DNS高级配置原理及配置、子域授权、view智能解析(二）

controls语句限定了rndc和正在运行的named进程之间如何进行交互，系统管理员可以用rndc向named进程发送信号并控制它。
rndc可以连接并控制启动和停止named进程、转储named状态、将named转入调试模式。rndc是一个网络程序，如果配置不当或不正确，来自互联网上的用
都可以连接并控制DNS服务，所以在配置rndc时，一定要谨慎！！
controls语法：
controls {
inet ip_addr port ip-port allow { address_match_list } keys { key_list };
};
rndc用来于named通信的端口默认为953，

下面我们会通过rndc-confgen命令生成rndc和named之间使用验证配置rndc，实现远程控制DNS服务

zone "." IN {
type hint;
file "path"      ##path指根服务器的区域文件，默认为"/var/named/named.ca"
};
”hint(线索)“是一个列出根域(".")服务器的DNS记录的集合.需要用它们为一个递归的、有缓存的named提供一个位置，从这个位置开始搜索其他站点的域
信息。没有根搜索，named只知道自己所属的域，还有这个域的子域。

zone "domain_name" IN {
type forward;
forwarders only | first;
forwarders { ip_addr;ip_addr,......};
};

zone "Domain_Name"  IN {
type "master";
file "path";
allow-query { addr_match_list; };
allow-transfer { my_slave ; };
allow-update { add_match_list; };
..........
}；

zone "Domain_Name" IN  {
type slave;
file "slave/path";
masters {  ip_addr; };
allow-transfer { addr_match_list; };
.......
};

通过view语句可以完成DNS的智能解析功能，并且灵活控制哪些客户机能看到哪个view视图的访问控制列表。语法：
view view-name {
match-clients { address_match_list };
match-destinations { address_match_list };
match-recursive-only yes|no
view_option;...
zone_statement;...
};
其实说白了，view视图是根据match_clients提供的查询报文的IP地址进行过滤，一般用于让一个站点的DNS数据分为内外不同的结果，下面
我们会通过模拟外网和内网实现view，并让DNS提供智能解析。

$TTL time(默认为秒）
@       IN      SOA     ns1.example.com.    admin.example.com. (
序列号
更新时间
重试时间
过期时间
非权威相应TTL时间 )
IN  NS      ns1
IN  MX  5   mail
ns1         IN  A       172.16.88.1
www         IN  A       172.16.88.1
mail        IN  A       172.16.88.5

$TTL time(默认为秒）
@       IN      SOA     ns1.example.com.    admin.example.com. (
序列号
更新时间
重试时间
过期时间
非权威相应TTL时间 )
IN  NS      ns1
1           IN  PTR     ns1.example.com.
1           IN  PTR     www.example.com.
5           IN  PTR     mai.example.com.

递归服务器工作模式：
当客户端发送DNS查询请求时，递归服务器仅返回真实的答案或者错误消息(它自己跟踪这些推荐的服务器，免除了客户端这项任务)
非递归服务器工作模式：
当客户端发送DNS查询请求时，非递归服务器器会查询缓存文件，如果有客户端发送的请求结果，那么就将结果返回给客户端，否则，它并不直接返回答案给客户端，
而是推荐一个其他域的权威性服务器，所以发送请求的客户端自己去查询相应的域权威服务。

我们知道DNS是以分布式进行完成域名和IP地址解析的，进行子域授权其实就是在主域的基础上划分子域，并将权限赋予子域的某台服务器，实现层次管理而已。
创建子域，其实就是在原来权威结构(只是赋予给了本地例如"example.com")权威结构内：
实现步骤如下：
选择本地环境中唯一的域名、确定两台或更多主机作为新域的服务器、与父域(example.com)取得协调。
注：父域在执行授权之前，应该核查确定子域的域名服务器已启动并正常运行。如果子域域名服务器没有启动，可能会造成父域在授权时产生"授权失败等信息"

域：example.com
主DNS相关记录信息：
主DNS服务器：ns1.example.com(172.16.88.1/16)
www.example.com(172.16.88.1/16)   ##提供web服务器
mail.example.com(172.16.88.5/16) ##提供E-mail服务器

子域：fin.example.com
子域DNS服务器：ns.fin.example.com(172.16.88.20/16)
子域相关DNS记录：
www.fin.example.com(172.16.88.20/16)     ##提供web服务器
mail.fin.example.com(172.16.88.21/16)    ##提供fin.example.com域内的E-mail电子邮件收发
ftp.fin.example.com(172.16.88.22/16)     ##提供FTP服务器，实现资源共享

# vim /var/named/example.com.zone
$TTL time(默认为秒）
@       IN      SOA     ns1.example.com.    admin.example.com. (
2013041201
1H
5M
7D
3D )
IN  NS      ns1
IN  MX  5   mail
ns1         IN  A       172.16.88.1
www         IN  A       172.16.88.1
mail        IN  A       172.16.88.5
fin         IN  NS      ns.fin     ##在这里我们添加了一个子域(fin.example.com)并给出了相应的A记录
ns.fin      IN  A       172.16.88.20

# rpm -e bind-libs bind-utils
这里我们使用的bind97版本，所以在这里我们将系统默认安装bind-libs和bind-utils软件包卸载，并通过YUM来安装bind97版本的软件包
# yum install bind97 bind-utils -y
# mv /etc/named.conf /etc/named.conf.bak
这里我们采用手动配置named.conf主配置文件，所以把bind97版软件安装所产生的配置文件给予重命名：
# vim /etc/named.conf
options {
directory "/var/named" ;              ##指明区域文件保存的位置
};
zone "." IN                                   ##定义根区域文件名称
type hint;
file "named.ca";                      ##默认存放在/var/named/named.ca
};
zone "localhost" IN {
type master;
file "named.localhost";
};
zone "0.0.127.in-addr.arpa" IN {
type master;
file "named.loopback";
};
zone "fin.example.com" IN {                       ##定义fin.example.com正向区域配置文件
type master;                              ##类型为master(主DNS)
file "fin.example.com.zone";              ##fin.example.com域正向区域配置文件存放名称(/var/named/fin.example.com.zone)
};
注：然后执行将named.conf配置文件的属组及权限分别更改为named和640即可：
# chgrp named /etc/named.conf && chmod 640 /etc/named.conf

# vim /var/named/fin.example.com.zone
$TTL 86400
@       IN      SOA     ns.fin.example.com.     admin.fin.example.com. (
2013041201
1H
5M
7D
3D )
IN  NS      ns
IN  MX 5    mail
ns          IN  A       172.16.88.20
www         IN  A       172.16.88.20
mail        IN  A       172.16.88.21
ftp         IN  A       172.16.88.22
注：因为在这里我们采用的是手动配置区域数据文件，所以别忘记更改属组为named及权限为640噢

# vim /etc/named.conf
options {
directory "/var/named";
};

acl internal {            ##定义acl列表，当来自172.16.0.0/16和127.0.0.0/8的网段均为内网用户
172.16.0.0/16;
127.0.0.0/8;
};
view "internal" {                          ##定义内网主机所使用的解析区域文件
match-clients { internal; };
recurion yes;
zone "example.com" IN {
type masters;
file "internal.example.com.zone";
};
};

view "external" {                           ##定义外网主机所使用的解析区域文件
match-clients { any; };
recurion yes;
zone "example.com";
type master;
file "external.example.com.zone";
};
};

# vim  /var/named/internal.example.com.zone
$TTL  86400
@   IN  SOA ns1.example.com.    admin.example.com. (
2013041201
1H
5M
7D
3D )
IN  NS  ns1
IN  MX  5   mail
ns1     IN  A   172.16.88.1
mail    IN  A   172.16.88.5
www     IN  A   172.16.88.1

# vim  /var/named/external.example.com.zone
$TTL  86400
@       IN      SOA     ns1.example.com.        admin.example.com. (
2013041201
1H
5M
7D
3D )
IN      NS      ns1
IN      MX  5   mail
ns1     IN      A       172.16.88.1
www     IN      A       192.168.0.1
mail    IN      A       192.168.0.5

# chgrp named  internal.example.com.zone  external.example.com.zone
# chmod 640  internal.example.com.zone  external.example.com.zone