Linux：DNS主、从、缓存服务器配置、DNS同步加密TSIG配置、DNS分离解析配置

DNS主服务器配置（正向解析、反向解析）

正向解析：根据主机名查找对应的IP地址。当用户访问一个域名时(不考虑hosts文件等因素)，正常情况会向指定的DNS主机发送递归查询请求
反向解析：根据IP地址查找到对应的主机名（域名）
Linux中DNS服务占用53端口 
第1步：
            安装bind服务程序- yum install bind-chroot
            （协议名：dns，软件包名：bind-chroot，服务名：named）
            说明：主程序 /usr/sbin/named
                       主配置文件 /etc/named.conf
                       区域配置文件 /etc/named.rfc1912.zones这个文件用于定义域名与IP地址解析规则保存的文件位置以及区域服务类型等内容
                 主配置文件中：//将下行中的127.0.0.1修改为any，代表允许监听任何IP地址。

listen-on port 53 { 127.0.0.1; };
                                            listen-on-v6 port 53 { ::1; };
                                         //将下行中的localhost修改为any，代表允许任何主机查询。
                         allow-query { localhost; };
                                         //此文件内定义了全球13台根DNS服务器的IP地址
                         zone "." IN {type hint;file "named.ca";};
                                         //此文件保存着正向与反向解析的区域信息，非常的重要。
                                             include "/etc/named.rfc1912.zones";
                                             include "/etc/named.root.key";
                区域配置文件中：正向解析
                                            
                                            服务类型可以有三种:hint(根区域)、master(主区域)、slave(辅助区域）
                                            反向解析
第2步：
            配置区域数据信息。   正向解析
                                            [root@linuxprobe ~]# vim /etc/named.rfc1912.zones
                                                    zone "hostname1.com" IN {
                                                    type master;
                                                    file "hostname1.com.zone";
                                                    allow-update {none;};
                                                    };
                                                反向解析
                                            [root@linuxprobe ~]# vim /etc/named.rfc1912.zones
                                                            zone "10.168.192.in-addr.arpa" IN {
                                                            type master;
                                                            file "192.168.10.arpa";
                                                            };
第3步：
            配置解析数据信息。
            先切换到目录  cd /var/named/
            正向解析：
       复制模板文件 cp -a named.localhost hostname1.com.zone 命令时加入-a，代表连通复制原来文件的属性、所有者、组等信息
             编辑模板文件：SOA后面是一级域名hostname1.com加点代表根，后面是邮箱地址用点代替@, ns.hostname1.com.nameserver二级域名地址供应商提供，ns  in A为地址
            $TTL    1D            #生存周期1天
             @            IN    SOA    hostname1.com. root.hostname1.com.(
                                                                            0    ;    serial
                                                                            1D  ;    refresh
                                                                            1H  ;    retry
                                                                            1W ;    expire
                                                                            3H) ;    minimum
                                                        NS     ns.hostname1.com.
                                                ns    IN  A    192.168.10.10
                                                www IN  A     192.168.10.10
                                                bbs  IN  A    192.168.10.20
                反向解析：
                复制模板文件：cp -a named.loopback 192.168.10.arpa
                编辑：192.168.10.arpa
                $TTL    1D 
                @            IN    SOA    hostname1.com. root.hostname1.com. (

0    ;    serial
                                                                            1D  ;    refresh
                                                                            1H  ;    retry
                                                                            1W ;    expire
                                                                            3H) ;    minimum
                                                        NS     ns.hostname1.com.
                                                ns    A       192.168.10.10
                                                10   PTR    www.hostname1.com        #10代表192.168.10.10
                                                20   PTR    bbs.hostname1.com 

 第4步：
            验证：要把主机的DNS改为DNS服务器的地址， nslookup命令用于检测能否从网络DNS服务器中查询到域名与IP地址的解析记录，检测named服务的解析能否成功
[root@linuxprobe ~]# nslookup
> www.hostname1.com
Server: 127.0.0.1
Address: 127.0.0.1#53

[root@linuxprobe ~]# nslookup
> 192.168.10.10
Server: 127.0.0.1
Address: 127.0.0.1#53
10.10.168.192.in-addr.arpa name = ns.hostname1.com.
10.10.168.192.in-addr.arpa name = www.hostname1.com.
10.10.168.192.in-addr.arpa name = mail.hostname1.com.

DNS从服务器配置

 真实网络环境中一台主服务器往往不能满足所有用户的需求，"从服务器"可以从主服务器上抓取指定的区域数据文件，起到备份解析记录与负载均衡的作用； 
 配置需要分别配置主服务器端和从服务器端（主服务器：192.168.10.10    从服务器：192.168.10.20）
--------------------------主服务器配置：------------------------
 1、先修改区域信息文件：vim /etc/named.rfc1912.zones 中的allow-update

zone "hostname1.com" IN {
type master;
file "hostname1.com.zone";
allow-update { 192.168.10.20; };
};
zone "10.168.192.in-addr.arpa" IN {
type master;
file "192.168.10.arpa";
allow-update { 192.168.10.20; };
};
2、重启named服务：systemctl restart named
---------------------------从服务器配置： -------------------------
"/etc/named.conf"中的监听地址与允许查询地址修改为any，
1、在区域文件(named.rfc1912.zones)中，添加在后面：
zone "hostname1.com" IN {
                       //请注意服务类型必需是slave，而不能是master。
                                        type slave;
                                        //指定主DNS服务器的IP地址。
                                        masters { 192.168.10.10; };
                                        //此为缓存到区域文件后保存的位置和名称。
                                        file "slaves/hostname1.com.zone";
                                        };
zone "10.168.192.in-addr.arpa" IN {
                                                        type slave;
                                                        masters { 192.168.10.10; };
                                                        file "slaves/192.168.10.arpa";
                                                        };
2、 重启named服务：systemctl restart named
----------------------------验证----------------------------------------
是否出现两个文件：
 /var/named/slaves/hostname1.com.zone
 /var/named/slaves/192.168.10.arpa
nslookup命令查看：

DNS缓存服务器配置

DNS缓存服务器(Caching DNS Server)是一种不负责域名数据维护、也不负责域名解析的DNS服务类型，简单来说缓存服务器就是把用户经常使用到的域名与IP地址解析记录保存在主机本地中，提升下次解析的效率。DNS缓存服务器一般用于对高品质上网有需求的企业内网之中，但实际的应用并不广泛，而且缓存服务器解析成功与否还与指定的上级DNS服务器允许策略相关，因此当前仅需了解下即可。

第一步：

配置系统的双网卡参数，如前面介绍的缓存服务器一般用于企业内网中，起到减少内网用户查询DNS的消耗，那么为了更加的贴近实际网络环境、实现外网查询功能，需要为缓存服务器中再添加一块网卡，可参考下表所示配置出两台Linux虚拟机系统，而对于新添加进入的网卡请在虚拟机软件中设置成“桥接模式”，然后设置成与真机上网相同的配置即可（此处请读者们按照实际上网环境来配置，如图13-6所示为DHCP自动获取模式，重启网卡服务后效果如图13-7所示）：

第二步：

在bind服务程序的主配置文件中添加缓存转发参数，在默认参数下方添加一行参数"forwarders { 上游DNS服务器地址; };"，上游DNS服务器地址指的是从何处取得区域数据文件，主要考虑查询速度、稳定性、安全性等因素，刘老师使用的是北京市公共DNS服务器:210.73.64.1，请读者选择前先Ping下能否通信，否则可能会导致解析失败!!

第三步：

重启DNS服务后验证成果，把客户端主机网卡的DNS地址参数指向为DNS缓存服务器（192.168.10.10），如图13-8所示。这样即可让客户端使用由本地DNS服务器提供的域名查询解析服务，验证DNS缓存服务器是否可以正常解析域名：

客户端主机网卡参数设置妥当后重启网络服务，即可使用nslookup命令来验证实验成果(如果解析不成功，请读者多留意下是不是上游DNS选择的问题)，其中Server参数为域名解析记录提供的主机地址，因此可见是由本地DNS缓存服务器提供的解析内容：

DNS同步加密TSIG配置

解释： TSIG主要是利用密码编码方式保护区域信息的传送(Zone Transfer)，也就是说保证了DNS服务器之间传送区域信息的安全。
 TSIG仅有一组密码，而不区分公/私钥，所以一般只会分配给可信任的从服务器，主服务器：192.168.10.10   从服务器192.168.10.20

-------------------主服务器配置--------------------------- 
1、 在主服务器中生成密钥： dnssec-keygen -a HMAC-MD5 -b 128 -n HOST master-slave （-a加密算法，-b长度，-n密钥类型，主机名称master-slave）
        记录下私钥的key值：
命令：ls -al Kmaster-slave.+157+46845.*
命令：cat Kmaster-slave.+157+46845.private

Private-key-format: v1.3
Algorithm: 157 (HMAC_MD5)
Key: 1XEEL3tG5DNLOw+1WHfE3Q==
 Bits: AAA=
Created: 20150607080621
Publish: 20150607080621
Activate: 20150607080621

2、在主服务器上创建密钥验证文件：
vim /var/named/chroot/etc/transfer.key
//依次为密钥名称、密钥加密类型以及私钥的Key值。
key "master-slave" {
algorithm hmac-md5;
secret "1XEEL3tG5DNLOw+1WHfE3Q==";
};
 设置transfer.key文件的所有者和组：     chown root.named /var/named/chroot/etc/transfer.key
                                                         chmod 640 /var/named/chroot/etc/transfer.key
 将密钥文件做硬链接到/etc目录中：ln  /var/named/chroot/etc/transfer.key /etc/transfer.key

3、 开启主服务器的密钥验证功能： vim /etc/named.conf
 
4、试验一下，将从服务器中的区域数据文件删除，重启named服务，发现无法获取到区域数据文件了。

-------------------------------从服务器配置---------------------------------------------------------
1、将密钥文件从主服务器中传送到从服务器：

scp /var/named/chroot/etc/transfer.key root@192.168.10.20:/var/named/chroot/etc

2、修改密钥文件所有者和所有组：chown root:named transfer.key ， ln transfer.key /etc/transfer.key
3、编辑主配置文件设置支持密钥验证vim /etc/named.conf（有两处配置，请看下图） 

约第43行添加：

4、验证，重启named服务，在

ls -al /var/named/slaves/中查看区域信息文件又存在了

DNS分离解析配置

什么是分离解析技术：解决网站访问速度的问题，北京用户与美国用户访问相同域名时解析出不同的IP地址，拓扑如下

DNS服务器：北京网络:122.71.115.10 / 美国网络:106.185.25.10
北京用户：122.71.115.1
海外用户：106.185.25.1
第1步：安装 yum install bind-chroot -y 并将其加入到开机启动项中。

第2步： 在区域信息文件中填写不同的Zone区域信息。
修改主配置文件"/etc/named.conf"，将监听端口与允许查询主机修改为any，并将约在51行的根域信息删除掉:
 zone "." IN {
 type hint;
file "name.ca";
};
 编辑区域信息文件"/etc/named.rfc1912.zones"，清空该文件所有默认的数据并添加以下内容：
//ACL定义了china与american分别对应的IP地址，以下就不需要写IP地址了。
acl "china" { 122.71.115.0/24; };
acl "american" { 106.185.25.0/24;};
//匹配所有china内的IP地址，对应的域名数据文件为hostname1.com.china。
view "china"{
match-clients { "china"; };
zone "hostname1.com" {
type master;
file "hostname1.com.china";
};
};
//匹配所有american内的IP地址，对应的域名数据文件为hostname1.com.american。
view "american" {
match-clients { "american"; };
zone "hostname1.com" {
type master;
file "hostname1.com.american";
};
};

第3步：建立独立的区域数据文件。
切换目录：cd /var/named
复制出两份域名区域文件数据的模板：
 cp -a named.localhost hostname1.com.china  
 cp -a named.localhost hostname1.com.american
 编辑对中国用户有效的区域数据文件vim hostname1.com.china：
 $TTL 1D
@    IN    SOA    hostname1.com.    root.hostname1.com.    (
                                                                                            0;serial
                                                                                            1D;refresh
                                                                                            1H;retry
                                                                                            1W;expire
                                                                                            3H;minimum
           NS            ns.hostname1.com
ns       IN    A        122.71.115.10
www    IN    A        122.71.115.15
 编辑对美国用户有效的域名区域数据文件vim hostname1.com.american：
  $TTL 1D
@    IN    SOA    hostname1.com.    root.hostname1.com.    (
                                                                                            0;serial
                                                                                            1D;refresh
                                                                                            1H;retry
                                                                                            1W;expire
                                                                                            3H;minimum
           NS            ns.hostname1.com
ns       IN    A        106.185.25.10
www    IN    A        106.185.25.15
第4步：重启named服务，验证试验