Linux系統(tǒng)管理基礎(chǔ)項目教程課件

第13章

DNS服務(wù)配置與管理知識要點13.1項目描述13.2知識準(zhǔn)備13.2.1DNS服務(wù)簡介13.2.2DNS服務(wù)解析流程13.2.3DNS資源記錄類型13.3項目實施13.3.1安裝DNS軟件13.3.2主域名服務(wù)器配置13.3.3從域名服務(wù)器配置13.3.4反向域名解析配置13.3.5DNS查詢和驗證13.4項目實訓(xùn)目錄13.1項目描述小明所在公司部署了大量的業(yè)務(wù)系統(tǒng)，各部門員工只能通過IP地址訪問各系統(tǒng)，不同的IP地址很容易混淆，并且不方便記憶。IT部門需要對現(xiàn)有系統(tǒng)進行改造，小明作為數(shù)據(jù)中心系統(tǒng)工程師，需要部署DNS服務(wù)器，提供將域名轉(zhuǎn)換成IP地址的功能，各部門員工可以通過域名訪問企業(yè)內(nèi)部管理系統(tǒng)、OA系統(tǒng)、人事系統(tǒng)、財務(wù)系統(tǒng)和郵件系統(tǒng)等；同時部署從域名服務(wù)器，實現(xiàn)域名解析的數(shù)據(jù)備份和負(fù)載均衡。本項目主要介紹DNS服務(wù)的實施和管理方法，主域名服務(wù)器和從域名服務(wù)器參數(shù)設(shè)定方法，并通過DNS工具查詢和驗證域名解析服務(wù)使用情況。13.2知識準(zhǔn)備13.2.1DNS服務(wù)簡介域名系統(tǒng)（DomainNameSystem，DNS）是互聯(lián)網(wǎng)的一項服務(wù)。它作為一個將域名和IP地址相互映射的分布式數(shù)據(jù)庫，能夠使人更方便地訪問互聯(lián)網(wǎng)。我們可以把域名系統(tǒng)想象成一個巨大的地址簿，在訪問互聯(lián)網(wǎng)網(wǎng)站的時候，我們一般記得住網(wǎng)站的名稱，但是很難記住網(wǎng)站的IP地址，因此需要這個地址簿，即DNS服務(wù)。圖

DNS樹狀層次結(jié)構(gòu)13.2知識準(zhǔn)備13.2.1DNS服務(wù)簡介DNS由各式各樣的DNS軟件驅(qū)動，提供DNS服務(wù)的軟件有很多，常見的DNS軟件有Dnsmasq和BIND。Dnsmasq是一個開源的輕量級DNS轉(zhuǎn)發(fā)和DHCP、TFTP服務(wù)器，使用C語言編寫。Dnsmasq針對家庭局域網(wǎng)等小型局域網(wǎng)設(shè)計，資源占用低，易于配置，支持的平臺包括Linux、BSD、IP-Cop、Androidopenwrt路由器系統(tǒng)等。BerkeleyInternetNameDomainService（BIND）是20世紀(jì)80年代由加州大學(xué)伯克利分校計算機系統(tǒng)研究小組編寫開發(fā)的，目前由互聯(lián)網(wǎng)系統(tǒng)協(xié)會（InternetSystemsConsortium，ISC）負(fù)責(zé)開發(fā)與維護。它是一款實現(xiàn)DNS服務(wù)器的開放源碼軟件。它已經(jīng)成為世界上使用極為廣泛的DNS服務(wù)器軟件，目前互聯(lián)網(wǎng)上半數(shù)以上的DNS服務(wù)器都是用BIND來架設(shè)的，它已經(jīng)成為DNS事實上的標(biāo)準(zhǔn)。13.2知識準(zhǔn)備13.2.2DNS服務(wù)解析流程DNS服務(wù)器解析的工作過程?？蛻舳税l(fā)出一個DNS請求。本地DNS服務(wù)器收到來自客戶端的請求，在服務(wù)器上緩存了一張域名與對應(yīng)IP地址的大表格。根域名服務(wù)器作為最高層次的域名服務(wù)器，不直接用于域名解析。

本地DNS服務(wù)器轉(zhuǎn)向詢問頂級域名服務(wù)器，請求查詢的IP地址。本地DNS服務(wù)器轉(zhuǎn)向詢問權(quán)威域名服務(wù)器，請求查詢的IP地址，權(quán)威域名服務(wù)器查詢后，將對應(yīng)的IP地址告訴本地DNS服務(wù)器。本地DNS服務(wù)器再將IP地址返回客戶端，客戶端和目標(biāo)地址建立連接。圖

DNS解析過程13.2知識準(zhǔn)備13.2.2DNS服務(wù)解析流程DNS解析服務(wù)是用于解析域名與IP地址對應(yīng)關(guān)系的服務(wù)，功能上可以實現(xiàn)正向解析與反向解析。正向解析：根據(jù)主機名（域名）查找對應(yīng)的IP地址。反向解析：根據(jù)IP地址查找對應(yīng)的主機名（域名）。DNS查詢時還會分為遞歸查詢與迭代查詢，DNS服務(wù)器類型和作用如表所示。遞歸查詢（IterativeQuery）：用于客戶機向DNS服務(wù)器查詢。迭代查詢（RecursiveQuery）：用于DNS服務(wù)器向其他DNS服務(wù)器查詢。DNS服務(wù)器類型作用根DNS服務(wù)器返回頂級域DNS服務(wù)器的IP地址頂級域DNS服務(wù)器返回權(quán)威DNS服務(wù)器的IP地址權(quán)威DNS服務(wù)器返回相應(yīng)主機的IP地址表DNS服務(wù)器類型和作用13.2知識準(zhǔn)備13.2.3DNS資源記錄類型域名與IP之間的對應(yīng)關(guān)系稱為“記錄”（record）。DNS資源記錄（ResourceRecords，RR）是DNS區(qū)域中的條目，用于指定有關(guān)該區(qū)域中某個特定名稱或?qū)ο蟮男畔?，根?jù)使用場景，“記錄”可以分成不同的類型（type），一個資源記錄包含type、TTL、class和data等字段，并且按以下格式組織，資源記錄字段及作用如表13-2所示。owner-name

TTLclasstypedata.

300IN

A0字段名作用owner-name該資源記錄的名稱TTL資源記錄的生存時間（秒），指定DNS解析器應(yīng)緩存此記錄的時間長度class記錄的“類”，IN表示Internettype此記錄存儲的信息的排序。例如，A記錄將主機名映射到IPv4地址data此記錄存儲的數(shù)據(jù)。確切格式根據(jù)記錄類型的不同而不同表

資源記錄字段及作用13.2知識準(zhǔn)備13.2.3DNS資源記錄類型字段名作用A（IPv4地址）記錄A記錄將主機名映射到IPv4地址AAAA（IPv6地址）記錄AAAA記錄（四A記錄）將主機名映射到IPv6地址CNAME（規(guī)范名稱）記錄CNAME記錄將一個記錄別名化為另一個記錄（規(guī)范名稱），其中應(yīng)具有A或AAAA記錄。當(dāng)DNS解析器收到CNAME記錄作為查詢的響應(yīng)時，DNS解析器將使用規(guī)范名稱（而非原始名稱）重新發(fā)出查詢PTR（指針）記錄PTR記錄將IPv4或IPv6地址映射到主機名。它們用于DNS反向解析MX記錄MX記錄將域名映射到郵件交換，后者將接收該名稱的電子郵件NS（名稱服務(wù)器）記錄NS記錄將域名映射到DNS名稱服務(wù)器，用于標(biāo)識區(qū)域的DNS服務(wù)器，表明負(fù)責(zé)此DNS區(qū)域的權(quán)威名稱服務(wù)器，即用哪一臺DNS服務(wù)器來解析該區(qū)域。一個區(qū)域可能有多條NS記錄，例如可能有一個主服務(wù)器和多個從服務(wù)器。區(qū)域的每個公開權(quán)威名稱服務(wù)器必須具有NS記錄TXT（文本）記錄TXT記錄用于將名稱映射到任何人可讀的文本，通常用于提供由發(fā)送方策略框架（SPF）、域密鑰識別郵件（DKIM）、基于域的消息身份驗證、報告和一致性（DMARC）等使用的數(shù)據(jù)SOA（授權(quán)起始）記錄SOA記錄提供了有關(guān)DNS區(qū)域工作方式的信息。用于一個區(qū)域的開始，SOA記錄后的所有信息均是用于控制這個區(qū)域的。每個區(qū)域數(shù)據(jù)庫文件都必須包括一個SOA記錄，并且必須是其中的第一個資源記錄，用以標(biāo)識DNS服務(wù)器管理的起始位置，SOA說明能解析這個區(qū)域的DNS服務(wù)器中哪個是主服務(wù)器表

DNS重要的資源記錄類型及作用13.2知識準(zhǔn)備13.2.3DNS資源記錄類型字段名作用Masternameserver名稱服務(wù)器的主機名，該名稱服務(wù)器是域信息的原始來源，并且可能會接受動態(tài)DNS更新（如果區(qū)域支持）RNAMEDNS區(qū)域負(fù)責(zé)人的電子郵件地址（hostmaster）。電子郵件地址中的@將替換為RNAME中的.。例如，電子郵件地址hostmaster@寫為hostmaster.Serialnumber區(qū)域的版本號，隨著對區(qū)域記錄的任何更改而增加Refresh從服務(wù)器應(yīng)檢查區(qū)域更新的頻率（以秒為單位）Retry從服務(wù)器在重試失敗的刷新之前等待的時間（秒）Expiry如果刷新失敗，從服務(wù)器在停止使用其舊的區(qū)域副本響應(yīng)查詢之前應(yīng)等待的時間（秒）表SOA記錄數(shù)據(jù)元素13.3項目實施13.3.1安裝DNS軟件安裝DNS服務(wù)組件。DNS組件包含多個軟件包，主要的軟件包有bind、bind-chroot、bind-utils。[root@server～]#yum-yinstallbindbind-chrootbind-utils啟動并啟用DNS服務(wù)。安裝DNS組件后，由bind軟件包提供DNS服務(wù)，DNS服務(wù)名為named。[root@server～]#systemctlstartnamed[root@server～]#systemctlenablenamed設(shè)置防火墻規(guī)則。將DNS服務(wù)添加到防火墻規(guī)則中，允許DNS提供域名解析服務(wù)。[root@server～]#firewall-cmd--permanent–add-service=dns[root@server～]#firewall-cmd--reload13.3項目實施13.3.2主域名服務(wù)器配置bind服務(wù)程序配置文件主要分為主配置文件和區(qū)域配置文件。主配置文件包括很多使用花括號括起來的定義語句，在定義語句中可以設(shè)置多個參數(shù)，主配置文件的核心功能就是定義域，以及定義區(qū)域配置文件的位置。區(qū)域配置文件存儲具體的域名與IP之間的解析記錄，DNS通過讀取配置文件來應(yīng)答客戶端的查詢請求。bind服務(wù)程序配置文件及作用如表13-5所示。表bind服務(wù)程序配置文件及作用文件作用區(qū)域配置文件（/etc/named.rfc1912.zones）用來保存域名和IP地址對應(yīng)關(guān)系所在位置的文件，類似于書籍的目錄，對應(yīng)著每個域和IP地址段具體所在的位置，當(dāng)需要查看或修改的時候根據(jù)里面的位置找到相關(guān)文件即可數(shù)據(jù)配置文件目錄（/var/named）用來保存域名和IP地址真實對應(yīng)關(guān)系的目錄，我們將需要為用戶解析的域、IP地址段關(guān)系文件放置在該目錄下即可主配置文件（/etc/named.conf）用于定義bind服務(wù)程序的運行參數(shù)主程序文件（/usr/sbin/named）bind組件的安裝位置13.3項目實施編輯主配置文件在主配置文件中，修改DNS服務(wù)監(jiān)聽參數(shù)和地址解析參數(shù)。[root@rhce～]#vim/etc/named.confoptions{#將下行中的修改為any，代表允許監(jiān)聽任何IP地址11listen-onport53{;};--->listen-onport53{any;};12listen-on-v6port53{::1;};directory"/var/named";dump-file"/var/named/data/cache_dump.db";#將下行中的localhost修改為any，代表允許任何主機查詢17allow-query{localhost;};--->allow-query{any;};#此文件內(nèi)定義了全球13個根DNS服務(wù)器的IP地址zone"."IN{typehint;file"named.ca";};[root@servernamed]#pwd/var/named[root@servernamed]#lschrootdynamicnamed.emptynamed.loopbackdatanamed.canamed.localhostslaves13.3項目實施編輯區(qū)域配置文件為了避免經(jīng)常修改主配置文件named.conf而導(dǎo)致DNS服務(wù)出錯，可以將規(guī)則的區(qū)域信息保存在/etc/named.rfc1912.zones文件中。服務(wù)類型包括3種：hint（根區(qū)域）、master（主區(qū)域）、slave（輔助區(qū)域）[root@server～]#cd/var/named/[root@servernamed]#ls-alnamed.localhost-rw-r-----.1rootnamed152Jun212007named.localhost[root@servernamed]#cp-anamed.localhost

.zone[root@servernamed]#ll/var/named/.zone-rw-r-----.1rootnamed269Aug1206:40/var/named/.zone[root@servernamed]#vim/var/named/.zone$TTL1D@INSOA..(0;serial1D;refresh1H;retry1W;expire3H);minimumNS.nsINAINMX10.mailINAwwwINAbbsINA13.3項目實施重啟DNS服務(wù)重啟DNS服務(wù)守護進程named，使配置參數(shù)立即生效。[root@servernamed]#systemctlrestartnamed添加防火墻規(guī)則。DNS默認(rèn)的協(xié)議是TCP與UDP，DNS服務(wù)啟動以后會占用53端口號。因此需要添加防火墻規(guī)則，以允許DNS服務(wù)使用53端口。[root@servernamed]#firewall-cmd--permanent--add-service=dns[root@servernamed]#firewall-cmd--permanent--add-port=53/tcp[root@servernamed]#firewall-cmd--permanent--add-port=53/udp[root@servernamed]#fireall-cmd--reload13.3項目實施13.3.3從域名服務(wù)器配置部署從域名服務(wù)器的目的是防止出現(xiàn)單點故障，實現(xiàn)主/從服務(wù)器的負(fù)載均衡。修改主服務(wù)器配置文件，設(shè)置主/從服務(wù)器配置參數(shù)。[root@server～]#vi/etc/named.confoptions{listen-onport53{any;};listen-on-v6{any;};directory"/var/named";dump-file"/var/named/data/cache_dump.db";statistics-file"/var/named/data/named_stats.txt";memstatistics-file"/var/named/data/named_mem_stats.txt";secroots-file"/var/named/data/named.secroots";recursing-file"/var/named/data/named.recursing";allow-query{localhost;internal-network;};#addsecondaryservertoallowtotransferzonefilesallow-transfer{localhost;5;};13.3項目實施編輯主服務(wù)器區(qū)域配置文件。[root@server～]#vi/var/named/.wan$TTL86400@INSOA..(#updateserialifupdatezonefile2019100303;Serial3600;Refresh1800;Retry604800;Expire86400;MinimumTTL)INNS.#addsecondaryserverINNScation.INA2INMX10.dlpINA2wwwINA3重啟主服務(wù)器DNS服務(wù)，使配置參數(shù)立即生效。[root@server～]#systemctlrestartnamed修改從服務(wù)器配置文件，設(shè)置從服務(wù)器DNS解析參數(shù)。[root@secondary～]#vi/etc/named.conf#addtargetzoneinfo#forIPaddress,it'stheMasterserver'sIPaddresszone""IN{typeslave;masters{2;};file"slaves/.wan";notifyno;

};重啟從服務(wù)器DNS服務(wù)，使配置參數(shù)立即生效。[root@secondary～]#systemctlrestartnamed查看從服務(wù)器同步數(shù)據(jù)文件，驗證主/從服務(wù)器數(shù)據(jù)是否同步。[root@secondary～]#ls/var/named/slaves.wan#zonefiletransfered13.3項目實施13.3.4反向域名解析配置在計算機網(wǎng)絡(luò)中，反向DNS查詢是指查詢域名系統(tǒng)來確定IP地址關(guān)聯(lián)的域名的技術(shù)。反向解析的作用是將用戶提交的IP地址解析為對應(yīng)的域名信息，反向DNS查詢的過程使用PTR記錄，互聯(lián)網(wǎng)的反向DNS數(shù)據(jù)庫植根于.arpa頂級域名。反向解析一般用于對某個IP地址上綁定的所有域名進行整體屏蔽，屏蔽由某些域名發(fā)送的垃圾郵件。反向解析參數(shù)如圖所示。編輯區(qū)域配置文件，設(shè)置反向解析參數(shù)。[root@server～]#vim/etc/named.rfc1912.zoneszone""IN{typemaster;file".zone";allow-update{none;};};zone"10.168.192."IN{typemaster;file"192.168.10.arpa";};13.3項目實施編輯數(shù)據(jù)配置文件，設(shè)置反向解析參數(shù)。從/var/named目錄下復(fù)制一份反向解析的模板文件（named.loopback），修改該反向解析配置文件，其中IP地址僅需要寫主機位。[root@server～]#cp-anamed.loopback192.168.10.arpa[root@server～]#vim192.168.10.arpa$TTL1D @

INSOA

.

.

(0;serial1D;refresh1H;retry1W;expire3H);minimumNS . ns A 0 10 PTR .

#PTR為指針記錄，僅用于反向解析中。10 PTR . 10 PTR . 20 PTR .重啟DNS服務(wù)，使配置參數(shù)立即生效。[root@server～]#systemctlrestartnamed13.3項目實施13.3.5DNS查詢和驗證在Linux系統(tǒng)中編輯/etc/resolv.conf文件，設(shè)置DNS服務(wù)器地址參數(shù)。[root@client～]#vi/etc/resolv.confnameserver54nameserver54search[root@server～]#dig+trace;;Invalidoption;<<>>DiG9.9.4-RedHat-9.9.4-29.el7<<>>+trace;;globaloptions:+cmd;;Gotanswer:;;->>HEADER<<-opcode:QUERY,status:NXDOMAIN,id:9325;;flags:qraardra;QUERY:1,ANSWER:0,AUTHORITY:1,ADDITIONAL:1;;OPTPSEUDOSECTION:;EDNS:version:0,flags:;udp:4096使用dig命令查詢DNS解析。dig命令+trace參數(shù)用于顯示DNS的整個分級查詢過程，查詢到的信息字段內(nèi)容如表13-6所示。;;QUESTIONSECTION:;trace.IN

A;;AUTHORITYSECTION:.1800

IN

SOA ..2021032800180090060480086400;;Querytime:1msec;;SERVER:8#53(8);;WHEN:一3月2900:21:29CST2021;;MSGSIZErcvd:109;;Gotanswer:13.3項目實施;;->>HEADER<<-opcode:QUERY,status:NOERROR,id:19089;;flags:qrrdra;QUERY:1,ANSWER:3,AUTHORITY:5,ADDITIONAL:5;;QUESTIONSECTION:;. IN A;;ANSWERSECTION:. 900 IN CNAME .. 900 IN A 8. 900 IN A 9;;AUTHORITYSECTION:. 929 IN NS .. 929 IN NS .. 929 IN NS .. 929 IN NS .. 929 IN NS .;;ADDITIONALSECTION:. 499 IN A 2. 929 IN A 53. 48 IN A 29. 48 IN A 5. 238 IN A 2;;Querytime:3msec;;SERVER:8#53(8);;WHEN:一3月2900:21:29CST2021;;MSGSIZErcvd:26013.3項目實施字段內(nèi)容第一段列出根域名的所有NS記錄，即所有根域名服務(wù)器。根據(jù)內(nèi)置的根域名服務(wù)器IP地址，DNS服務(wù)器向所有這些IP地址發(fā)出查詢請求，詢問的頂級域名服務(wù)器.com的NS記錄。最先回復(fù)的根域名服務(wù)器將被緩存，以后只向這臺服務(wù)器發(fā)出請求第二段結(jié)果顯示.com域名的13條NS記錄，同時返回的還有每一條記錄對應(yīng)的IP地址第三段DNS服務(wù)器向這些頂級域名服務(wù)器發(fā)出查詢請求，詢問的次級域名的NS記錄。結(jié)果顯示有5條NS記錄，同時返回的還有每一條NS記錄對應(yīng)的IP地址第四段DNS服務(wù)器向上面這5個NS服務(wù)器查詢的主機名。結(jié)果顯示，有5條A記錄，即這5個IP地址都可以訪問到網(wǎng)站。結(jié)果還顯示，最先返回結(jié)果的NS服務(wù)器是，IP地址為20表查詢到的信息字段內(nèi)容13.3項目實施使用dig命令查看DNS服務(wù)解析的NS記錄。[root@ftp～]#dignscom;<<>>DiG9.9.4-RedHat-9.9.4-29.el7<<>>nscom;;globaloptions:+cmd;;Gotanswer:;;->>HEADER<<-opcode:QUERY,status:NOERROR,id:27122;;flags:qrrdra;QUERY:1,ANSWER:13,AUTHORITY:0,ADDITIONAL:1;;OPTPSEUDOSECTION:;EDNS:version:0,flags:;udp:4096;;QUESTIONSECTION:;com.INNS;;ANSWERSECTION:com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.com.161382INNS.;;Querytime:4msec;;SERVER:8#53(8);;WHEN:一8月1223:11:39CST2019;;MSGSIZErcvd:25613.3項目實施使用dig命令+short參數(shù)查詢DNS解析。[root@ftp～]#dig+shortnscom;;Invalidoption;<<>>DiG9.9.4-RedHat-9.9.4-29.el7<<>>+shortnscom;;globaloptions:+cmd;;Gotanswer:;;->>HEADER<<-opcode:QUERY,status:NXDOMAIN,id:14127;;flags:qraardra;QUERY:1,ANSWER:0,AUTHORITY:1,ADDITIONAL:1;;