CentOS 7系统上架设DNS服务

文档说明：
本
文档以一个案例来介绍如何在CentOS
7系统上部署DNS服务。该案例仅是我对如何部署DNS服务的知识总结，并非是生产环境中存在的案例。并且，该案例中用到的CentOS系统均是安装在
VMware虚拟机内的，虽然一般情况下这不会有什么不妥，但还是特别说明一下。

案例说明：
本
案例使用了两台VMware虚拟机。两台虚拟机上均安装CentOS
7（详细版本号为7.0.1406，核心版本号为3.10.0-123.el7.x86_64），其中一台虚拟机用于模拟Master
DNS服务器（假设IP为172.31.2.2），另一台虚拟机用于模拟Slave DNS服务器（假设IP为172.31.2.3）。
并
且，假设DNS服务器所在园区网有自己的合法域名，为speedsnail.com，允许所有来源的主机对该域名进行解析。而当园区网内的主机要访问外网
域名时，DNS服务器会先查本地缓存，查不到则将该解析请求转发给ISP的DNS服务器（假设IP为202.96.128.86和
202.96.128.166），而不是转发给.（root）服务器。并且，只会对内网主机的解析请求进行转发（假设内网网段范围为172.31.0.0/16），而不会对外网主机的解析请求进行转发。

DNS服务简要介绍：
DNS服务由BIND软件提供，启动后服务名为named，管理工具为rndc，debug工具为dig。主要配置文件为/etc/named.conf。

要架设本案例中DNS服务，可按照如下步骤进行：
1. 在chroot环境下安装BIND软件
要安装BIND软件，并让它运行在chroot环境下。那么只需安装bind-chroot软件，其它软件（包括BIND软件本身）也会自动进行安装，也即只需执行命令：
[root@localhost~]# yum install bind-chroot
执行上述命令后，yum程序就提示安装/升级下述软件了：



安装完成后，就需要启动named-chroot服务，并将它设置为开机启动：
[root@localhost ~]# systemctl start named-chroot
[root@localhost ~]# systemctl enablenamed-chroot
上述命令执行完后，如果没什么问题，可使用下述命令来验证named-chroot服务的状态：
[root@localhost ~]# systemctl status named-chroot

2. 设定主DNS服务器上的配置文件/etc/named.conf
在修改主DNS服务器上的配置文件/etc/named.conf之前，先对其备份：
[root@localhost~]# cp –a /etc/named.conf/etc/named.conf.raw
然后将其内容修改成如下所示：
-------------------------------------------------------------------------------------------------------------------------------------
options {
listen-on port 53 { any; }; //侦听来自任意源IP对端口53的访问
listen-on-v6 port 53 { ::1; }; //设定IPv6侦听端口的，因为没有用到，所以保持默认
directory "/var/named"; //该项设定工作目录
dump-file "/var/named/data/cache_dump.db"; //执行命令rndcdumpdb后会把database保存到该指定档案
statistics-file "/var/named/data/named_stats.txt"; //执行命令rndcstats后会把统计数据保存到该指定档案
memstatistics-file "/var/named/data/named_mem_stats.txt"; //记录内存使用数据的文档路径

allow-query { 172.31.0.0/16; }; //指定只有内网网段主机才能进行DNS查询（authoritative data）
recursion yes; //这个选项控制是否开启服务器的递归查询功能
allow-recursion { 172.31.0.0/16; }; //指定只有内网网段主机才能进行递归查询
forward first; //接收到查询请求时，会先转发到forwarders指定的DNS，查不到再执行递归
forwarders { //（接上面）当然，在转发之前，还会先查本地缓存
202.96.128.86;
202.96.128.166;
};

dnssec-enable no; //这部分是设置DNSSEC的。把它关掉，默认为yes。
dnssec-validationno; //关掉，默认为yes。
dnssec-lookaside no; //关掉，默认为auto
bindkeys-file "/etc/named.iscdlv.key";
managed-keys-directory "/var/named/dynamic";

pid-file"/run/named/named.pid"; //named服务的PID文件存放位置，保持默认。
session-keyfile "/run/named/session.key"; //TSIG会话密钥存放文件路径，保持默认。
};
logging { //设置日志的语句
channel default_debug {
file"data/named.run";
severity dynamic;
};
};
zone "." IN { //设定root zone的语句
type hint; //hint类型专门用于root域
file "named.ca"; //root域的配置文件为/var/named/named.ca
};
zone "speedsnail.com" IN { //设定域speedsnail.com的语句
type master; //指明本服务器是这个域的主DNS服务器
file "speedsnail.com.zone"; //指定这个域的配置文件为/var/named/speedsnail.com.zone
allow-transfer { 172.31.2.3; }; //指定这个域的从DNS服务器的IP
allow-query { any; }; //允许来自任意IP对这个域的解析请求
};
include"/etc/named.rfc1912.zones"; //zone语句也可以写在这个文件里面
include "/etc/named.root.key"; //root域的key文件，与DNSSEC有关
-------------------------------------------------------------------------------------------------------------------------------------

3. 设定主DNS服务器上的zone配置文件
在上面的配置文件named.conf中，因为有定义一个正向解析的域speedsnail.com，所以也要设定这个域的配置文件speedsnail.com.zone。在工作目录/var/named下创建这个配置文件，并将它的内容修改成如下所示：
-------------------------------------------------------------------------------------------------------------------------------------
$ORIGIN speedsnail.com.
$TTL 86400
;
;在zone的配置文件中，它是以分号来作为批注语句标识符的。
;修改这个配置文件时，要注意，名称最后面没有加句点的是主机名，最后面加了句点的是FQDN（除了$ORIGIN那里）。
;$ORIGIN那里填域名。下面的@符号会引用这里填写的值。如果不填，则会引用主配置文件中zone语句后面的值。
;$TTL表示timeto live值，表示当其它DNS查询到本zone的DNS记录时，这个记录能在它的DNS缓存中存在多久，单位为秒。
;
@ IN SOA dns1.speedsnail.com. xie.speedsnail.com. (
2015040101
21600
3600
604800
86400 )
;
;SOA后面的两个参数分别是主DNS服务器主机名和管理者邮箱(xie@speedsnail.com)。因为@符号有特殊含义，所以写成这样。
;括号内的第一个参数是序号，代表本配置文档的新旧，序号越大，表示越新。每次修改本文档后，都要将这个值改大。
;第二个参数是刷新频率，表示slave隔多久会跟master比对一次配置档案，单位为秒。
;第三个参数是失败重新尝试时间，单位为秒
;第四个参数是失效时间，单位为秒。
;在BIND9中，第五个参数表示其它DNS服务器能缓存negative answers的时间，单位为秒。
;
@ IN NS dns1.speedsnail.com.
IN NS dns2.speedsnail.com.
dns1 IN A 172.31.2.2
dns2 IN A 172.31.2.3
;
;类型NS定义指定域的DNS服务器主机名(如dns1.speedsnail.com)，不管是主DNS还是从DNS。
;类型A定义指定主机(如dns1)的IP地址。如果是使用的IPv6地址，则需使用类型AAAA。
;
@ IN MX 10 mail1.speedsnail.com.
IN MX 20 mail2.speedsnail.com.
mail1 IN A 172.31.2.4
mail2 IN A 172.31.2.5
;
;类型MX定义指定域的邮件服务器主机名(如mail1.speedsnail.com)。
;MX后面的数字为优先级，越小越优先。同样的优先级值则可以在多台邮件服务器之间进行负载分担。
;
www IN CNAME servs.speedsnail.com.
ftp IN CNAME servs.speedsnail.com.
servs IN A 172.31.2.6
;
;类型CNAME用于定义别名。通常用于同一台主机提供多个服务的情况。
;以这里的设定为例，当要解析ftp.speedsnail.com的IP时，它会解析成主机servs.speedsnail.com的IP。
;
forum IN A 172.31.2.7
travel IN A 172.31.2.8
IN A 172.31.2.9
;
;如上面所示，也可以直接设定某一台主机(如forum.speedsnail.com)的IP。
;同一台主机(如travel.speedsnail.com)也可以设定多个IP。
-------------------------------------------------------------------------------------------------------------------------------------

4. 设置从DNS服务器
重
复第1个步骤，给从DNS服务器安装bind-chroot软件，然后设置开机启动并将它开启。做好后，就修改从DNS服务器的主配置文件/etc
/named.conf。从DNS的主配置文件与主DNS的基本相同，因此直接把配置复制过去就行，但zone语句需要进行修改。如下所示，从DNS的
named.conf配置文件中的zone语句：
-------------------------------------------------------------------------------------------------------------------------------------
zone "speedsnail.com" IN {
type slave; //指明本服务器是这个域的从DNS服务器
file "slaves/speedsnail.com.zone"; //从DNS的zone配置文件一定要放置在工作目录下的slaves目录中
masters { 172.31.2.2; }; //指定这个域的主DNS服务器的IP
allow-query { any; }; //允许来自任意IP对这个域的解析请求
};
-------------------------------------------------------------------------------------------------------------------------------------
与主DNS不同的是，从DNS上的zone配置文件不需要手动建立，它会通过同步自动建立。因此，从DNS上的配置文件这样就设置好了。

5. 放通端口
在主DNS和从DNS服务器上放通tcp和udp端口53：
[root@localhost~]# firewall-cmd --zone=public--add-port=53/tcp --permanent
[root@localhost~]# firewall-cmd --zone=public--add-port=53/udp --permanent
重启防火墙以让更改立刻生效：
[root@localhost~]# firewall-cmd –reload
可使用以下命令检查配置是否成功：
[root@localhost~]# firewall-cmd --list-all

6. 设置named服务
在主DNS和从DNS服务器上，启动named服务，并将它设置为开机启动：
[root@localhost~]# systemctl start named
[root@localhost~]# systemctl enable named
上述命令执行完后，如果没什么问题，可使用下述命令来验证named服务的状态：
[root@localhost~]# systemctl status named

7. 测试与验证
默认情况下，DNS服务的日志信息会放置到/var/log/messages文档中。如果有修改配置文件，并启动或重启named服务的话，建议第一时间先查看这个日志文档，看有没有报错：



从DNS服务器中关于zone配置文件更新的日志：



检查DNS服务的端口（端口53）是否有开启：



使用dig命令在从DNS上测试主DNS能否正常解析外网网址：



使用dig命令在从DNS上测试主DNS能否正常解析自己定义的网址：



验证DNS Forwarders是否有正常工作：



从
上面的截图可以看出，当我在主DNS服务器(172.31.2.2)上指定DNS为自己去解析jilupian.youku.com时，抓包结果显示，服
务器确实将DNS查询转发给了我所配置的ISP的DNS中的一个(202.96.128.166)，这表明Forwarders有配置成功。
在本文档最前面的案例说明部分，有提到允许内网主机的解析请求而不允许外网主机的解析请求，并且允许所有主机对域speedsnail.com的解析请求。为了验证这种限制机制是否能生效，先将主DNS服务器上的named.conf配置文件修改成如下所示：



这样修改的话，仍然是所有主机能对域speedsnail.com进行解析，但只有主DNS服务器(172.31.2.2)自身能解析其它的域。重启主DNS上的named服务以让修改生效。然后，在从DNS服务器(172.31.2.3)上进行测试：



可以看到，以172.31.2.2为DNS，外网网址(www.baidu.com)无法解析，而内网网址(www.speedsnail.com)仍然可以解析，这说明，限制解析请求来源IP的设定是正确的。主DNS服务器上的日志也验证了这一点：



总结：
从
DNS软件自身的设定方面来说，在CentOS
7上部署DNS与在更早的系统上部署DNS并没有太大差别，不过底层机制可能有所改变。从系统方面来说，CentOS
7的应用程序服务管理和防火墙管理有所改变，如这篇文章里面使用了systemctl和firewall-cmd，而没有使用chkconfig和
iptables。

可用资料：
named.conf（5）：说明/etc/named.conf中各语句格式的man文档

/usr/share/doc/bind*/sample/etc/named.conf：/etc/named.conf的配置范例
/usr/share/doc/bind*/sample/etc/named.rfc1912.zones：与文档/etc/named.rfc1912.zones的默认内容是一样的

/usr/share/doc/bind*/Bv9ARM.pdf或Bv9ARM.html：BIND 9管理参考手册
https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux：Networking Guide手册中有关于DNS服务器架设和配置的介绍。

附件是我这篇文章里使用到的几个配置文件，有需要可下载。

本文出自 “技术永不止步” 博客，请务必保留此出处http://techsnail.blog.51cto.com/9807313/1627731