一、DNS简介
1、DNS：Domain Name System（域名系统），是互联网上IP和域名相互解析的分布式层级结构的数据库。DNS的出现能够使用户更好的更加方便的访问互联网，不用记IP地址来访问互联网，可以通过人类更容易记住域名来访问互联网。
2、DNS是一种C/S架构的服务器，客户机用于一个名字对应的地址，而服务器是为客户机提供查询的，查询由两种机制：迭代查询和递归查询
迭代查询：一般是DNS服务器与DNS服务器之间的查询方式
递归查询：一般是客户机与服务器之间的查询方式
3、DNS是通过解析记录来过建成的DNS数据库，数据库中解析记录又分为正向解析和反向解析。其中正向解析是从域名到IP的过程，而反向解析是从IP到域名的过程。那么解析记录主要有哪些呢？
常见的记录：
A：就是地址（address）的缩写，后面记录的是ipv4的地址
AAAA：对应的是Iipv6的地址
NS：后面对应的是DNS服务器
SOA：就是开始验证（start of autority）的缩写
PTR：后面对应的是反向解析到的主机名
CNAME:主机别名，一个主机可以有多个主机名。
MAX：邮件服务器的地址
下面我们通过几个简单的配置来认识DNS服务
二、正向解析的配置
以zhanglang。com域为例用ns1.zhanglang.com服务器：
实验前准备：安装bind软件包
yum install bind
(1) 定义区域
在主配置文件中（/etc/named.conf）或主配置文件辅助配置文件（/etc/named.rfc1912.conf）中实现；
修改主配置文件 vim /etc/named.conf
修改/etc/named.rfc1912.conf，添加zone（在/var/named/*.zone的文件）
(2) 建立区域数据文件（主要记录为A或AAAA记录）
在/var/named目录下建立区域数据文件；
文件为：/var/named/zhanglang.com.zone
（3）权限及属组修改：
# chown ：named /var/named/zhanglang.com.zone
# chmod o= r/named/zhanglang.com.zone
（4）检查语法错误：
（5）让服务器重载配置文件和区域数据文件
# rndc reload
（6）测试
正向解析配置成功
二、配置解析一个反向区域
(1) 定义区域
在主配置文件中或主配置文件辅助配置文件中实现；
修改主配置文件 vim /etc/named.conf
修改/etc/named.rfc1912.conf，添加zone（在/var/named/*.zone的文件）
(2) 定义区域解析库文件（主要记录为PTR）vim /var/named/192.168.zone
（3）权限及属组修改：
# chgrp named /var/named/192.168.zone
# chmod o= /var/named/192.168.zone
（4）检查语法错误和重载：
# named-checkzone 168.192.in-addr.arpa /var/named/192.168.zone
# named-checkconf
# rndc reload
（5）测试
三、主从服务器：
在示例一我们以ns1.zhanglang.com做了正向解析主服务器，那么我们再以ns2.zhanglang.com作从服务器，我们直接修改ns2.zhanglang.com配置就行了。如下：
（1）修改配置文件
修改主配置文件 vim /etc/named.conf
（2）定义区域 vim /etc/named.rfc1912.conf
（3）检查语法错误和重载：
# named-checkconf
# rndc reload
（4）测试
在从服务器上解析
解析成功
四、子域
正向解析区域授权子域的方法：
父域配置
（1） 在/var/named目录下建立区域数据文件；vim /var/named/zhanglang.com.zone
（2）检查语法错误和重载：
# named-checkzone zhanglang.com /var/named/zhanglang.com.zone
# named-checkconf
# rndc reload
子域配置
（1）在子域配置
主配置文件（开启监听端口）vim /etc/named.conf
创建域vim /etc/named.rfc1912.zones
（3）创建域解析库 vim /var/named/ops.zhanglang.com.zone
（4）修改权限和组
（5）检查语法错误和重载：
# named-checkzone ops.zhanglang.com /var/named/ops.zhanglang.com.zone
# named-checkconf
# rndc reload
（6）检测
子域检查
父域检测
成功配置子域授权
五、定义转发（在子域定义转发）：
注意：被转发的服务器必须允许为当前服务做递归
在上例中的子域服务器配置转发
（1） 配置文件 /etc/named.rfc1912.zones
（2）语法检查和重载
（3） 检测
检测父域“zhanglang.com”
解析成功
六、基本安全控制
acl：访问控制列表；把一个或多个地址归并一个命名的集合，随后通过此名称即可对此集全内的所有主机实现统一调用；
bind有四个内置的acl
none：没有一个主机；
any：任意主机；
local：本机；
localnet：本机的IP所属的网络；
常见访问控制指令
allow-query {}; 允许查询的主机；白名单；
allow-transfer {}; 允许向哪些主机做区域传送；默认为向所有主机；应该配置仅允许从服务器；
allow-recursion {}; 允许哪此主机向当前DNS服务器发起递归查询请求；
allow-update {}; DDNS，允许动态更新区域数据库文件中内容；
1、allow-query 在主服务器上（ns1.zhanglang.com）
（1） 主配置文件vim /etc/named.conf 创建访问控制列表（控制为只能192.168.109.101主机能解析）
（2） 创建域vim /etc/named.rfc1912.zones
（3）与法检测和重载
（4）检测（测试时所用的命令和服务器地址一致）
192.168.109.101检测
解析成功
192.168.109.100检测
解析失败，控制设置成功
2、allow-transfer 在主服务器上（ns1.zhanglang.com）
（1） 主配置文件vim /etc/named.conf 创建访问控制列表（控制为只能192.168.109.100主机只能区域传输）
（2） 创建域vim /etc/named.rfc1912.zones
（3）与法检测和重载
（4）测试
192.168.109.101检测
传输失败
192.168.109.100测试
传送成功，控制设置成功
3、allow-recursion 在主服务器上（ns1.zhanglang.com）
（1） 主配置文件vim /etc/named.conf 创建访问控制列表（控制为只能192.168.109.101/24网段递归）
（2）与法检测和重载
（4）测试
192.168.109.101检测
成功
4、 allow-update {}; DDNS，允许动态更新区域数据库文件中内容；
一般我们是不允许动态更新区域数据库文件中内容；因为允许动态更新区域数据库文件中内容会造成安全风险；所以我们禁止动态更新
编辑配置文件：vim /etc/named.rfc1912.zones
在每个zone中加上 allow-update { none； }；即可
然后重载服务就可以了
原创文章，作者：zq，如若转载，请注明出处：http://www.178linux.com/77064
