DNS快速入门、正反向解析……

DNS服务原理详解

因特网上作为域名和IP地址相互映射的一个分布式数据库,能够使用户更方便的访问互联网,而不用去记住能够被机器直接读取的IP数串。通过主机名,最终得到该主机名对应的IP地址的过程叫做域名解析。

我们在访问一个网站的时候,只要输入该网站的网址就会跳转到该网站页面,而实现这一过程就需要DNS服务器将域名解析为IP地址,进而实现数据通信。

DNS:Domain Name Service 域名解析服务

监听端口:

udp/53,tcp/53

应用程序:

BIND:Bekerley Internat Name Domain 国际域名

DNS域名

根域

一级域名:Top Level Domain: com, edu, mil, gov, net, org, int,arpa

组织域:.com, .org, .net, .mil, .edu, .gov, .info, .cc, .me, .tv

国家域:.cn, .us, .uk, .jp, .tw, .hk, .iq, .ir

反向域:.in-addr.arpa

最多127 级域名

ICANN(The Internet Corporation for Assigned Names and Numbers)互联网名称与数字地址分配机构,负责在全球范围内对互联网通用顶级域名(gTLD )以及国家和地区顶级域名(ccTLD)系统的管理、以及根服务器系统的管理。

DNS树状结构图

DNS查询类型:

递归查询

DNS请求被服务器接受后,如果属于此服务器管辖范围则请求上级服务器依次传递请求,并且依次传递结果给发出请求的主机。

迭代查询

DNS请求被服务器接受后,如果不是自己管辖范围,让客户端访问根域服务器,然后跟域通知客户端去访问下级服务器,直到最后客户端访问管辖请求域名的服务器为止。

名称服务器:域内负责解析本域内的名称的主机

根服务器:13组服务器

解析类型:

正向解析:FQDN(完全域名) –> IP

反向解析:IP –> FQDN(完全域名)

FQDN:(Fully Qualified Domain Name)完全限定域名

注意:正反向解析是两个不同的名称空间,是两棵不同的解析树,因此,也不是同一个解析库

DNS服务器类型:

DNS 服务器的类型:

主DNS 服务器

从DNS 服务器

缓存DNS 服务器(转发器)

DNS 服务器:管理和维护所负责解析的域内解析库的服务器;读写均可进行

DNS 服务器:从主服务器或从服务器“复制”(区域传输)解析库副本;只能进行读操作

序列号:解析库版本号,主服务器解析库变化时,其序列递增

刷新时间间隔:从服务器从主服务器请求同步解析的时间间隔

重试时间间隔:从服务器请求同步失败时,再次尝试时间间隔

过期时长:从服务器联系不到主服务器时,多久后停止服务

否定答案的缓存时长

“通知”机制:主服务器解析库发生变化时,会主动通知从服务器

区域传输:

完全传输:传送整个解析库

增量传输:传递解析库变化的那部分内容

Domain: Fully Qualified Domain Name

正向:FQDN –> IP

反向:IP –> FQDN

负责本地域名的正向和反向解析库

正向区域

反向区域

DNS解析:

一次完整的查询请求经过的流程:Client(客户端) –>hosts文件–>DNS Service Local Cache(自己的本地缓存)–> DNS Server (recursion递归) –> Server Cache(缓存) –>iteration(迭代) –>根–>顶级域名DNS–>二级域名DNS…

解析答案:

肯定答案:

否定答案:请求的条目不存在等原因导致无法返回结果

权威答案:由直接负责的DNS服务器返回的答案

非权威答案:

例如,DNS客户机查询URL地址www.fastweb.com.cn流程图

区域解析库:

由众多RR组成:(Resource Record资源记录)

SOA:Start Of Authority(起始授权记录)

一个区域解析库有且仅能有一个SOA记录,必须位于解析库的第一条记录

A:internet Address(地址记录) FQDN –> IP

AAAA: FQDN –> IPv6

PTR: PoinTeR(域名服务记录) IP –> FQDN

一个区域解析库可以有多个NS记录

NS: Name Server(专用于标明当前区域的DNS服务器)

CNAME:Canonical Name (别名记录)

MX: Mail eXchanger(邮件交换器)

优先级:0-99,数字越小优先级越高

资源记录定义的格式:

语法:name [TTL] IN rr_type value

注意:

(1) TTL可从全局继承

(2) @可用于引用当前区域的名字

(3)同一个名字可以通过多条记录定义多个不同的值;此时DNS 服务器会以轮询方式响应

(4)同一个值也可能有多个不同的定义名字;通过多个不同的名字指向同一个值进行定义;此仅表示通过多个不同的名字可以找到同一个主机

SOA记录

name:当前区域的名字,例如“rookie.com.”

value:有多部分组成

(1)当前区域的主DNS服务器的FQDN,也可以使用当前区域的名字

(2)当前区域管理员的邮箱地址;但地址中不能使用@ 符号,一般用. 替换,例如linux.rookie.com

(3)主从服务区域传输相关定义以及否定的答案的统一的TTL

例如:

rookie.com. 86400 IN SOA rookie.com. admin.rookie.com. (

2017052201 ; 序列号serial

2H; 刷新时间refresh

10M ; 重试时间retry

1W ; 过期时间expire

1D ; 否定答案的TTL值negative answer ttl

)

NS记录:

name: 当前区域的名字

value: 当前区域的某DNS 服务器的名字,例如 ns.rookie.com.

注意:一个区域可以有多个NS 记录

例如:

rookie.com. IN NS ns1.rookie.com.

rookie.com. IN NS ns2.rookie.com.

注意:

(1)相邻的两个资源记录的name相同时,后续的可省略

(2)对NS记录而言,任何一个ns记录后面的服务器名字,都应该在后续有一个A记录

MX记录:

name:当前区域的名字

value:当前区域的某邮件服务器(smtp 服务器)的主机名

一个区域内,MX 记录可有多个;但每个记录的value之前应该有一个数字(0-99),表示此服务器的优先级;数字越小优先级越高

例如:

rookie.com. IN MX 10(优先级) mx1.rookie.com.

rookie.com. IN MX 20(优先级) mx2.rookie.com.

注意:

(1)对MX记录而言,任何一个MX记录后面的服务器名字,都应该在后续有一个A记录

A记录:

name:某主机的FQDN 例如www.rookie.com.

value:主机名对应主机的IP地址

例如:

避免用户写错名称时给错误答案,可通过泛域名解析进行解析至某特定地址

AAAA记录:

name: FQDN

value: IPv6

PTR记录:

name: IP地址,有特定格式,把IP 地址反过来写,1.2.3.4 ,要写作4.3.2.1 ;并且要加特定后缀:in-addr.arpa. ,所以完整写法为:4.3.2.1.in-addr.arpa.

value: FQDN

例如:

4.3.2.1.in-addr.arpa. IN PTR www.rookie.com.

1.2.3为网络地址 ,可简写成:

4 IN PTR www.rookie.com.

注意:网络地址及后缀可省略;主机地址依然需要反着写

CNAME:

name:FQDN格式的别名

value:FQDN格式的正式名字

例如:

web.rookie.com. IN CNAME www.rookie.com.

子域:

子域,是相对父域来说的,指域名中的每一个段。各子域之间用小数点分隔开。放在域名最后的子域称为最高级子域,或称为一级域,在它前面的子域称为二级域。

子域授权:每个域的名称服务器,都是通过其上级名称服务器在解析库进行授权

类似根域授权tld:

.com. IN NS ns1.com.

.com. IN NS ns2.com.

ns1.com. IN A 2.2.2.1

ns2.com. IN A 2.2.2.2

rookie.com. 在.com 的名称服务器上,解析库中添加资源记录

rookie.com. IN NS ns1.rookie.com.

rookie.com. IN NS ns2.rookie.com.

rookie.com. IN NS ns3.rookie.com.

ns1.rookie.com. IN A 3.3.3.1

ns2.rookie.com. IN A 3.3.3.2

ns3.rookie.com. IN A 3.3.3.3

glue record:粘合记录,父域授权子域的记录

BIND安装:

DNS协议—>BIND

程序环境:
主程序:/usr/sbin/named
Unit File:/usr/lib/systemd/system/named.service
配置文件:/etc/named.conf
区域解析库文件:/var/named
关闭dnssec功能:
vim /etc/named.conf
dnssec-enable no;
dnssec-validation no;
解析一个区域:
定义:/etc/named.rfc1912.conf
zone “ilinux.io” IN {
type master;
file “ZONE_FILE”;
};
例:vim /etc/named.rfc1912.conf
zone “rookie.com” IN {
type master;
file “rookie.com.zone”;
};

定义解析库文件示例:
$TTL 600 #全局定义 缓存十分钟
ilinux.com. IN SOA ilinux.com. nsadmin.ilinux.com. (
2017052301
1H
5M
1W
6H )
IN NS dns1.ilinux.com.
IN NS dns2.ilinux.com.
dns1.ilinux.com. IN A 172.16.0.67
dns2.ilinux.com. IN A 172.16.0.68
www.ilinux.com.IN A 172.16.0.1
web IN CNAME www

 

BIND 的安装配置:

BIND:Berkeley Internet Name Domain

dns: 协议
BIND: dns协议的一种实现
named:bind程序的运行的进程名

dns服务程序包:bind unbound

程序名:named unbound

程序包:yum list all bind*

bind:提供的dns server程序、以及几个常用的测试程序

bind-libs:被bind和bind-utils包中的程序共同用到的库文件

bind-utils:bind客户端程序集,例如dig, host, nslookup等

bind-chroot:选装,让named运行于jail模式下

/var/named/chroot/

bind服务器:

服务脚本和名称:/etc/rc.d/init.d/named

/usr/lib/systemd/system/named.service

主配置文件:/etc/named.conf

/etc/named.iscdlv.key

/etc/named.rfc1912.zones

/etc/named.root.key

yum install -y bind后可见

解析库文件:/var/named/ ZONE_NAME.ZONE

注意:

(1)一台DNS服务器可同时为多个区域提供解析

(2)必须要有根区域解析库文件;named.ca

(3)应该有两个区域解析库文件(如果包括ipv6的,应该更多)实现localhost和127.0.0.1的正反向解析库

正向:named.localhost
反向:named.loopback

rndc: remote name domain controller (远程域名控制器)

提供辅助性的管理功能 953/tcp 但默认监听于127.0.0.1地址,因此仅允许本地使用

bind程序安装完成之后,默认即可做缓存名称服务器使用,如果没有专门负责解析的区域,直接即可启动服务

CentOS 6: service named start

CentOS 7: systemctl start named.service

主配置文件格式:

全局配置段:

options { … }

日志子系统配置段:

logging { … }

区域定义段:

zone “ZONE_NAME” IN { … }

区域定义:本机能够为哪些zone进行解析,就要定义哪些zone

注意:

每个配置语句必须以分号结尾

任何服务程序如果期望其能够通过网络被其它主机访问,至少应该监听在一个能与外部主机通信的IP

缓存名称服务器的配置:

监听能与外部主机通信的地址

listen-on port 53

listen-on port 53 { 172.16.252.245; }

dnssec: 建议关闭dnssec,设为no(自己做实验时建议关闭)

dnssec-enable no

dnssec-validation no

dnssec-lookaside no

关闭仅允许本地查询:

//allow-query { localhost; }

检查配置文件语法错误:
named-checkconf /etc/named.conf
检查区域配置文件错误:

named-checkzone “rookie.com” /var/named/rookie.com.zone

例:[root@localhost ~]#vim /etc/named.conf

测试命令dig:

dig [-t type] name [@SERVER] [query options]

dig 只用于测试dns 系统,不会查询hosts 文件进行解析

查询选项:

+[no]trace程:跟踪解析过程 : dig +trace rookie.com

+[no]recurse:进行递归解析

 

测试反向解析:

dig -x IP = dig -t ptr reverseip.in-addr.arpa

模拟区域传送:

dig -t axfr ZONE_NAME @SERVER

dig -t axfr rookie.com @10.10.10.11

dig -t axfr 100.1.10.in-addr.arpa @172.16.1.1

dig -t NS . @114.114.114.114

dig -t NS . @a.root-servers.net

测试命令host:

host [-t type] name [SERVER]

host -t NS rookie.com 172.16.0.1

host -t soa rookie.com

host -t mx rookie.com

host -t axfr rookie.com

host 1.2.3.4

nslookup命令:nslookup [-option] [name | -] [server]

交互式模式:

nslookup>

server IP:指明使用哪个DNS server进行查询

set q=RR_TYPE:指明查询的资源记录类型

name:要查询的名称

命令rndc:

rndc:remote name domain contoller(远程域名控制器)
953/tcp,但默认监听于127.0.0.1地址,因此仅允许本地使用

rndc –> rndc (953/tcp)

rndc COMMAND

命令:

reload:重载主配置文件和区域解析库文件

reload zonename:重载区域解析库文件

retransfer zonename:手动启动区域传送,而不管序列号是否增加

notify zonename:重新对区域传送发通知

reconfig:重载主配置文件

querylog:开启或关闭查询日志文件/var/log/message

trace:递增debug 一个级别

trace LEVEL:指定使用的级别

notrace:为将调试级别设置为 0

flush:清空DNS

配置主DNS 服务器:

(1)在主配置文件中定义区域

(2)定义区域解析库文件

出现的内容

宏定义

资源记录

主配置文件语法检查:

named-checkconf

解析库文件语法检查:

注意:实验配置前需要特别注意三点

关闭防火墙

关闭SElinux

时间必须同步

配置解析一个正向区域:

配置解析一个反向区域

主从服务器:

注意:从服务器是区域级别的概念;

主区域配置:可以参照上面的正向区域配置和反向区域配置

从区域配置:

On Slave

On Master

(1) 确保区域数据文件中为每个从服务配置NS记录,并且在正向区域文件需要每个从服务器的NS记录的主机名配置一个A记录,且此A后面的地址为真正的从服务器的IP地

注意:时间要同步

ntpdate命令

子域授权:

正向解析区域授权子域的方法:

定义转发:

注意:被转发的服务器必须允许为当前服务做递归;

(1) 区域转发:仅转发对某特定区域的解析请求;

first:首先转发;转发器不响应时,自行去迭代查询;

only:只转发

(2) 全局转发:针对凡本地没有通过zone定义的区域查询请求,通通转给某转发器;

转发服务器

注意:被转发的服务器需要能够为请求者做递归,否则转发请求不予进行

first:首先转发;转发器不响应时,自行去迭代查询

only:只转发

bind中的安全相关的配置:

acl:访问控制列表;把一个或多个地址归并一个命名的集合,随后通过此名称即可对此集合内的所有主机实现统一调用

格式:

bind有四个内置的acl:

none:没有一个主机

any:任意主机

localhost:本机

localnet:本机的IP同掩码运算后得到的网络地址

注意:只能先定义,后使用,因此一般定在配置文件中,处于options

访问控制的指令:

allow-query {};允许查询的主机;白名单

allow-transfer {};允许向哪些主机做区域传送;默认为向所有主机;应该配置仅允许从服务器

allow-recursion {}; 允许哪此主机向当前DNS服务器发起递归查询请求

allow-update {}; DDNS,允许动态更新区域数据库文件中内容

bind view:

view:视图,一个bind 服务器可定义多个view ,每个view中可定义一个或多个zone

每个view 用来匹配一组客户端

多个view 内可能需要对同一个区域进行解析,但使用不同的区域解析库文件

 

原创文章,作者:Linux.rookie,如若转载,请注明出处:/77393

联系我们

400-080-6560

在线咨询:点击这里给我发消息

邮件:1823388528@qq.com

工作时间:周一至周五,9:30-18:30,节假日同时也值班

友情链接:万达娱乐直属QQ  万达娱乐  万达招商  万达娱乐主管QQ  万达招商  万达开户  万达娱乐招商QQ  万达直属QQ  万达娱乐开户  guoqibee.com