DNS视图及压力测试（四）

Bind安全控制选项

Allow-transfer {};  #用于控制区域传送文件
Allow-query {};     #通常用于服务器是缓存名称服务器时，控制查询客户端
Allow-recursion {}; #用于定义递归白名单
Allow-update {};    #定义允许动态更新区域数据文件的主机白名单

ACL

ACL是BIND支持使用的访问控制列表，可以用在安全控制选项中也可以使用在View中，ACL定义语法如下:

acl ACL_NAME {
  10.0.0.0/8
  172.16.0.0/16
  192.168.0.0/24
};

BIND中ACL访问控制列表只有定义后才能使用，通常ACL要定义在named.conf的最上方。另外BIND有四个内置的ACL，如:

any：任何主机

none：无一主机

local：本地主机

localnet：本机的所在的网络

View

Bind中的View是用来把同一个域通过多个View划分开，每一个View中可以使用不同的区域解析文件，然后通过match-clients指令匹配IP或者以及写好的ACL，就可以实现特定IP地址访问特定的区域解析文件，View语法如下:

View VIEW_NAME {
Match-clients { IP | ACL_NAME; };
Zone “ywnds.com” IN {
  Type master;
  File “ywnds.unicom”;
};
};

PS: 注意的是一旦开启View之后，DNS中所有的区域都需要应用到View中，另外也可以把安全控制选项应用到View中。

介于中国北网通南电信的大网络格局；联通和电信也是一分为二，然后在骨干区域相互连接。所以不同的ISP网络之间的访问会非常慢；这种现象直接影响到网站的访问量而智能DNS解析能够提高访问速度解决南北互联和不同ISP网络连接之间的问题提高用户体验。并且现在非常流行的CDN技术就是基于智能DNS加缓存技术来实现的。

智能DNS最好可以通过View和ACL实现的，首先把客户端IP地址规划到不同的ACL中。然后把ACL应用到不同的View中，这样就可以实现不同的IP地址解析的域名地址不同。那么就可以实现不同的IP地址访问不同的应用服务器。比如在一个双线机房中有联通和电信网络，在机房中放置两台服务器分别接入联通和电信同，同时这两台服务器的内容是相同的实时同步的，那么就可以通过部署智能DNS达到根据客户端地址走不同的线路访问服务器。下图大概给出了通过联通和电信客户端解析www.ywnds.com得到不同的服务器地址，继而联通和电信客户端分别走自己的网络进行访问www.ywnds.com服务器。提高用户体验，也让你明白了View的作用。

如下图模拟这么一个实验:

DNS配置

1）编辑主配置文件添加ACL和View

[root@bogon ~]# vim /etc/named.conf

acl telecom {     //配置电信的IP段
  192.168.60.100/32
};
acl unicom {      //配置联通的IP段
  192.168.60.200/32
};

options {
  directory   "/var/named";
  recursion no;
};

view dx {       //引用电信的ACL解析时用本区域定义的区域文件
match-clients { telecom; };
zone“ywnds.com”IN {
  type master;
  file“ywnds.telecom”;
};
};

view wt {       //引用联通的ACL解析时用本区域定义的区域文件
match-clients { unicom; };
zone“ywnds.com” IN {
  type master;
  file“ywnds.unicom”;
};
};

view default {    //当有的IP无法判断是属于哪个ACL时默认就访问此区域的文件并允许递归
match-clients { any; };
recursion yes;
zone“ywnds.com” IN {
  type master;
  file“ywnds.default”;
};

zone “.” IN {
  type master;
  file “named.ca”;
};
};

2）编辑区域配置文件

$TTL 1D
@       IN    SOA    dns.ywnds.com.    root.ywnds.com. (
                                        336    ; serial
                                        1D     ; refresh
                                        1H     ; retry
                                        1W     ; expire
                                        3H )   ; minimum
@       IN    NS      dns
dns     IN    A       192.168.60.10
www     IN    A       172.16.60.100

$TTL 1D
@       IN    SOA    dns.ywnds.com.    root.ywnds.com. (
                                        336    ; serial
                                        1D     ; refresh
                                        1H     ; retry
                                        1W     ; expire
                                        3H )   ; minimum
@       IN    NS      dns
dns     IN    A       192.168.60.10
www     IN    A       172.16.60.200

[root@bogon ~]# chown root:named /var/named/ywnds.unicom

重启服务

[root@bogon ~]# service named restart

客户端测试

192.168.60.100客户端解析www.ywnds.com的IP地址应该是172.16.60.100

192.168.60.200客户端解析www.ywnds.com的IP地址应该是172.16.60.200

192.168.60.30客户端解析www.ywnds.com的IP地址应该是172.16.60.200,并且192.168.60.30可以解析外网主机，前提是DNS服务器必须可以上网。

Rndc

Rndc（remote name domain controller）远程管理BIND的工具，有很高的执行权限。在红帽系统上安装BIND的RPM包可直接使用rndc命令，其工作在TCP的953端口。

Rndc命令

rndc --help       #查看rndc帮助信息
rndc status       #查看DNS的基本信息
rndc reload       #重新载入区域配置文件
rndc reload ZONE  #重新载入某个特定区域
rndc reconfig     #重读配置文件并加载新增的区域（Bind一开机进程就会把所有的区域加载进内容中）
rndc querylog     #关闭或开启查询日志，会记录查询信息到/var/log/messages文件中，开启此功能会有产生大量IO不建议开启，同时使用rndc status可以查看到状态信息
rndc stop         #关闭DNS服务器
rndc flush        #清空服务器端的缓存
rndc trace [0-3]  #打开或关闭debug模式，0是关闭其余3个级别，级别越高信息越详细，使用rndc status可以查看debug级别。用来调试用的，会产生大量没有必要的IO操作，降低DNS服务器性能
Queryperf
Queryperf是DNS查询压力测试工具，在RedHat提供的RPM包bind没有带queryperf工具；去下载源码编译bind9.7以上的版本带有queryperf和DLZ(让bind存储时连接mysql使用的连接工具)

[root@localhost ~]# tar xf /root/bind-9.9.2.tar.gz
[root@localhost ~]# ls /root/bind-9.9.2/contrib/
dlz queryperf
[root@localhost ~]# cd /root/bind-9.9.2/contrib/queryperf
[root@localhost queryperf]# ./configure
[root@localhost queryperf]# make
[root@localhost queryperf]# cp queryperf /usr/bin/    //把编译好的命令复制到/bin下
[root@localhost queryperf]# cd
[root@localhost ~]# vim test        //编辑要查询的文件查询条目越多越好可以重复
www.baidu.com     A
baidu.com      NS
[root@localhost ~]# queryperf -d test -s 192.168.60.10     //指定要查询的文件和要测试的DNS地址
statistics：
…………….
queries per second：

查看查询时间和统计信息;另外top看看CPU占用率100%；压力测试时打开查询日志和关闭查询日志分别看看两者速度的区别。另外dnstop软件可以监控当前DNS服务器正在有多少个查询和DNS当前状态；安装时依赖libpcap软件包。