实现企业自建 DNS 服务

一、项目背景

为解决公司内网服务通过IP访问所带来的不便记忆、IP变化需全局通知等弊端，决定采用 BIND9 + LVS + Prometheus 技术栈，构建一套高性能、高可用的域名解析平台，为服务提供域名入口。

二、架构概览

虚拟机名称	hostname	OS	CPU	内存	磁盘	IP
北京主DNS服务器	bj-dns-master	Ubuntu 22.04	4U	8G	100G	172.16.0.223
北京从DNS服务器	bj-dns-slave	Ubuntu 22.04	4U	8G	100G	172.16.0.225

注意事项：

主从服务器需保持时间同步
主从 BIND9 版本需保持一致

三、安装 BIND9

在主从服务器下分别执行以下命令：

apt update

apt install bind9

四、配置 BIND9

主 DNS 服务器配置

1. 修改全局配置文件

这种配置下，内网域名由自己权威快速返回，外网域名通过转发到可靠公共 DNS 解析。方便内网机器直接使用这套 DNS 即可访问互联网域名。
在纯内网环境下，只需设置 recursion no; 明确关闭递归查询（只做权威解析），并删除 recursion、forwarders 配置段即可。

/etc/bind/named.conf.options

options {
    directory "/var/cache/bind";               // BIND的工作目录，用来存放缓存、zone文件副本、统计数据等

    // 只允许内网查询（防止外部用户滥用此DNS服务器）
    allow-query { 172.16.128.2; 172.16.0.0/18; localhost; };  // 只接受来自172.16网段和本机的查询请求，外网直接拒绝

    // 开启递归查询（允许服务器代替客户端去互联网上帮查域名）
    recursion yes;

    // 转发外部查询到公共 DNS（当需要递归查询外部域名时，不自己从根服务器开始查，而是直接转发给这些上游DNS）
    forwarders {
        223.5.5.5;  // 阿里公共DNS
        223.6.6.6;  // 阿里公共DNS备用地址
    };

    forward only;   // 只使用转发模式：如果forwarders都不可达，就直接返回失败，不尝试自己去根服务器递归

    // 隐藏版本信息等（防止攻击者通过版本号探测漏洞）
    version "not available";          // 查询版本时返回“不告诉你”，隐藏BIND版本
    hostname "none";                  // 查询hostname时不返回真实主机名
    server-id "none";                 // 查询server-id时也不返回，增强匿名性

    // 安全选项
    allow-transfer { none; };         // 全局禁止任何服务器拉取zone数据（实际在本地zone里单独允许Slave，更安全）
    minimal-responses yes;            // 回复时只给必要信息，不多给额外记录，减少信息泄露

    // DNSSEC
    dnssec-validation no;           // 关闭 DNSSEC 校验，以避免信任链断裂

    // 监听地址
    listen-on { any; };   // LVS DR 模式下，需监听所有IP，即包含 lo 接口，否则会导致 VIP 不可用
    listen-on-v6 { none; };  // 不监听在IPv6
};

// 开启统计通道，允许本机（Exporter）访问
statistics-channels {
    inet 127.0.0.1 port 8053 allow { 127.0.0.1; };
};

2. 配置本地 zone

/etc/bind/named.conf.local

// 内网正向解析
zone "internal.example.com" {
    type master;  // 类型为主节点
    file "/etc/bind/zones/db.internal.example.com";   // 区文件路径（自己创建目录）
    allow-transfer { 172.16.0.225; }; // 只允许指定 Slave 传输
    also-notify { 172.16.0.225; };    // 变更时主动通知 Slave
    notify yes;                       // 启用 notify
};

// 如果需要反向解析（如 192.168.1.x），可选添加
// zone "1.168.192.in-addr.arpa" {
//     type master;
//     file "/etc/bind/zones/db.192.168.1";
//     allow-transfer { 172.16.0.225; };
//     also-notify { 172.16.0.225; };
// };

3. 配置区域数据库

区域数据库由众多资源记录（Resource Record, RR）组成，每个域名对应一个区域数据库。

创建/etc/bind/zones目录后，编辑：

实践案例

实现企业自建 DNS 服务

一、项目背景

二、架构概览

三、安装 BIND9

四、配置 BIND9

主 DNS 服务器配置

1. 修改全局配置文件

2. 配置本地 zone

3. 配置区域数据库