DNS

BIND9 DNS

前言

Bekerley Internet Name Domain
由 ISC （www.isc.org）提供的DNS软件实现DNS域名结构
除 bind DNS 可以提供 DNS 功能外，powerdns、unbound 同样也可以提供 DNS 功能

bind DNS 相关端口

dns 使用的是 tcp 和 udp 的53端口
953是 rndc 管理使用的端口用不到这个端口的话关闭953端口也可以

BIND9 安装

# CentOS
yum -y install bind bind-utils

# Ubuntu
apt -y install bind9

BIND9 相关文件

Ubuntu

最常用的几个：

改配置基本只动 /etc/bind/named.conf.local 和 named.conf.options
自己加区域文件一般都放在 /etc/bind/zones/ 目录下（自己新建），然后在 named.conf.local 里 include
主程序是 /usr/sbin/named
运行数据都在 /var/cache/bind

# dpkg -L bind9
/etc/bind/named.conf                # BIND9 主配置文件，所有配置的入口
/etc/bind/named.conf.options        # 全局选项配置（如监听地址、递归、DNSSEC等）
/etc/bind/named.conf.local          # 用户自定义区域文件，通常放你自己添加的zone
/etc/bind/named.conf.default-zones  # Debian/Ubuntu 默认预定义的几个基本zone（如localhost、127.0.0.1）
/etc/bind/bind.keys                 # DNSSEC 信任锚（trust anchors），存放根区KSK公钥
/etc/bind/db.0                      # 根区提示文件（root hints），告诉BIND根服务器在哪里
/etc/bind/db.127                    # 127.0.0.1 反向解析区（localhost）
/etc/bind/db.local                  # 本地环回正向解析区（localhost -> 127.0.0.1）
/etc/bind/db.empty                  # 空区模板，经常用来做黑洞/空区
/etc/bind/db.255                    # 广播地址反向区（255.255.255.255）
/etc/bind/zones.rfc1918             # RFC1918 私有地址空区配置（10/172.16/192.168 返回NXDOMAIN，防泄漏）

/etc/default/named                  # Debian/Ubuntu 启动参数配置（如是否启用chroot、额外选项）

/usr/sbin/named                     # BIND9 主程序（DNS服务器守护进程）
/usr/sbin/ddns-confgen               # 生成动态更新用的TSIG密钥工具（替代tsig-keygen）
/usr/sbin/tsig-keygen               # 生成TSIG密钥工具（已软链接到ddns-confgen）

/usr/bin/named-rrchecker            # 检查资源记录语法是否正确的工具
/usr/bin/named-journalprint         # 打印journal文件内容（查看zone动态更新历史）
/usr/bin/named-nzd2nzf              # 把.nzd格式区文件转成普通zone格式
/usr/bin/arpaname                   # ARPA域名转punycode工具（很少用）
/usr/bin/nsec3hash                  # 生成NSEC3 hash工具（DNSSEC相关）
/usr/bin/dnssec-importkey           # 把DNSKEY导入trusted-keys格式的工具

/var/cache/bind                     # 默认工作目录，存放动态zone的.jnl文件、统计数据、缓存等

/lib/systemd/system/named.service   # systemd 服务单元文件（启动named）
/lib/systemd/system/named-resolvconf.service # 与resolvconf集成的小服务

/etc/apparmor.d/usr.sbin.named      # AppArmor 安全策略文件（限制named权限）

/usr/lib/x86_64-linux-gnu/bind/filter-a.so      # view/filter功能用的过滤模块（过滤A记录）
/usr/lib/x86_64-linux-gnu/bind/filter-aaaa.so   # 同上，过滤AAAA记录（IPv6）

/usr/share/doc/bind9/NEWS.Debian.gz          # Debian 特定版本的重要更新说明（必看）
/usr/share/doc/bind9/changelog.Debian.gz     # Debian 打包历史变更记录
/etc/ufw/applications.d/bind9       # UFW 防火墙预定义规则（方便一键开放53端口）

CentOS

# rpm -ql bind
...
/etc/named.conf #主配置文件
/usr/lib/systemd/system/named.service #主程序
/var/named/named.ca #根DNS服务器的地址
/var/named #主DNS数据库的存放路径(区域数据库)
...

BIND9 配置文件说明

区域数据库

/etc/bind/zones/db.internal.example.com文件：

DNS相关工具

host

DNS测试工具，Centos 来自 bind-utils 包；

syntax

host [选项] <域名> [DNS服务器]

option

-a # 显示详细的DNS记录，包括域名的所有记录类型。
-t <类型> # 指定查询的DNS记录类型。常见的类型包括：A（IPv4地址）、AAAA（IPv6地址）、CNAME（规范名）、MX（邮件交换记录）、NS（域名服务器记录）、PTR（反向解析记录）、TXT（文本记录）等。
-C # 显示完整的规范名（Canonical Name）链，包括所有CNAME记录。
-v # 显示详细的调试信息。
-4 # 仅使用IPv4地址。
-6 # 仅使用IPv6地址。

example

查询域名的A记录（IPv4地址）：

host example.com


# 测试是否能将域名解析为IP地址
# host xiangzheng.vip
xiangzheng.vip has address 8.140.166.135

查询域名的AAAA记录（IPv6地址）：

host -t AAAA example.com

查询域名的MX记录（邮件交换记录）：

host -t MX example.com

查询域名的CNAME记录（规范名）：

host -t CNAME www.example.com

查询域名的所有记录类型：

host -a example.com

指定特定的DNS服务器进行查询：

host example.com ns1.example-dns-server.com


# host demoapp-svc.test.svc.cluster.local 169.254.25.10
Using domain server:
Name: 169.254.25.10
Address: 169.254.25.10#53
Aliases: 

demoapp-svc.test.svc.cluster.local has address 10.233.4.255

dig

显示更详细的DNS测试工具，来自bind-utils包

syntax

dig [选项] <域名> [记录类型] [DNS服务器]

option

+trace # 显示DNS查询的路径，包括每一步的中间DNS服务器。
+short # 以简洁格式显示结果，只显示IP地址或记录的值。
+stats # 显示执行查询的统计信息，包括查询时间、传输时间、响应大小等。
+nofail # 即使查询失败也不终止，继续查询其他DNS服务器。
@<DNS服务器> # 指定查询使用的DNS服务器。

example

# 显示dns相关的详细信息
[root@DNS ~]# dig xiangzheng.vip

; <<>> DiG 9.11.26-RedHat-9.11.26-6.el8 <<>> xiangzheng.vip
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 48323
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; COOKIE: e637d014d318e73888c580e561bb0c0c22a2e3e30f462ad0 (good)
;; QUESTION SECTION:
;xiangzheng.vip.			IN	A

;; Query time: 0 msec
;; SERVER: 10.0.0.8#53(10.0.0.8)
;; WHEN: Thu Dec 16 17:51:08 CST 2021
;; MSG SIZE  rcvd: 71


# 测试140.205.41.21这个DNS服务器能否直接将xiangzheng.vip的IP解析出来，flags处显示aa表示可以，aa表示全为DNS服务器
dig xiangzheng.vip @140.205.41.21


# 查看域名或IP对应的邮件服务器地址
dig -t mx 邮件服务器的域名或IP


# 抓所有区域信息，但对已经安全加固的DNS服务器无效，@后面跟DNS服务器
dig -t axfr xiangzheng.org  @10.0.0.8

; <<>> DiG 9.11.26-RedHat-9.11.26-6.el8 <<>> -t axfr xiangzheng.org @10.0.0.18
;; global options: +cmd
xiangzheng.org.		86400	IN	SOA	ns1.xiangzheng.org. rootroot25.163.com. 20211218 3600 600 86400 10800
xiangzheng.org.		86400	IN	NS	ns1.xiangzheng.org.
xiangzheng.org.		86400	IN	NS	ns2.xiangzheng.org.
ns1.xiangzheng.org.	86400	IN	A	10.0.0.8
ns2.xiangzheng.org.	86400	IN	A	10.0.0.18
websrv.xiangzheng.org.	86400	IN	A	10.0.0.38
www.xiangzheng.org.	86400	IN	CNAME	websrv.xiangzheng.org.
xiangzheng.org.		86400	IN	SOA	ns1.xiangzheng.org. rootroot25.163.com. 20211218 3600 600 86400 10800
;; Query time: 2 msec
;; SERVER: 10.0.0.18#53(10.0.0.18)
;; WHEN: Sat Dec 18 05:33:15 CST 2021
;; XFR size: 8 records (messages 1, bytes 270)

查询域名的A记录（IPv4地址）：

dig example.com

查询域名的AAAA记录（IPv6地址）：

dig AAAA example.com

查询域名的MX记录（邮件交换记录）：

dig MX example.com

查询域名的CNAME记录（规范名）：

dig CNAME www.example.com

查询域名的所有记录类型：

dig ANY example.com

指定特定的DNS服务器进行查询：

dig example.com @8.8.8.8

使用+trace选项来跟踪DNS查询的路径：

dig +trace example.com

nslookup

nslookup是一个常用的DNS查询工具，用于获取域名的IP地址、解析域名、查看DNS缓存等。

syntax

nslookup [选项] <域名> [DNS服务器]

option

-type=<类型>    # 指定查询的DNS记录类型。常见的类型包括：A（IPv4地址）、AAAA（IPv6地址）、CNAME（规范名）、MX（邮件交换记录）、NS（域名服务器记录）、PTR（反向解析记录）、TXT（文本记录）等。

-query=<类型>   # 同-type选项，指定查询的DNS记录类型。

-timeout=<秒数> # 设置查询的超时时间。

-debug  # 显示详细的调试信息。

-vc     # 强制使用TCP协议进行查询。

example

查询域名的A记录（IPv4地址）：

nslookup example.com



# nslookup llinux.cn
Server:		127.0.0.53
Address:	127.0.0.53#53

Non-authoritative answer:
Name:	llinux.cn
Address: 8.140.166.135

查询域名的AAAA记录（IPv6地址）：

nslookup -type=AAAA example.com

查询域名的MX记录（邮件交换记录）：

nslookup -type=MX example.com

查询域名的CNAME记录（规范名）：

nslookup -type=CNAME www.example.com

查询域名的NS记录（域名服务器记录）：

nslookup -type=NS example.com

查询域名的PTR记录（反向解析记录）：

nslookup -type=PTR 192.0.2.1

指定特定的DNS服务器进行查询：

nslookup example.com 8.8.8.8


# nslookup demoapp-svc.test.svc.cluster.local 169.254.25.10
Server:		169.254.25.10
Address:	169.254.25.10#53

Name:	demoapp-svc.test.svc.cluster.local
Address: 10.233.4.255

resolvectl

resolvectl命令是用于管理和配置系统的DNS解析设置的工具，它是systemd网络管理工具集的一部分。resolvectl提供了一种方便的方式来查看和修改系统的DNS解析器配置。

syntax

resolvectl [选项] [命令]

option

status  # 显示当前的DNS解析器配置和状态信息。
list    # 列出系统中可用的DNS解析器配置文件。
set-dns <接口> <DNS服务器>   # 为指定接口设置DNS服务器。
set-domain <接口> <域名>    # 为指定接口设置搜索域名。
set-link <接口> <配置文件>   # 为指定接口设置DNS解析器配置文件。
revert <接口>  # 恢复指定接口的DNS解析器配置为默认设置。

example

需要开启 systemd-resolved 服务才能使用，Ubuntu中此服务以默认开启

# resolvectl query llinux.cn
llinux.cn: 8.140.166.135                       -- link: eth0

-- Information acquired via protocol DNS in 253.4ms.
-- Data is authenticated: no

显示当前的DNS解析器配置和状态信息：

resolvectl status

列出系统中可用的DNS解析器配置文件：

resolvectl list

为指定接口设置DNS服务器：

resolvectl set-dns eth0 8.8.8.8 8.8.4.4

为指定接口设置搜索域名：

resolvectl set-domain eth0 example.com

为指定接口设置DNS解析器配置文件：

resolvectl set-link eth0 myconfig

恢复指定接口的DNS解析器配置为默认设置：

resolvectl revert eth0

DNS资源记录说明

资源记录前言

区域解析库：由众多RR组成（资源记录：Resource Record, RR）
记录类型：SOA、NS、MX、A、AAAA、PTR、CNAME、TXT

资源记录格式说明

注意事项

一个DNS区域数据库最少由三部分组成：SOA记录、NS记录、NS对应的A记录
TTL可从全局继承
配置域名要以.结尾，否则还会继续补域名
使用 “@” 符号可用于引用当前区域的名字
同一个名字可以通过多条记录定义多个不同的值；此时DNS服务器会以轮询方式响应
同一个值也可能有多个不同的定义名字；通过多个不同的名字指向同一个值进行定义；此仅表示通过多个不同的名字可以找到同一个主机

语法（格式）

name     [TTL]    IN   rr_type    value


#说明：
name    # 解析的域名，如：www.xiangzheng.com.（最后一定要填. 表示结束符 否则会将当前域名在往后补一遍）
TTL     # 用户将记录缓存多久，可选，不写将从全局继承，如：86400（表示一天 秒为单位）
IN      # 固定值 照填就可以 表示internet
rr_type # 资源记录类型，如SOA、NS、A...
value   # 域名对应的IP地址（如果是CNAME记录，则只能添加域名）

SOA

Start Of Authority，起始授权记录

注意事项

一个区域解析库有且仅能有一个 SOA 记录
SOA 必须位于解析库的第一条记录

包含内容

当前区域的主DNS服务器的FQDN，也可以使用当前区域的名字
当前区域管理员的邮箱地址（但地址中不能使用@符号，一般用.替换，例如：mail.xiangzheng.com）
主从服务区域传输相关定义以及否定的答案的统一的TTL

SOA 配置范例

name: 当前区域的名字，例如“xiangzheng.com.”
value: 有多部分组成

$TTL 600 # 全局配置，解析数据在dns服务器的缓存时间，缓存有效期10分钟；首行写一个TTL变量的话 那么下面的TTL可省略不写 将都使用这个值，不写单位即表示以秒为单位，也可以写成 1D 表示一天


# xiangzheng.com. 表示当前的域名，可省略成 @（因为已经在配置文件中添加了域名），@就表示本域
# IN为默认值，照填（表示internet）
# SOA 表示 SOA记录
# ns1 表示主DNS服务器，ns1来维护这个DNS服务（其实完整写法是ns1.xiangzheng.com. 因为本身就在这个域当中 会自动补 所以可以省略写成ns1，还需要写配套的A记录来指明ns1的IP地址）
# rootroot25.163.com. 表示当前区域管理员的邮箱地址；但地址中不能使用@符号，一般用.替换
xiangzheng.com.   IN    SOA    ns1    rootroot25.163.com. (
            2015042201 ; #DNS数据库的版本编号，后续数据库内容发生更新 则此序列号也必须要更新（因为从dns服务器是根据此序列号的变化来判断是否此主dns服务器发生了数据更新）
            1H ; #向主dns服务器拉取数据的时间间隔，一小时
            10M ; #如果一小时后拉取失败后的重试时间，每十分钟尝试一次
            1D ; #过期时间，拉取数据和尝试重新拉取数据都失败后 过多久认为从服务器失效
            12H ; #否定答案的TTL值，访问失败的记录 放在缓存中的有效时长（防止无效的记录多次去网络上查找而浪费资源）
            )

#ns1对应的NS记录，@表示当前域名 即xiangzheng.com，ns1表示ns1.xiangzheng.com
@      NS   ns1

# ns1对应的A记录，需要有对应的A记录来指向对应的 dns-server 的地址
ns1    IN    A    10.0.0.8

NS

将子域名指定其它DNS服务器解析

注意事项

相邻的两个资源记录的name相同时，后续的可省略
对NS记录而言，任何一个ns记录后面的服务器名字，都应该在后续有一个A记录
一个区域可以有多个NS记录

NS 配置范例

name: 当前区域的名字
value: 当前区域的某DNS服务器的名字，例如ns.xiangzheng.com.

$TTL 600

xiangzheng.com.   IN    SOA    ns1    rootroot25.163.com. (
            2015042201 ;
            1H ;
            10M ;
            1D ;
            12H ;
            )

# xiangzheng.com. 对应的NS记录；
# @表示当前域名 即xiangzheng.com.
# ns1 表示 ns1.xiangzheng.com，即 ns 服务器对应的主机名
@      IN    NS   ns1 #完整写法：xiangzheng.com.   IN   NS   ns1.xiangzheng.com.
@      IN    NS   ns2 #备用 dns-server（从dns）

# ns主机 对应的A记录；
# 即 ns 服务器对应的 dns-server 的地址
ns1    IN    A    10.0.0.8
ns2    IN    A    10.0.0.103 #备用 dns-server（从dns）

MX

Mail eXchanger，邮件交换器
将域名指向邮件服务器的地址

注意事项

一个区域内，MX记录可有多个；但每个记录的value之前应该有一个数字(0-99)，表示此服务器的优先级；数字越小优先级越高
对MX记录而言，任何一个MX记录后面的服务器名字，都应该在后续有一个A记录

MX 配置范例

name: 当前区域的名字（可以写为@，@表示本域）
value: 当前区域的某邮件服务器(smtp服务器)的主机名

xiangzheng.com. IN     MX    10    mx1.xiangzheng.com.
                IN     MX    20    mx2.xiangzheng.com.
mx1             IN     A          10.0.0.110   
mx2             IN     A          10.0.0.120

A

将域名指向一个ipv4地址，FQDN –> IP

注意事项

避免用户写错名称时给错误答案，可通过泛域名解析进行解析至某特定地址

A 配置范例

name: 某主机的FQDN，例如：www.xiangzheng.com.
value: 主机名对应主机的IP地址

www.xiangzheng.com.         IN   A   1.1.1.1
www.xiangzheng.com.         IN   A   2.2.2.2
mx1.xiangzheng.com.         IN   A   3.3.3.3
mx2.xiangzheng.com.         IN   A   4.4.4.4
*.xiangzheng.com.           IN   A   5.5.5.5
xiangzheng.com.             IN   A   6.6.6.6
$GENERATE 1-254 HOST$       IN   A   1.2.3.$


#以上内容如果都在 xiangzheng.com. 这个域的话可以简写成以下形式
www         IN   A   1.1.1.1
www         IN   A   2.2.2.2
mx1         IN   A   3.3.3.3
mx2         IN   A   4.4.4.4
*           IN   A   5.5.5.5
@           IN   A   6.6.6.6

AAAA

将域名指向一个ipv6地址，FQDN –> IPv6

AAAA 配置范例

假设解析 www.xiangzheng.com 这个域名对应的IPv6地址为 fe80::216:3eff:fe34:a8cc

www   86400   IN   AAAA   fe80::216:3eff:fe34:a8cc

PTR

PoinTeR，将IP解析成域名，IP –> FQDN

注意事项

网络地址及后缀可省略；主机地址依然需要反着写

PTR 配置范例

name: IP，有特定格式，把IP地址反过来写，1.2.3.4，要写作4.3.2.1；还有特定后缀：in-addr.arpa.，所以完整写法为：4.3.2.1.in-addr.arpa.
value: FQDN

4.3.2.1.in-addr.arpa. IN PTR www.xiangzheng.com.


#如1.2.3为网络地址，可简写成：
4 IN PTR www.xiangzheng.com.

CNAME

别名记录，通常大网站涉及到CDN时使用