《openEuler网络操作系统搭建、配置与管理》课件 第12章-DNS服务器

12openEuler网络操作系统搭建、配置与管理第12章配置与管理DNS服务器教材配套·授课版课件openEuler24.03LTSKernel6.6本章内容导航1DNS服务器基础2配置DNS服务器3实验项目：配置基本的DNS服务器4科技创新：域名系统与国家主权SECTION1DNS服务器基础1DNS概述DNS（DomainNameSystem，域名系统）服务的核心功能是实现域名到IP地址的转换，这一功能让用户每次访问网站不必使用一串复杂的数字（即IP地址），只需输入易于记忆的域名（如

），就能迅速定位到目标网站的服务器。提供DNS服务的系统被称作DNS服务器，它们在互联网的架构中扮演着不同角色，主要可分为以下三种类型：•主域名服务器（MasterDNS）主域名服务器是DNS体系中的核心角色，它不仅提供DNS服务，还肩负着存储区域数据文件的重任。区域数据文件就像是一个详细的城市地图，记录着该区域内所有域名与IP地址的精确对应关系。例如，一个公司可能拥有多个子域名和服务器，主域名服务器会保存这些子域名及其对应服务器IP地址的完整列表，确保当用户请求访问某个子域名时，能够迅速准确地返回正确的IP地址，引导用户到达目标服务器。•辅助域名服务器（SlaveDNS）辅助域名服务器与主域名服务器协同工作，共同为DNS服务提供支持。当主域名服务器上的配置信息发生变更时，这些更新会自动同步到辅助域名服务器，确保两者在提供服务时保持数据的一致性和准确性。openEuler24.03LTS·Kernel6.65/53DNS概述这种同步机制不仅提高了DNS服务的可靠性，还能在主域名服务器出现故障时，由辅助域名服务器无缝接管服务，减少因服务器单点故障导致的DNS解析中断风险，保障用户能够持续稳定地访问网络资源。•缓存服务器（Cache-onlyserver）缓存服务器在DNS服务中扮演着优化性能和减轻网络负担的角色。它本身并不存储区域数据文件，而是作为一个中间桥梁，帮助客户端向外部DNS服务器请求查询。当用户请求访问某个域名时，缓存服务器会将查询请求转发给其他DNS服务器，获取到结果后，会将这些结果暂时保存在自己的缓存中，当下一次有用户请求相同的域名时，缓存服务器可以直接从缓存中快速返回结果，无须再次向外部DNS服务器发起查询，从而大大提高了DNS解析的效率。在Linux系统中，DNS服务的功能通过bind软件实现，几乎每个Linux发行版都自带了这个DNS服务软件。openEuler24.03LTS·Kernel6.66/53域名空间DNS的域名空间是指互联网上用于唯一标识每个网站的地址系统。它通过将复杂的IP地址转换为易于记忆的字母数字组合，使得用户能够轻松访问网络资源。域名空间的结构是层次化的，从右到左，每个部分称为一个标签，标签之间用点号分隔。例如，在域名中，com是顶级域名，example是二级域名，而www是三级域名。顶级域名可以是通用顶级域名（如.com、.org、.net）或者是国家代码顶级域名（如.cn、.us、.uk）。域名空间的管理由互联网名称与数字地址分配机构（ICANN）负责，确保每个域名的唯一性，避免冲突。域名空间的设置采用层次化的树状结构，这种结构使得域名的组织和管理变得有序且高效。域名空间自顶向下依次分为：根域、顶级域、二级域、子域及主机名。•根域根域位于DNS域名空间的最顶层，它通常用一个空格或者一个点（.）来表示。★(重点)作为整个域名体系的起点，根域承担着至关重要的职责，那就是管理和维护全球范围内的根域名信息。它确保了域名系统的稳定运行，并为互联网的顺畅通信提供了基础。openEuler24.03LTS·Kernel6.67/53域名空间•顶级域顶级域位于根域的下一层，它构成了域名体系中的第一级分类。顶级域主要分为两大类：通用顶级域和国家和地区代码顶级域。通用顶级域包括了像.com、.net、.org这样的广泛使用的域名后缀，而国家和地区代码顶级域则涵盖了像.cn、.us、.uk等代表特定国家或地区的域名后缀。★(重点)顶级域的存在使得域名的分类更加有序，便于管理和识别。•二级域二级域是注册给用户或组织的域名，它位于顶级域的下一层。用户或组织可以根据自己的需求选择一个独特的二级域名，这个域名可以用于建立网站、电子邮件服务等多种用途。二级域的灵活性和独特性为互联网的个性化和多样化提供了可能，同时也为域名的进一步细分和管理提供了基础。•子域子域是位于二级域或其他域的下一级域，它用于进一步细分和组织域名空间。openEuler24.03LTS·Kernel6.68/53域名空间子域的创建和管理完全由域名的所有者自行决定，可以根据不同的业务需求、服务类型或地域分布来进行划分。这种灵活性使得子域成为了一个非常有用的工具，帮助组织和个人有效地管理和优化他们的域名结构。•主机名主机名位于域名空间中的最底层节点，它用于标识具体的设备或服务，并最终指向一个具体的IP地址。主机名是互联网通信中不可或缺的一部分，它确保了数据能够准确无误地发送到目标设备。这种层次化的域名空间结构不仅便于域名的分类和管理，还使得域名解析过程能够高效地进行，从而确保了互联网的顺畅运行和数据传输的准确性。openEuler24.03LTS·Kernel6.69/53域名解析过程DNS域名解析是一个通过分层查询实现的地址转换过程，它涉及多个步骤，确保用户能够将域名转换为对应的IP地址，以便访问互联网上的资源。具体流程如下：•用户请求阶段：当用户在浏览器中输入一个域名并按下回车键时，浏览器首先会检查本地缓存，看是否已经存在该域名对应的IP地址。•如果缓存中存在，浏览器就直接使用该IP地址访问目标网站。•如果不存在，则浏览器会发起一个DNS查询请求，以获取域名对应的IP地址。•本地DNS服务器查询阶段：浏览器将DNS查询请求发送给本地DNS服务器（通常是用户所在网络的DNS服务器，例如由互联网服务提供商ISP提供的DNS服务器）。•本地DNS服务器收到请求后，会首先检查自己的缓存。•如果在缓存中找到了该域名对应的IP地址，它就会直接将这个IP地址返回给浏览器，从而完成查询过程。•根DNS服务器查询阶段：如果本地DNS服务器的缓存中没有该域名的记录，它会向根DNS服务器发起查询请求。•根DNS服务器是互联网域名系统中的顶级节点，负责管理顶级域名（如.com、.org、.net等）的信息。openEuler24.03LTS·Kernel6.610/53域名解析过程•根DNS服务器会根据请求域名的顶级域名部分，将查询请求转发到相应的顶级域名服务器。•顶级域名服务器查询阶段：顶级域名服务器收到请求后，会根据域名的二级域名（如中的example部分）信息，将查询请求进一步转发到该二级域名对应的权威DNS服务器。•权威DNS服务器查询阶段：权威DNS服务器是域名的最终管理服务器，它保存着该域名的最终解析记录。•权威DNS服务器会根据请求，返回域名对应的IP地址给本地DNS服务器。•这个IP地址是用户访问目标网站所必需的。返回结果与缓存更新阶段：本地DNS服务器收到权威DNS服务器返回的IP地址后，会将该结果缓存到自己的缓存中（缓存时间由域名解析记录的TTL值决定，TTL即生存时间，表示记录在缓存中可以保留的时间长度）。然后，本地DNS服务器将IP地址返回给浏览器。浏览器收到IP地址后，就可以使用该IP地址访问目标网站了。整个过程确保了域名到IP地址的快速转换，使得用户能够顺畅地访问互联网资源。openEuler24.03LTS·Kernel6.611/53SECTION2配置DNS服务器2安装并启动DNS服务器•安装DNS服务软件在openEuler系统中，可以使用包管理器来安装DNS服务软件。这里安装的是广泛使用的DNS服务器软件——BIND（BerkeleyInternetNameDomain），命令执行结果如图12-1所示。sudodnfinstallbind*-yopenEuler24.03LTS·Kernel6.613/53图12-1安装BINDopenEuler24.03LTS·Kernel6.614/53安装并启动DNS服务器图12-1安装BIND•启动并开启DNS服务安装完成后，启动DNS服务，如图12-2所示。sudosystemctlstartnamedopenEuler24.03LTS·Kernel6.615/53安装并启动DNS服务器图12-2启动DNS服务可以使用以下命令来检查BIND服务的状态，确保它正在运行，如图12-3所示。sudosystemctlstatusnamedopenEuler24.03LTS·Kernel6.617/53图12-3检查服务状态openEuler24.03LTS·Kernel6.618/53安装并启动DNS服务器图12-3检查服务状态openEuler24.03LTS·Kernel6.619/53BIND配置文件BIND配置文件是DNS服务器运行的核心，它定义了DNS服务器的行为、区域（Zone）信息及资源记录等。★(重点)在openEuler操作系统中，BIND的主配置文件通常位于/etc/named.conf。这个文件是DNS服务器配置的基础，它包含了DNS服务器运行所需的所有关键设置，包括服务器监听的地址、端口、日志记录的详细信息、区域数据文件的存储位置及DNSSEC的启用状态等。通过编辑这个文件，管理员可以控制DNS服务器如何响应各种查询请求，及如何管理其负责的域名空间。•BIND主配置文件结构BIND的主配置文件/etc/named.conf包含了全局配置选项和区域定义。全局配置选项用于设置DNS服务器的整体行为，如监听地址、日志记录等。这些设置影响着DNS服务器如何处理传入的DNS查询请求，及如何记录和报告其活动。区域定义则指定了DNS服务器负责解析的域名空间及其相关设置。每个区域定义都关联着一个特定的域名，例如，并指明了该域名的主服务器位置、数据文件的存储位置及是否允许对该区域进行动态更新等。•BIND主配置文件介绍openEuler24.03LTS·Kernel6.620/53BIND配置文件以下是一个简单的BIND主配置文件示例：options{listen-onport53{;any;};#监听地址和端口，表示仅监听本地回环地址，any表示监听所有网络接口，二者同时存在则仅监听（any被覆盖）★(重点)listen-on-v6port53{::1;any;openEuler24.03LTS·Kernel6.621/53BIND配置文件};directory"/var/named";#指定区域数据文件的存储目录dump-file"/var/named/data/cache_dump.db";statistics-file"/var/named/data/named_stats.txt";memstatistics-file"/var/named/data/named_mem_stats.txt";allow-query{localhost;any;openEuler24.03LTS·Kernel6.622/53BIND配置文件};#指定允许查询的客户端地址，localhost表示仅允许本地查询，any表示允许任何客户端查询★(重点)recursionyes;#是否允许递归查询，yes表示允许，no表示不允许dnssec-enableyes;#是否启用DNSSEC，DNSSEC用于提供域名系统的数据验证，增强安全性dnssec-validationyes;managed-keys-directory"/var/named/dynamic";openEuler24.03LTS·Kernel6.623/53BIND配置文件};zone""IN{#定义一个区域，区域名为★(重点)typemaster;#指定区域类型为主区域，表示该服务器是该区域的权威服务器file"";#指定区域数据文件的名称，该文件包含了域名空间的所有资源记录allow-update{none;};openEuler24.03LTS·Kernel6.624/53BIND配置文件#指定是否允许动态更新，none表示不允许任何动态更新★(重点)};在上面的示例中，options块定义了全局配置选项，如监听地址、日志文件位置、允许查询的客户端地址等。zone块则定义了一个名为的区域，包括其类型、数据文件名及是否允许动态更新等信息。通过这种方式，管理员可以精确控制DNS服务器如何响应对域名空间的查询请求。•区域数据文件区域数据文件通常位于/var/named目录下，文件名与zone块中指定的file选项相对应。区域数据文件中包含了该区域下的所有资源记录，如A记录（IPv4地址记录）、AAAA记录（IPv6地址记录）、MX记录（邮件交换记录）等。这些记录定义了域名与IP地址之间的映射关系，及邮件服务器的配置信息等。需要注意的是，务必确保区域数据文件的格式正确无误，否则DNS服务器将无法正确解析该区域的域名。例如，A记录需要指定域名和对应的IPv4地址，MX记录需要指定域名和邮件服务器的优先级和主机名。openEuler24.03LTS·Kernel6.625/53SECTION3实验项目：配置基本的DNS服务器3实验项目：配置基本的DNS服务器•实验步骤注：以下所有操作均需要root用户权限。•修改配置文件配置过程主要涉及编辑一个关键的配置文件，即named.conf。这个文件通常位于/etc目录下，具体路径为/etc/named.conf。Vim/etc/named.conf需要编辑以下关键部分。•定义允许查询的区域（zone），这些区域是DNS服务器能够响应查询请求的域名范围。★(重点)•指定正确的目录路径，这个路径用于存放定义各个区域的区域文件。•设置允许递归查询的客户端，这样DNS服务器可以为这些客户端提供完整的域名解析服务。•如图12-4和图12-5所示。openEuler24.03LTS·Kernel6.627/53图12-4编辑配置文件（1）openEuler24.03LTS·Kernel6.628/53实验项目：配置基本的DNS服务器图12-4编辑配置文件（1）openEuler24.03LTS·Kernel6.629/53实验项目：配置基本的DNS服务器图12-5编辑配置文件（2）•创建区域文件区域文件包含了域名和IP地址之间的映射信息。根据named.conf文件中定义的区域，创建相应的区域文件：★(重点)首先，需要创建正向解析区域文件，在文件中配置域名到IP地址的映射，但是注意，由于该配置文件需要一定的权限，直接创建可能会导致后续步骤报错，所以这里直接拷贝该目录下准备好的模板文件即named.localhost，再模板文件的基础上进行修改。如图12-6图12-7所示。openEuler24.03LTS·Kernel6.631/53图12-6拷贝模板文件openEuler24.03LTS·Kernel6.632/53实验项目：配置基本的DNS服务器图12-6拷贝模板文件然后，在.zone文件中配置以下内容：openEuler24.03LTS·Kernel6.633/53图12-7修改区域配置文件openEuler24.03LTS·Kernel6.634/53实验项目：配置基本的DNS服务器图12-7修改区域配置文件说明如下。•$TTL1D;•表示设置有效地址解析记录的默认缓存时间，默认为1天也就是1D。★(重点)•原来的@表示当前的域.•设置SOA记录为：.，在此配置文件中写域名时，务必将“.”也要写上。•域管理邮箱.，由于@有其他含义，所以用“.”代替@。•0;•表示更新序列号，用于标示数据库的变换，可以在10位以内，如果存在辅助DNS区域，建议每次更新完数据库，手动加1。•1D;•刷新时间，从域名服务器更新该地址数据库文件的间隔时间，默认为1天。•1H；openEuler24.03LTS·Kernel6.635/53实验项目：配置基本的DNS服务器•重试延时，从域名服务器更新地址数据库失败以后，等待多长时间，默认为1小时。•1W；•到期失效时间，超过该时间仍无法更新地址数据库，则不再尝试，默认为一周。•3H；•设置无效地址解析记录（该数据库中不存在的地址）默认缓存时间。•设置无效记录，最少缓存时间为3小时。•配置防火墙确保防火墙允许DNS查询通过，如图12-8所示。openEuler24.03LTS·Kernel6.636/53实验项目：配置基本的DNS服务器图12-8配置防火墙完成上述配置后，更改/etc/resolv.conf文件，将nameserver更改为本地IP地址，然后重启DNS服务，如图12-9所示。openEuler24.03LTS·Kernel6.638/53实验项目：配置基本的DNS服务器图12-9更改/etc/resolv.conf文件systemctlrestartnamed•最后，为了验证DNS服务器是否配置正确并能够正常工作，可以使用dig或nslookup命令进行测试，如图12-10所示。dig@localhost或者nslookuplocalhostopenEuler24.03LTS·Kernel6.640/53图12-10验证openEuler24.03LTS·Kernel6.641/53SECTION4科技创新：域名系统与国家主权4科技创新：域名系统与国家主权域名系统（DNS）作为互联网的基础架构之一，不仅承担着将域名解析为IP地址的重要功能，还与国家主权息息相关。在全球化的互联网环境中，域名系统的稳定与安全直接关系到国家的网络安全和信息主权。域名系统是国家信息主权的重要组成部分。随着互联网的普及，域名已成为国家在网络空间中的重要标识。国家通过管理本国域名，能够维护国家形象，保护本国网络用户的合法权益。同时，域名系统也是国家实施网络安全战略的关键环节，通过加强域名解析的监管，可以有效防范网络攻击和信息泄露等风险。域名系统与国家主权的关系体现在对关键信息基础设施的保护上。关键信息基础设施是国家经济运行、社会稳定和国家安全的重要保障。域名系统作为这些设施的基础支撑之一，其安全性和稳定性直接关系到国家关键信息基础设施的正常运行。因此，国家必须加强对域名系总的来说，域名系统与国家主权密不可分。为了确保国家网络安全和信息主权，各国必须加强域名系统的管理和保护，加强国际合作，共同应对互联网带来的挑战。openEuler24.03LTS·Kernel6.644/53练习题同时，广大网民也应提高网络安全意识，共同维护一个安全、稳定、繁荣的网络空间。练习题一、选择题•以下哪个过程确保了域名到IP地址的快速转换?（

）openEuler24.03LTS·Kernel6.645/53★重点第12章配置与管理DNS服务器★重点本章小结openEuler24.03LTS·Kernel6.646/53本章小结·核心知识回顾①本章介绍了DNS层级结构和查询过程，包括根DNS、顶级域名服务器、权威DNS服务器和本地DNS服务器的作用。②以及在openEuler系统中配置DNS服务器的步骤，包括安装BIND软件包、启动和检查DNS服务状态，详细说明了BIND主配置文件/etc/named.conf的结构和区域数据文件的配置。③最后，通过实验项目演示了配置DNS服务器的步骤，包括修改配置文件、创建区域文件、配置防火墙、更改/etc/resolv.conf文件和重启DNS服务，使用dig或nslookup命令验证DNS服务器配置是否正确。第12章配置与管理DNS服务器★重点本章小结openEuler24.03LTS·Kernel6.647/53本章小结·重点命令速查表分类命令作用/说明安装sudodnfinstallbind*-y安装BIND软件包启动sudosystemctlstartnamed启动DNS服务状态sudosystemctlstatusnamed检查DNS服务状态监听options{listen-onport53{...};}设置监听地址和端口配置vim/etc/named.conf编辑BIND主配置文件重启systemctlrestartnamed重启DNS服务验证dig@localhostdig验证域名解析验证nslookuplocalhostnslookup验证解析第12章配置与管理DNS服务器★重点本章小结openEuler24.03LTS·Kernel6.648/53本章小结·学习建议（5条）1.理解DNS层级根/顶级/权威/本地DNS服务器的角色与查询路径。2.掌握BIND安装dnfinstallbind*+systemctlstart/statusnamed。3.会配主配置/etc/named.conf的options/zone结构与区域数据文件。4.会用验证工具dig/nslookup检查域名解析结果是否正确。5.树牢主权意识域名系统安全关乎国家网络主权，管理与保护并重。练习题A.浏览器缓存B.DNS查询过程C.操作系统更新D.网络连接•DNS服务器返回的结果会缓存到哪里?（

）A.本地DNS服务器B.根DNS服务器C.浏览器D.路由器•BIND服务的主配置文件通常位于哪个目录?（

）A./etc/bind/B./var/named/C./etc/named.confD./usr/local/bind/•以下哪个目录通常用于存放BIND的区域数据文件?（

）A./etc/named/B./var/named/C./usr/local/named/D./opt/named/•在BIND配置文件中，哪个选项用于指定允许查询的客户端地址?（

）openEuler24.03LTS·Kernel6.649/53★重点练习题A.allow-updateB.allow-queryC.allow-transferD.allow-recursion•DN