5154

域名系统（DNS）是互联网的“电话簿”，它负责将人类易于记忆的域名（如www.example.com）翻译成机器能够识别的IP地址（如192.168.1.100），在Linux系统上搭建DNS服务器，不仅可以为内部网络提供高效的域名解析服务，还能加深对网络核心协议的理解，本文将以最广泛使用的BIND（Berkeley Internet Name Domain）软件为例,详细介绍在Linux系统上安装和配置DNS服务器的完整流程。

选择与安装BIND软件

BIND是业界标准，功能强大且稳定，适用于大多数场景，在不同的Linux发行版中,安装方式略有不同。

对于基于Debian或Ubuntu的系统，可以使用apt包管理器进行安装：

sudo apt update
sudo apt install bind9 bind9utils bind9-doc

对于基于RHEL、CentOS或Fedora的系统，则使用yum或dnf：

sudo dnf install bind bind-utils

安装完成后，BIND服务（通常名为named）的配置文件主要存放在/etc/bind/（Debian/Ubuntu）或/etc/named/（RHEL/CentOS）目录下。

核心配置文件解析

BIND的主配置文件是named.conf（或在Debian/Ubuntu下通过named.conf.local、named.conf.options等文件组织）,这个文件定义了DNS服务器的全局行为和它所管理的区域。

一个简化的主配置文件示例如下：

options {
    listen-on port 53 { any; }; // 监听所有网络接口的53端口
    listen-on-v6 port 53 { any; };
    directory       "/var/named";
    dump-file       "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    allow-query     { any; }; // 允许任何客户端查询
    recursion yes; // 允许递归查询，作为缓存DNS服务器
    forwarders {
        8.8.8.8; // 上游公共DNS服务器，用于转发无法解析的请求
        8.8.4.4;
    };
};
zone "example.lan" IN { // 定义一个正向解析区域
    type master;
    file "example.lan.zone"; // 指向区域数据文件
    allow-update { none; };
};
zone "1.168.192.in-addr.arpa" IN { // 定义一个反向解析区域
    type master;
    file "example.lan.rev"; // 指向反向解析数据文件
    allow-update { none; };
};

创建区域文件

区域文件是DNS数据的实际载体,包含了各种资源记录。

正向解析区域文件

创建/var/named/example.lan.zone文件（路径需与named.conf中定义的一致）,内容如下：

$TTL 86400
@   IN  SOA ns1.example.lan. admin.example.lan. (
        2025102701 ; Serial (序列号，每次修改后需递增)
        3600       ; Refresh (刷新时间)
        1800       ; Retry (重试时间)
        604800     ; Expire (过期时间)
        86400 )    ; Minimum TTL (最小缓存时间)
    IN  NS  ns1.example.lan.  ; 名称服务器记录
ns1 IN  A   192.168.1.10      ; A记录，将域名解析到IP
www IN  A   192.168.1.20
mail IN CNAME www.example.lan. ; CNAME记录，别名

反向解析区域文件

创建/var/named/example.lan.rev文件,用于IP到域名的反向查询：

$TTL 86400
@   IN  SOA ns1.example.lan. admin.example.lan. (
        2025102701
        3600
        1800
        604800
        86400 )
    IN  NS  ns1.example.lan.
10  IN  PTR ns1.example.lan.  ; PTR记录，将IP解析回域名
20  IN  PTR www.example.lan.

为了便于理解,以下是常见DNS记录类型的说明：

启动服务与防火墙设置

配置文件和区域文件准备就绪后,需要检查语法并启动服务。

# 检查主配置文件语法
sudo named-checkconf
# 检查区域文件语法
sudo named-checkzone example.lan /var/named/example.lan.zone
# 启动并设置开机自启
sudo systemctl start named
sudo systemctl enable named

确保防火墙允许DNS流量（TCP和UDP的53端口）：

# 对于firewalld (CentOS/RHEL)
sudo firewall-cmd --permanent --add-service=dns
sudo firewall-cmd --reload
# 对于ufw (Ubuntu/Debian)
sudo ufw allow 53/tcp
sudo ufw allow 53/udp
sudo ufw reload

至此，一个基本的DNS服务器已经搭建完成，网络中的其他设备只需将其DNS服务器地址指向这台Linux服务器的IP,即可开始使用自定义的域名解析服务。

相关问答FAQs

Q1: 我的DNS服务器配置好后，客户端无法解析域名，应该如何排查问题？

A: 排查DNS问题可以遵循以下步骤：

1. 检查服务状态：在服务器上运行 systemctl status named 或 journalctl -u named,确保服务正在运行且没有报错。
2. 检查防火墙：确认服务器的防火墙已放行TCP和UDP的53端口。
3. 检查配置语法：使用 named-checkconf 和 named-checkzone 再次验证所有配置文件和区域文件的语法是否正确。
4. 使用测试工具：在客户端或服务器上使用 dig 或 nslookup 进行测试。dig @192.168.1.10 www.example.lan，直接向你的DNS服务器查询，观察返回结果，如果服务器本身可以解析，但客户端不行,很可能是网络或防火墙问题。

Q2: BIND、Unbound和Dnsmasq这几种DNS软件有什么主要区别？我该如何选择？

A: 这三者的定位和功能侧重点不同：

• BIND (Berkeley Internet Name Domain): 功能最全面、最强大的DNS服务器软件，既可以作为权威域名服务器（直接管理域名数据），也可以作为递归/缓存解析器，适用于需要管理自定义域名的企业或组织,是互联网上许多根域名和顶级域服务器的选择。
• Unbound: 一个专注于安全、验证和缓存的递归解析器，它不包含权威服务功能，设计目标是作为客户端或本地网络的缓存DNS服务器,能很好地防止DNS污染和缓存投毒攻击。
• Dnsmasq: 一个轻量级的解决方案，集成了DNS缓存和DHCP服务器功能，非常适合用于家庭路由器、小型局域网或虚拟化环境（如Libvirt/KVM的默认网络），配置简单,资源消耗低。

选择建议：如果你需要为你的网络创建并管理自定义的域名（如internal.company.com），应选择BIND，如果你只需要一个快速、安全的本地缓存DNS服务器来提升上网速度和安全性，Unbound是很好的选择，如果你在为一个极小的网络（如家庭）或虚拟机环境寻找一个集DNS和DHCP于一体的简单工具，Dnsmasq是最佳选择。