主域名服务器。客户端将 DNS 服务器指向 173.16.16.5 (主域名服务器的 IP 地址) ，使用 nslookup 命令验证 DNS 查询结果。例如，以下操作使
36、用 Windows 7 客户机分别验证了正向解析、泛域名解析、反向解析的查询结果。C:UsersAdministrator nslookup /验证正向域名解析服务器: Address: 173.16.16.5名称: SAddress: 173.16.16.3C: UsersAdministrator nslookup /验证泛域名解析服务器: Address: 173.16.16.5.名称: Address: 173.16.16.1C:UsersAdministrator nslookup 173.16.16.2 /验证反向域名解析服务器: Address: 173.16.16.5名称:
37、 Address: 173.16.16.23、构建从域名服务器继续用上面的应用案例，在已经构建好主域名服务器 173.16.16.5 的基础之上，继续构建从域名服务器 173.16.16.6。. 确认本机的网络地址、主机映射、默认 DNS 服务器地址将从域名服务器的 IP 地址设为 173.16.16.6，主机名设为 ，通过修改网络配置文件的方式进行。另外，主机映射文件/etc/hosts 和 DNS 解析文件/etc/resolve.conf 的内容与主服务器中的内容相同。. 建立主配置文件 named.conf在从域名服务器中，named.conf 文件的内容与主服务器的内容大部分相同，只
38、是不需要再设置“allow-transfer ”，更关键的一点是， zone 部分的区域类型应设置为“slave” ，并添加“masters ;”语句来指定主域名服务器的地址。rootlocalhost # cd /var/named/chroot/etc/rootlocalhost etc# vim named.confoptions directory “/var/named“;zone ““ IN /正向““区域type slave; /类型为从区域masters 173.16.16.5; ; /指定主服务器的 IP 地址file “slave/.zone“; /下载的区域文件保存到 s
39、lave/benet. com. zone;zone “16.16.173.in-addr.arpa“ IN /反向“173.16.16.0/24“区域type slave;masters 173.16.16.5; ;file “ slave/173.16.16.arpa“;由于从服务器的区域数据文件是从主服务器中下载而来，因此该文件保存的名称可以自行定义，不用非得与主服务器中的一致。但需要注意的是，named 服务默认以名为“named”的用户身份运行，因此要确认 named 用户对存放目录有写入权限。rootlocalhost etc# ls -ld /var/named/slaves/d
40、rwxrwx- 2 named named 4096 8 月 14 2013 /var/named/slaves/. 启动 named 服务，查看区域数据文件是否下载成功在从域名服务器中启动 named 服务，若配置无误，则 named 将会从主域名服务器中自动下载指定的区域数据文件，并保存到“slaves/”目录下。另外，通过系统日志文件/var/log/messages 也可以观察到下载区域数据文件的过程。rootlocalhost named# service named reload启动 named: 确定rootlocalhost etc# ls -lh /var/named/sla
41、ves/总计 8.0K-rw-r-r- 2 named named 4096 8 月 14 2013 16.16.173.in-addr.arpa-rw-r-r- 2 named named 4096 8 月 14 2013 16.16.173.in-addr.arpa. 验证从域名服务器对于客户端来说，从域名服务器与主域名服务器并没有什么区别，通过主服务器能够查询到的信息，通过从服务器也同样能够查询到。验证从域名服务器时，只需要将客户端的首选 DNS 服务器地址设为 173.16.16.6（从域名服务器的 IP 地址） ，使用 nslookup 命令进行正常测试即可。例如，以下操作是使用 Linux 客户机的测试结果。rootlocalhost etc# nslookup Server: 173.16.16.6Address: 173.16.16.6#53Name : Study.benet. comAddress: 173.16.16.3rootlocalhost etc# nslookup 173.16.16.2Server: 173.16.16.6Address: 173.16.16.6#532.16.16.173.in-addr.arpa name = .
