Linux DNS 服务器安装与配置和维护 资料

每个IP地址都可以有一个主机名，主机名由一个或多个字符串组成，字符

用之间用小数点隔开。有了主机名，就不要死记硬背每台IP设备的IP地址，只

要记住相对直观有意义的主机名就行了。这就是DNS协议所要完成的功能。

本文将讨论DNS服务器，特别是LinuxDNS服务器，及其如何安装、配置

和维护它。

/etc/hosts文件

在没有DNS服务器的情况下，每个系统在本地网络上保留其主机名和相应

IP地址列表的副本是合理的——特别是在没有互联网连接的小型站点上。

在Linux系统中，这个列表就是/etc/hosts文件。即使你没有DNS服务器或

DNS服务器不可用，该文件也可以使用/etc/hosls文件将IP地址转换为名称。

也许你已经有DNS服务器了，但你也会因为其它原因而想保留这个文件。

例如，系统可能需要在向外部查询之前在本地查找DNS服务器的IP地址；这意

味着系统在查询DNS服务器之前先检索该文件，如果查找到对应的域则无须查

询任何DNS服务器直接将其转换为IP地址。

试试编辑下/etc/hosts文件，并添加以下信息：.

然后，返回你的浏览器，输入，看看结果如何。如果你的系统上安装了Apache

并且本地生机正在运行，浏览器会显示localhost的索引页，而不是Google页面。

作为确认，你可以将映射到任何网站的任何其他IP地址并查看

结果。

因此这个文件所做的是将IP地址转换成名字，但这仅仅足在同一互相连接

的网络下。那么外部网络和众多系统的所有记录是如何维护的呢？

每个人都需要维护自己的/eic/hosis文件并自己更新吗？

更为稳健的域名服务是DNS服务器。

域名

当你访问网站时，你可以输入FQDN（FuIlyQuaiifiedDomainName,完全限

定域名）或类似或的域名。在域名中从右到左的两个点之间的每个文本依次是顶

级域组件、二级域组件和三级域组件。

所以，com是顶级域名组件;google是二级域组件;而www是三级域名组件。

实际上，当你访问任何网站时，浏览器会默认在域的末尾添加一个不可见的

点，因此该域将像一样。该点被称为根域。

该点是由一大堆称为根域名服务器的特殊服务器管理的。截止这篇文章发表

前，世界上有13个根域名服务器。你可以把他们当成互联网的大脑-如果他们失

效了，世界上就没有互联网了。

为什么是13呢？因为如果世界的某处地震可能会破坏一个根服务器，所以

其他的服务器可以继续提供服务直到受影响的服务器重新上线。

这些根名称服务器按字母顺序命名，名称如、

等。

顶级域名（或称作一级域名TLDs）

我们已经见过顶级域名的组成部分,如com。可以认为,顶级域名为DNS

命名空间提供分类组织。

顶级域名（TLD）根据地理或功能方面分为几类。

截止本文撰写时，网上有800多个顶级域名。

顶级域名类别有：

通用的顶级域名如：org,.com,.net,.gov,.edu等等

国家代码顶级域名如：us,.ca等，分别对应美国和加拿大的国家代吗

新的品牌顶级域名，允许组织创建最多64个字符的TLD,

如：.linux,.microsoft,.companyname等

基础架构顶级域名如：.arpa

子域名

当你访问一个类似这样的网站,这里的mail就是

的子域名.

的名称服务器知道他下面存在的所有主机，所以Google

会回复是否有一个叫mail的子域名。根名称服务器对此并不知情。

DNS服务器的类型

一共有三种DNS服务器。

主DNS服务器

这些服务器上存放了特定域名的配置文件，并且基于此权威地规定了特定域

名的地址。主DNS服务器知道全部在它管辖范围的主机和子域名的地址。

辅助DNS服务器

这些服务器作为主DNS服务器的备份，也承担一定负载。主服务器知道辅

助DNS服务器的存在，并且会向他们推送更新。

缓存DNS服务器

这幽服务器上不存放特定域名的配置文件。当客户端请求缓存服务器来解析

域名时，该服务器将首先检查其本地缓存。如果找不到匹配项便会询问主服务器。

接着这条响应将被缓存起来。您也可以轻松地将自己的系统用作缓存服务器。

搭建LinuxDNS服务器

Linux下有很多实现了DNS功能的包，不过我们只关注BINDDNS服务器。

它用于世界上大多数DNS服务器。

如果你在使用基于RedHal发行版的Linux,比如CenlOS,可以像这样安装：

Sdnfyinstallbind

如果你使用基于Debian的操作系统，比如Ubuntu：$aptgetinstallbind9

安装完成之后就可以启动它并让它在计算机启动的时候一并启动起来。

Ssystcmctlstartnamcd

Ssystemctlenablenamed

配置BIND

这个服务使ffl/etc/named.conf作为配置文件。

BIND在那个文件中使用像下面这样的一些语句：

oplions:用于全局BIND配置。

logging:配置哪些需要记录，哪些需要忽略。我推荐你看看Linuxsyslogservero

zone:定义DNS区域。

include:在named.conf中包含另一个文件。

在options语句中可以看到BIND的工作目录在/var/named。

zone语句可用干定义DNS区域.，比如域名,它包含子域名.

上述三个域名（主域名和子域名）都有一个由zone语句定义的区域。

定义一个主域服务器

我们知道DNS服务器类型有主域名服务器、辅助域名服务器和缓存域名服

务器。不同于缓存域名服务器，主域名服务器和辅助域名服务器在应答过程中是

处于同等地位的。

在/etc/named.conf的配置文件中，你可以使用如卜语法定义一个主域服务器：

zone""{typeiraster;.db};

包含主要区域信后、的文件存放在/var/named目录下，从options可知，这是

一个工作目录。

注意：软件服务器或者托管面板会根据你的域名自动为你创建主域服务器信

息的文件名，因此如果你的域名是exam,那么你主域服务器信息的文件

就为/var/named/.db。

类型为master,也就是说这是一个主域服务器。

定义一个辅助域服务器

同定义一个主域服务器一样，辅助域服务器的定义稍微有些变化：

zone""{typeslave;mastersIPAddresslist;;.db};

对于辅助域服务器来说，它的域名和主域服务器是一样的。上述语法里的的

slave类型表示这是一个辅助域服务器，"mastersIPAddresslist”表示辅助域服务器

中区域文件内的信息都是通过上域服务器中区域文件内的信息复制过来的。

定义一个缓存服务器

即使你已经配置了主域或者辅助域服务器，你仍有必要(不是必须)定义一

个缓存服务器，因为这样你可以减少DNS服务器的查询次数。

在定义缓存服务器之前，你需要先定义三个区域选择器，第一个：

zone"."IN{typehint;file,'root.hint";};

zone"."IN{typchint;filc"ioot.hint";};

zone"."IN{typehint;file"root.hint";};

zone"localhost"IN{typemasler;file"localhost.db";};

定义第三个区域是为了反向查找到本地主机。这种反向查找是把本地的IP

地址执向本地主机。

zone"0.0.127."IN{lypemaster;file"127.0.0.rev";);

把这三个区域信息放到/etc/named.conf文件里，你的系统就可以以缓存服务

器来工作了。但是如何引用类似.dbjocalhost.db,和127.0.0.rev这些

文件中的内容呢？

这些文件包含具有某些选项的每个区域的DNS记录类型。那么，这些DNS

记录类型是什么以及它们是如何写的？

DNS记录类型

数据库文件包含诸如SOA、NS、A、PTR、MX、CNAME和TXT在内的记

录类型。

我们看看每一种类型都是如何记录的吧。

SOA：起始授权机构记录

SOA记录按如下形式开始描述一个站点的DNS条目：

.86400INSOAns1..(2017012604;se

rial86400;refresh,seconds7200;retry,seconds3600000;expire,seconds86400;minimum,

seconds)

第一行以域名开始，以句号结束——该语句和/etc/named.conf文件中的区域

定义是一致的。我们要始终记得，DNS配置文件是极其挑剔的。

IN告诉域名服务器：这是一条网络记录。

SOA告诉域名服务器：这是一条起始授权机构记录。

是该文件所在域的域名服务器的完全合格域名

（FQDN:FullyQualifiedDomainName）0

是域管理员的邮箱地址。你会发现这个邮箱地址没有“@”标志，而是被句号

所取代，并且末尾还有一个句号。

第2行是一个序列码，它被用来告诉域名服务器文件是什么时候升级的。因

此，如果你对区域码做了变更，你必须对这个序列码进行递增。这个序列码的格

式是YYYYMMDDxx,其中的xx是从00开始的。

第3行是每秒刷新率。这个值被用来告诉第二个域名服务器查询主服务器中

的记录是否已经被更新的频率。

第4行是每秒重试的频率。如果第二个服务器多次尝试连接主域名服务器来

进行更新检测，但无法连接上的时候，第二个服务器就会在每秒内重试指定的数

值次数。

第5行是超时指示。其目的是为了第二个服务器能将区域数据缓存下来。这

个值告诉这些服务器如果它们不能连接到主服务器来进行更新，那么它们就会在

这个指定数值秒数之后抛弃这个值。

第6行告诉缓存服务器，如果它们不能连接到主域名服务器时，它们应该在

超时前等待多久。

NS:NameServerRecords（名称服务器记录）

NS记录用于指定哪个名称服务器维护该域的记录,

你可以这样编写的NS记录：

INNSns1..

INNS.

并不需要有2个NS记录，但是通常偏好有备份名称服务器。

A和AAAA:AddressRecords（地址记录）

A记录用于提供从主机名到IP地址的映射supportINA。

如果你在地址为上的上有一个主机，你可以像上面的例子那样

输入。

请注意，我们所写的主机并没有句号。

PTR:PointerRecords（指针记录）

PTR记录用于执行反句名称解析，允许某人指定IP地址然后找出对应的主

机名。

这与A记录的功能相反：INPTR

在这里，我们键入具有点号的完整主机名。

MX:MailExchangeRecords（邮件交换记录）

MX记录告诉其他站点关于你所在域的邮件服务器地址：

.INMXlOmaiL

当然这个域以句号结束。数字10是邮件服务器的重要性标志，如果你拥有

多个邮件服务器，其中较小的数字不太重要。

CNAME:CanonicalNameRecords（权威名称记录）

CNAME记录允许你为主机名创建别名.当你想提供一个易干记住的名称

时，这很有用。

假设某个站点具有一个主机名为hateverbignameis.examplc的Web服务器，

并且由于系统是Web服务器，因此可以为主机创建一个名为www的CNAME

记录或者别名。

你可以创建名为的域名创建CNAME记录：

whateverbignameislNA

wwwINCNAMEwhateverbignameis

第一行通知DNS服务器关于别名的位置。第二行创建一个指向www的别

名。

TXT记录

您可以将任何信息存储到TXT记录中，例如你的联系方式或者你希望人们

在查询DNS服务器时可获得的任意其他信息。

你可以这样保存TXT记录：.INTXT,,YOURINFOGOESHERE,\

此外，RP记录被创建为对host联系信息的显式容器：

.INRPo

DNSTTL值

在/etc/named.conf文件的顶部，这里有一个$TTL条目。

该条目告诉BIND每个单独记录的TTL值（limelolive,生存时间值）。

它是以秒为单位的数值，比如14,400秒（4个小时），因此DNS服务器最多

缓存你的域文件4个小时，之后就会向你的DNS服务器重新查询。

你可以降低这个值，但是默认值通常是合理的。除非你知道你正在做什么。

捕获配置错误

当您写入域文件时，也许您忘记了一个句号或空格或其他任意错误。

你可以从日志诊断LinuxDNS服务器错误。BIND服务通过/var/log/messages

上的错误，可以使用tail命令来查看实时错误日志，须使用f选项：

$tailf7var/log/messages。

因此，当你编写域文件或修改/elc/named.config并重新启动服务时，显示错

误之后，你可以从日志中轻松识别错误类型。

Host命令

在你成功添加或修改记录后，可以使用host命令查看主机是否正确解析。

host命令允许你将主机名解析为IP地址：$。

此外，你可以执行反向查找:$hostl<>

你可以this在此篇文章中查看更多关于host和dig命令的信息。

Whois命令

whois命令用于确定域名的所有权及其拥有者的email地址和联系电话：.

Rndc命令

rndc工具可用于安全地管理名称服务器，因为与服务器的所有通信均通过数

字签名进行身份验证。

此工具用于控制名称服务器和调试问题。你可以通过以下方式检查

LinuxDNS服务器的状态：$rndcstatus。

此外，如果你更改任何域（zone）文件，您可以重新加载服务，而无须重启命

名月艮务：S。

在这里，我们重新加载域文件。你可以重新加载所有域：

Srndcreloadn

或者你可以添加新的城或更改服务的配置。你可以重新加载配置，如下所示:

Srndcreconfigo

LinuxDNS解析器

我们已经知道LinuxDNS服务器的工作原理以及如何配置它。另一部分当然

是与DNS服务器交互的（正在与DNS服务器通信以将主机名解析为1P地址的）

客户端。

在Linux上，解析器位于DNS的客户端。要配置解析器，可以检查

/etc/resolv.conf这个配置文件。

在基于Debian的发行版上，可以查看/eic/resolvconf/resolv.conf.d/目录。

/etc/resolv.conf文件中包含客户端用于获取其本地DNS服务器地址所需的信

息。

第一个表示默认搜索域,第二个表示主机名称服务器(nameserver)的IP地址。

名称服务器行告诉解析器哪个名称服务器可使用。只要你的BIND服务正在

运行，你就可以使用自己的DNS服务器。

使用LinuxDNS服务器非常简单。我希望你发现这篇文章很有用，并且很容

易理解。

附：Linux环境下搭建主从DNS服务器

一.bind简介

Linux中通常使用bind来实现DNS服务器的架设，bind软件由

isc()维护。

在yum仓库中可以找到软件，配置好yum源，直接使用命令yuminslallbind

就可以安装。监听窗口为53。

bind的主要配置文件为/etc/named.conf,此文件主要用于配置区域，并指定

区域数据库文件名称。区域数据库文件通常保存于/var/named/IR录下，用于定义

区域的资源类型。

二.架设主DNS服务器

实例操作：以域名为例配置一个DNS服务器，实现正向解析。

配置一台ip为7/16的主机作为DNS服务器。

为了实验能成功进行，我们把selinux和防火墙先关闭：

[root@centos7-J#setenforceO#i§3Lselinux

为permissvie[root@centos7-]#systemctlstopfirewalld#

关闭防火墙[root@cen【os7~]#ssntl#查看53'弓端口是否打开，监听本机的IP

修改主配置文件：

[root@centos7-l#vim/etc/namcd.confoptions{listenonport53{Jocalhost

;};#监听本地所有的IPallowquery{any;};#所有的客户端都可以查询区域数据库，

实现解析)

定义用户自定义域：

[root@centos7~]#vim/etc/named.rfcl912.zones#用户自定域，也可以把域写在

/etc/named.conf文件中zone""IN{#添力U域typemaster;#指定类型

为主file".zone";#指定区域数据库文件名};

写解析数据库文件：

[root@centos7-]#vim/var/naemd/.zoneSTTLlD@2DlNSOAdns1admin

..(200005;serial#版本号，版本号可以任意数值，位数不能超过10个

ID：refresh#更新间隔时间,ID表示一天IH:retry#同步数据失败后,再次尝试同

步间隔时间。1H表示1小时1W;expire#一直不能同步数据，此间隔时间后从服

务器不再提供解析服务3H);m而mum#错误请求间隔时间，此时间内不再重启查

询，直接将结果返回给客户端NSdns1#指明服务器名称dns12DINA7#

服务器IPwwwCNAMEweb#指明www为web的别名

webA6#域名对应的

IP.A7[root@centgos7named]#.zonerwrlrootroot

296Sep2205:49.zone#只有所有者和所属组有读的权限

这里所有主和所属组都是root用户，其他用户没有读的权限，故需要下面

的一步修改

让named有读解析数据文件的权限

[root@centos7-l#chgrpnamed/var/named/.zon#很重要的一步，把

.zon解析数据文注的属组改为named,这是DNS服务创建的一个用户，

用于方便调用DNS服务，这里把属组改成named,named就有权限为客户端读

取解析数据，达到查询解析的目的

主配置文件语法检查：

[root@centos7-]#namedcheckconf#检查配置文件中的语法

/etc/named.conf7etc/named.rfc1912.zones[root@centos7-]#

/var/named/.zone#解析库文件语法检查[rool@C3nlos7~]#rndcreload#力口载

DNS配置文件

[rootlego«7naMd-ch»ckconf

(rootleeotQOS?n4N»dj#n«Md-ch*ck2on«iy*.c<Mi/var/nM»d/iya.co«.2O(v«

zon«zy«.c<M^IN:loadeOserial206€CS

a2.”

(root9c«ct9os7

测试主DNS服务器能否解析：

用IP为/16的主机测试IP为7的DNS主服务器能否

正常解析域名。

保证两台主机能正常通信。

在IP为/16的主机上用yum安装bindutils包，安装此包中有dig

命令的，dig命令这里不详细讲解了，有兴趣的同学可以看我另外一篇关于DNS

的博客，里面有详解讲解dig的用法。

[root@centos7~]#@7#在指定ip为7

的主机上查询域名为的ip地址

[root@centos7-]#@7#在指定ip为7的主机

上查询域名为的ip地址，这里

;•wM.tye.CM>!?>.!•.M17

211Eis■:

；1tot

・73・・•opC：OUMY,MC0ROR.tilt

n”Mr.swni.2.atnwrni.MOIUCMLI

；；ounnoiiwcYg

nM

MMfSIW$KH<W一

vM.ayo.cw.M4MBlCMAMcm.

fS3BMM口IAUHX

；；aUTMOMH«tn«lW

fyoCMtMMU0

，MOtnOMLSKTIM：

♦,iM4MnAm.M.M.n

IIf•MBMC

三.架设从DNS服务器

准备:一台IP为/24的主机,并且能与IP为7/16主

DNS服务器、IP为/测试主机通信。

为了保证实验顺利进行，我们先把selinux和防火墙关闭，第二步架设主DNS

服务器有与，这里小冉赘述。

同理修改主配置文件：

[root@centos7-l#vim/etc/named.confoptions{listenonport53{localhost;};#监听

本地所有的IPaHowquery{any;};#所有的客户端都可以查询区域数据库，实现解

析}

定义用户自定义域：

[root@centos7-J#vim/etc/named.rfc1912.zones#ffiP自定域，也可以把域写在

/etc/named.conf文件中zone""IN{#添力「域typeslave;#指定类型

为从服务器masters(7;};#指定从当前从服务器对应的主服务器IP地址

file"slaves/.slave.zone":#指定从解析数据库文件名

这里我们就不需要在自己写解析数据文件了，我们要实现主从DNS服务器,

那么数据就必须要同步，接下来，我们就开始同步解析数据文件：

[root@localhost-J#cd/etc/named/slaveslroot@localhoslslaves]#lslrooi@localhos

tslaves]#rndcreload#从主服务器同步解析数据到从服务器上

serverreloadsuccessful[root@localhostslaves]#.slave.zone#?i,&：区域数据

库文件.slave.zone在centos6是明文，而在cenlos7是密文

在IP为/主机上测试两台主机能否正常解析。

测试主DNS服务器能否正常解析：

[[rootaontOS6digwww.zy.co。@172・18.24.17]

:<o>DiG9.8.2rcl-RedHat-9.8.2-0.62.rcl.el6<o>www.zyM.com07

;;globaloptions:rmd

;;Gotanswer:

;；-»HEADER«.opcode:QUERY,status:NOERROR,id:38973

;;flags:qraardra;QUERV:1,ANSWER:2,AUTHORITY:1.ADDIUCNAL:1

；；QUESTIONSECTION:

;www.zywi.coM.INA

;;ANSWERSECTION:

W.859SQINOWEweE7zym.coM.

web.zya.coa.__________86400INA6

;;AUTHORITYSECTION:

zym.coM.86400INNS.

；；ADDITIONALSECTION:

dnsl.zym.co®.86400INA172.1824.17

测试主DNS服务器能否正常解析:

(rootKwitOSS-】•digMM.iya.coa^172,1824.7

;«»DiG9.t.2rcl-A«^4at-9.t.2*9.t2.rcl.«\t«»Mw.xy«CM9172.19.24.7

：：globaloption*：yad

：;Gotanswer:

;;.»HEA0R«»opcode:CUWV.statu*：WOCRROR,id:11413

；；QrMrdra;QU01Y：1.AM5MER:2.MAHOWTY：1.AOOEOML;1

；；QUESTIONSKTION:

；MM.iy«.C(Ni.HlA

从上面两个图可以清楚的看到，主从服务器都能正常解析。

四.实现容错

原理：

搭建主从服务器，除了减轻负载，还有一个更重要的作用，实现容错。

容错，顾名思义，就是允许出现错误，出现问题后仍然对外能够提供服务，

实现思想是，一台服务器坏了，另外一台能正常工作，对外提供服务。

实验过程分析：

我们这里模拟真实环境，dig测试不再指定用哪个服务器来解析域名，那么

我们需要修改测试上机上的网卡配置，指定DNS主从服务器：

[root@CentOS6~]#vim/etc/sysconfig/networkscripts/ifcfgethODEVICE="ethO',I

PADDR=PREFIX=16DNS1=7#主DNS2:#从

BOOTPROTO=staticGATEWAY=[root@CentOS6-]#

---HEADER--opcod*QUenstatusNO0VWid63109

；：flags:qrMrdr«;OUBY:1.ANSMEF;2.AUTHORITY:1,ADOITIONAL:1

;;QUESTION5EE0N:

：MM.iya.co«.INA

；：ANSWERSECTION:

w^.tyw.coa.864WINCNAFEty«.co«,

wbsrv.xya.coa.INA172.IS.24.25

现在我们把主服务器上的ip为7的网卡down掉，模拟主机服务

器出问题：

[root@CcntOS7-]#ifconfigcns37down

I：emT7：<IMmKAST.fU.TKJtST>1MMq-lscpiIfo_f«stxUteUMhqlen1HM4

liak/rthrrMTBr：23:“：Zrf-brJtt：ff:ffft(tft

IroatfccNtfMV"M

再次在测试上机上测试:

(re«t0C4ntO$6digtys.cM

;0i69.t.2rclMdMat9.t.2"t.<2.rcl.«l6«»Mw.xyw.coB

：：globaloptions：

；;opcode：0U9Y.status:M06RA0R.id:41f

；；八5Mrdr«：QU8IY：1.AMSWSt2.AUTHORITY:1.MIOEONAL:1

;：QUESTIONSKTIOM:

;www.syv.coB.INA

,11M($<RSECT!*

M4MINCNMC

Mb.tya.c«e.M4MINA172.1824M

；；AUTHORITYS£CTXON：

tyv.CM.*00IMMS

；JADOXTIONALSKTIOI:

M400INA172.It.24.17

«jQueryturn:1

测试成功。

说明：在执行digwwv/.命令后，明显可以感觉停顿了一两秒时间才

显示出结果，比down掉网卡前慢了叱许.

因为我们配置网卡的时候，把主服务器的IP放在了从服务器IP的前面。

当执行解析命令后，主机首先会到主服务器上去查询，结果主服务器网卡坏

掉了，不能提供服务。然后主机会到从服务器去查询，从服务器正常工作，解析

出域名，返回给主机，显示出结果。

五.安全加强

利用dig命令可以直接抓取的服务器上的解析数据的所有解析记录，而且是

明文，现在存在很大的危险漏洞。

先把第四步禁掉的网卡启用起来，然后抓取主服务器上的解析纪录：

[root@Cen(OS7­]#ifconfigens37up

在测试主机抓取：

[root@CentOS6-l#@7

(root0CtntOS6*)#dig-taxfr07

人UA人【[A;;Connectionto7#S3(7)forfailed:host

unreachable.

[root0CtntOS6*)#dig-t®xfr0

；<o>DiG9.8.2rcl-RedHat-9.B.2-0.62.rcl.el6<o>-taxfrzym.coni0

;;globaloptions:-Kmd

INbUAUndl.zym.uuin.aUmxn.zym.cum.2V

00068640G3600604