5154

DNS（Domain Name System，域名系统）是互联网的核心服务之一，它负责将人类易于记忆的域名（如www.example.com）解析为机器能够识别的IP地址（如192.0.2.1），构建一个稳定、高效的DNS服务器是企业网络管理的基础，本文档将以BIND（Berkeley Internet Name Domain）为例，详细介绍在Linux环境下安装、配置和维护DNS服务器的完整流程。

准备工作

在开始安装之前,确保您的服务器环境满足以下基本条件：

• 服务器系统：推荐使用主流的Linux发行版，如CentOS Stream, Ubuntu Server或Debian。
• 静态IP地址：DNS服务器必须拥有一个固定的、静态的IP地址，以确保客户端能够稳定地访问，假设本服务器的IP地址为168.1.10。
• root权限：所有安装和配置操作都需要管理员权限。
• 网络连通性：服务器需要能够访问互联网以下载软件包，同时内部网络中的其他设备需要能够访问该服务器。

安装BIND软件

BIND是目前应用最广泛的DNS软件包,可以通过各发行版的包管理器轻松安装。

对于基于Debian/Ubuntu的系统，使用以下命令：

sudo apt update
sudo apt install bind9 bind9utils bind9-doc

对于基于RHEL/CentOS的系统，使用以下命令：

sudo dnf install bind bind-utils

安装完成后,BIND服务（通常名为named）会自动创建，但默认处于未运行状态。

核心配置文件详解

BIND的主要配置文件位于/etc/bind/（Debian/Ubuntu）或/etc/named/（RHEL/CentOS）目录下，核心配置文件包括：

• 主配置文件：named.conf 或 named.conf.options，用于设置全局参数，如监听端口、查询允许范围、转发器等。
• 区域配置文件：named.conf.local 或 named.conf.rfc1912.zones，用于定义DNS服务器所负责解析的域名“区域”。
• 区域数据文件：通常存放在/var/cache/bind/或/var/named/目录下，每个区域都有一个对应的数据文件，用于存储具体的域名与IP的映射记录。

创建正向与反向解析区域

我们将以创建一个名为internal.local的内部域为例，演示如何配置正向和反向解析。

定义区域

编辑区域配置文件（如 /etc/bind/named.conf.local），添加以下内容：

zone "internal.local" {
    type master;
    file "/etc/bind/db.internal.local";
    allow-update { none; };
};
zone "1.168.192.in-addr.arpa" {
    type master;
    file "/etc/bind/db.192.168.1";
    allow-update { none; };
};

这里定义了两个区域：一个是正向解析区域internal.local，另一个是反向解析区域168.192.in-addr.arpa（对应168.1.0网段）。

创建区域数据文件

创建对应的区域数据文件。

• 正向解析文件 (/etc/bind/db.internal.local)：

$TTL    86400
@       IN      SOA     ns.internal.local. admin.internal.local. (
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      ns.internal.local.
ns      IN      A       192.168.1.10
www     IN      A       192.168.1.20
mail    IN      A       192.168.1.30

• 反向解析文件 (/etc/bind/db.192.168.1)：

$TTL    86400
@       IN      SOA     ns.internal.local. admin.internal.local. (
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      ns.internal.local.
10      IN      PTR     ns.internal.local.
20      IN      PTR     www.internal.local.
30      IN      PTR     mail.internal.local.

在区域文件中,常见的记录类型如下表所示：

启动与验证服务

配置文件创建完毕后,需要检查其语法并启动服务。

1. 检查配置语法：

   sudo named-checkconf
   sudo named-checkzone internal.local /etc/bind/db.internal.local
   sudo named-checkzone 1.168.192.in-addr.arpa /etc/bind/db.192.168.1

   如果没有输出任何错误信息,表示配置正确。

2. 启动并启用服务：

   sudo systemctl start named
   sudo systemctl enable named

3. 验证解析： 使用dig或nslookup命令进行测试。

   # 测试正向解析
   dig www.internal.local @192.168.1.10
   # 测试反向解析
   dig -x 192.168.1.20 @192.168.1.10

   如果返回的答案与预期一致,说明DNS服务器已成功搭建。

安全加固与维护

• 防火墙设置：确保防火墙开放了DNS服务的53端口（TCP和UDP）。

  

  # firewalld
  sudo firewall-cmd --permanent --add-service=dns
  sudo firewall-cmd --reload
  # ufw
  sudo ufw allow 53

• 限制查询：在named.conf.options中，通过allow-query指令限制可以向该服务器发起查询的IP范围，防止被滥用。

• 日志监控：定期查看系统日志（如/var/log/syslog或journalctl -u named），监控DNS服务的运行状态和异常查询。

相关问答FAQs

Q1: 为什么我的DNS服务器可以解析内部域名，但无法解析互联网上的公共域名（如www.google.com）？

A: 这是因为您配置的DNS服务器目前只作为“权威服务器”，负责解析您自己定义的internal.local区域，它不知道如何解析其他公共域名，要解决这个问题，您需要在主配置文件（如/etc/bind/named.conf.options）中配置“转发器”，将外部查询请求转发到公共DNS服务器（如8.8.8或1.1.1）进行处理，配置示例如下：

options {
    // ... 其他配置 ...
    forwarders {
        8.8.8.8;
        1.1.1.1;
    };
};

配置完成后重启BIND服务即可。

Q2: 正向查找区域和反向查找区域有什么根本区别？

A: 它们的根本区别在于解析的方向和用途不同。

• 正向查找：是最常见的DNS查询类型，它的过程是“域名 -> IP地址”，当您在浏览器中输入www.example.com时，DNS服务器执行的就是正向查找，以找到该域名对应的服务器IP地址，其区域数据文件主要使用A（或AAAA）记录。
• 反向查找：过程正好相反，是“IP地址 -> 域名”，它主要用于网络诊断、安全审计和邮件服务器验证等场景，邮件服务器可能会执行反向查找，确认连接过来的IP地址确实对应一个合法的域名，以减少垃圾邮件，其区域数据文件主要使用PTR记录。