5154

在Linux上搭建DNS服务器

准备工作

1. 系统要求：确保有一台运行Linux操作系统的计算机，并具备管理员权限。
2. 选择DNS软件：常用的有BIND（Berkeley Internet Name Domain）和dnsmasq等，BIND功能强大，适用于各种规模网络；dnsmasq轻量级，适合小型网络或个人用户。
3. 了解基本概念：熟悉域名系统（DNS）、正向解析（域名到IP地址）、反向解析（IP地址到域名）等基本概念。

安装DNS服务器软件

（一）安装BIND

1. 基于Debian/Ubuntu系统
   • 更新软件包列表：sudo aptget update
   • 安装BIND：sudo aptget install bind9
2. 基于CentOS/Fedora系统
   • 使用yum安装：sudo yum install bind
   • 或者使用dnf（如果系统支持）：sudo dnf install bind

（二）安装dnsmasq（可选）

1. 基于Debian/Ubuntu系统：sudo aptget install dnsmasq
2. 基于CentOS/Fedora系统：sudo yum install dnsmasq

配置BIND DNS服务器

（一）编辑主配置文件

1. 文件位置：通常为/etc/bind/named.conf（Debian/Ubuntu）或/etc/named.conf（CentOS/Fedora）。
2. 设置监听地址和端口
   • 示例（允许任何地址访问）：

     options {
         listenon port 53 { any; };
         directory       "/var/named";
         dumpfile       "/var/named/data/cache_dump.db";
         statisticsfile "/var/named/data/named_stats.txt";
         memstatisticsfile "/var/named/data/named_mem_stats.txt";
         recursingfile  "/var/named/data/named.recursing";
         secrootsfile   "/var/named/data/named.secroots";
         allowquery     { any; };
     };

   • 可根据需要限制访问地址,例如只允许特定子网访问：

     allowquery { 192.168.1.0/24; };

（二）配置区域文件

1. 正向解析区域文件
   • 创建区域文件：在/etc/bind/zones/（需手动创建该目录）或/var/named/目录下创建，例如db.example.com。
   • 示例：

     $TTL 1d
     @       IN      SOA     ns1.example.com. admin.example.com. (
                             2023101001      ; serial
                             1H              ; refresh
                             1H              ; retry
                             1W              ; expire
                             1D )            ; minimum TTL
             IN      NS      ns1.example.com.
             IN      NS      ns2.example.com.
     ns1     IN      A       192.168.1.10
     ns2     IN      A       192.168.1.20
     www     IN      CNAME   example.com.
     mail    IN      A       192.168.1.30

   • 在主配置文件中声明区域：

     zone "example.com" {
         type master;
         file "/etc/bind/zones/db.example.com";
     };

2. 反向解析区域文件
   • 创建区域文件：例如db.192.168.1。
   • 示例：

     $TTL 1d
     @       IN      SOA     ns1.example.com. admin.example.com. (
                             2023101001      ; serial
                             1H              ; refresh
                             1H              ; retry
                             1W              ; expire
                             1D )            ; minimum TTL
             IN      NS      ns1.example.com.
     10      IN      PTR     ns1.example.com.
     20      IN      PTR     ns2.example.com.
     30      IN      PTR     mail.example.com.

   • 在主配置文件中声明区域：

     zone "1.168.192.inaddr.arpa" {
         type master;
         file "/etc/bind/zones/db.192.168.1";
     };

（三）设置访问控制列表（ACL）

1. 定义ACL：在主配置文件中添加，例如允许特定子网查询：

   acl "trusted" {
       192.168.1.0/24;
   };

2. 应用ACL：在options部分设置允许查询的地址：

   options {
       allowquery { trusted; };
   };

启动与测试DNS服务器

（一）启动服务

1. 基于Systemd的系统：
   • 启动服务：sudo systemctl start bind9（Debian/Ubuntu）或sudo systemctl start named（CentOS/Fedora）。
   • 设置开机自启：sudo systemctl enable bind9或sudo systemctl enable named。
2. 较旧系统使用service命令：
   • 启动服务：sudo service bind9 start或sudo service named start。
   • 设置开机自启：sudo chkconfig bind9 on或sudo chkconfig named on。

（二）测试DNS解析

1. 使用nslookup：
   • 查询域名：nslookup example.com 192.168.1.10（假设DNS服务器IP为192.168.1.10）。
   • 查询反向解析：nslookup 192.168.1.10。
2. 使用dig命令：
   • 查询域名：dig example.com。
   • 指定服务器查询：dig @192.168.1.10 example.com。

配置防火墙与网络设置

（一）防火墙设置

1. 关闭防火墙（不推荐）：sudo service iptables stop（CentOS/Fedora），sudo ufw disable（Debian/Ubuntu）。
2. 开放DNS端口：在防火墙配置中允许UDP和TCP的53端口通过，例如使用iptables：

   sudo iptables A INPUT p udp dport 53 j ACCEPT
   sudo iptables A INPUT p tcp dport 53 j ACCEPT
   sudo iptables A INPUT p tcp dport 953 j ACCEPT # 用于BIND的区域传输

3. 保存防火墙规则：根据系统不同，使用相应命令保存规则，如sudo service iptables save（CentOS/Fedora）。

（二）网络设置

1. 配置网卡DNS：将DNS服务器的IP地址设置为本机IP，以便其他设备可以使用该DNS服务器进行解析，例如在CentOS/Fedora中编辑/etc/sysconfig/networkscripts/ifcfgens192文件，添加：

   DNS1=192.168.1.10

2. 重启网络服务：sudo systemctl restart network（CentOS/Fedora），sudo /etc/init.d/networking restart（Debian/Ubuntu）。

搭建主从DNS服务器（可选）

（一）主服务器配置

1. 允许区域传输：在区域配置文件中设置allowtransfer选项，例如允许从服务器IP进行传输：

   zone "example.com" {
       type master;
       file "/etc/bind/zones/db.example.com";
       allowtransfer { 192.168.1.20; }; # 从服务器IP
   };

（二）从服务器配置

1. 安装BIND：同主服务器安装步骤。
2. 配置主配置文件：声明区域类型为slave，并指定主服务器地址和区域文件路径。

   zone "example.com" {
       type slave;
       file "/etc/bind/zones/db.example.com";
       masters { 192.168.1.10; }; # 主服务器IP
   };

3. 启动服务：同主服务器启动步骤。

维护与管理DNS服务器

（一）定期更新区域文件

1. 更新serial号：每次修改区域文件后，需递增serial号，格式为年月日+序号，例如2023101002。
2. 添加或修改记录：根据网络变化及时更新A记录、CNAME记录等。

（二）监控DNS服务状态

1. 查看日志文件：BIND默认日志文件通常位于/var/log/messages或/var/log/syslog，可查看日志了解服务器运行状态和错误信息。
2. 使用systemctl查看服务状态：sudo systemctl status bind9或sudo systemctl status named。

（三）安全加固

1. 限制访问权限：通过ACL严格控制允许查询和区域传输的IP地址范围。
2. 防止DNS放大攻击：合理配置递归查询和缓存大小，避免成为攻击跳板。

扩展应用

（一）DNS缓存与负载均衡

1. 缓存解析：配置BIND的递归查询功能，缓存上游DNS服务器的解析结果，减轻网络负担，在options部分设置recursion yes;。
2. 负载均衡：通过配置多个A记录或使用DNS轮询（Round Robin）实现流量分发，提高服务的可用性和性能，例如为同一域名配置多个IP地址：

   www     IN      A       192.168.1.10
   www     IN      A       192.168.1.20

（二）DNSSEC配置（可选）

1. 作用：增加DNS查询的安全性，防止DNS欺骗和缓存投毒攻击。
2. 配置步骤：生成密钥对，签署区域和记录，配置相关选项，具体操作较为复杂，可参考BIND官方文档。

相关问题与解答

（一）问题1：如何更改DNS服务器的监听地址？

1. 解答：在BIND的主配置文件named.conf的options部分，修改listenon选项，例如只监听在特定IP地址上：

   listenon port 53 { 192.168.1.10; };

   如果是IPv6地址,可设置listenonv6选项，修改配置后，需重启BIND服务使更改生效，要确保防火墙允许该IP地址的53端口通过。

   

（二）问题2：为什么DNS解析有时会出现延迟或失败？

1. 解答：可能原因如下：
   • 网络连接问题：检查DNS服务器与其他设备之间的网络连通性，确保网络正常，可以使用ping命令测试网络连接。
   • 防火墙阻止：确认防火墙是否允许DNS相关的端口（UDP 53和TCP 53）的流量通过，如果防火墙配置不正确，会导致外部设备无法访问DNS服务器。
   • 配置错误：检查区域文件和主配置文件中的语法是否正确，特别是记录的格式和serial号的设置，错误的配置可能导致解析失败或异常。
   • 递归查询问题：如果DNS服务器设置了递归查询，但上游DNS服务器响应缓慢或不可用，会影响解析速度，可以检查forwarders配置是否正确，或者尝试更换上游DNS服务器。
   • 资源不足：如果DNS服务器负载过高，内存或CPU资源不足，可能会导致解析延迟或失败，可以通过监控服务器资源使用情况，优化配置或升级硬件来解决