从零开始：利用 BIND 构建和管理您的 DNS 服务器

1 媒介

        在这篇文章中，我将具体先容怎样利用 BIND（Berkeley Internet Name Domain）软件包中的 named 步调来设置和管理一个根本的 DNS 服务器。
        从安装 BIND 开始，到设置 DNS 地域文件，再到运行和测试您的服务器，我会一步步引导您完成整个过程。
        这里我们来演示一下，怎样设置一个自界说域名如：fenglm.yy
2 BIND 和 named 简介

2.1 BIND 的作用

        BIND 是互联网上利用最广泛的 DNS 软件之一，它负责将域名转换为 IP 地点。
2.2 named 的脚色

        在 BIND 中，named 是一个保卫历程，负责处置处罚全部的 DNS 哀求。
3 安装 BIND

        这里我利用的是Rocky9.3操纵体系来给各人做一个实操演示，我们先来实行下面这个下令来安装bind👇

1. sudo dnf install bind bind-utils

复制代码

验证是否安装乐成👇

1. named -v

复制代码

安装乐成表现图

3.1 设置文件先容

        安装完成后，会天生一些bind干系的文件，这里我们必要关注的有两个目次下的文件
        （1）/etc/named.conf
        （2）/var/named
3.1.1 named.conf设置文件

        我们来通过sudo vim /etc/named.conf 下令检察一下这个设置文件，如下图所示👇

设置文件剖析👇

1. # 监听设置
2. options {
3.     # 监听IPv4地址127.0.0.1上的53端口，这是DNS服务的标准端口。
4.     listen-on port 53 { 127.0.0.1; };
6.     # 监听IPv6地址::1（即IPv6的本地回环地址）上的53端口。
7.     listen-on-v6 port 53 { ::1; };
9.     # 指定存放区域文件和其他相关文件的目录。
10.     directory "/var/named";
12.     # 指定DNS缓存转储文件的位置。
13.     dump-file "/var/named/data/cache_dump.db";
15.     # 指定统计数据文件的存放位置。
16.     statistics-file "/var/named/data/named_stats.txt";
18.     # 指定内存统计数据文件的存放位置。
19.     memstatistics-file "/var/named/data/named_mem_stats.txt";
21.     # 指定安全根文件的存放位置。
22.     secroots-file "/var/named/data/named.secroots";
24.     # 指定递归查询数据文件的存放位置。
25.     recursing-file "/var/named/data/named.recursing";
27.     # 允许从localhost发起查询。
28.     allow-query { localhost; };
30.     # 关于服务器类型的说明。这里启用了递归查询，适用于递归或缓存DNS服务器。
31.     recursion yes;
33.     # 启用DNSSEC验证。
34.     dnssec-validation yes;
36.     # 指定动态密钥文件的存放目录。
37.     managed-keys-directory "/var/named/dynamic";
39.     # 指定GeoIP数据库文件的存放目录。
40.     geoip-directory "/usr/share/GeoIP";
42.     # 指定named进程PID文件的存放位置。
43.     pid-file "/run/named/named.pid";
45.     # 指定会话密钥文件的存放位置。
46.     session-keyfile "/run/named/session.key";
48.     # 引入加密策略配置文件。
49.     include "/etc/crypto-policies/back-ends/bind.config";
50. };
52. # 日志设置
53. logging {
54.     # 定义一个日志通道
55.     channel default_debug {
56.         file "data/named.run"; # 日志文件位置
57.         severity dynamic; # 动态日志级别
58.     };
59. };
61. # 根区配置
62. zone "." IN {
63.     type hint; # 类型为“hint”，意味着这是根域的提示。
64.     file "named.ca"; # 指向根域的文件。
65. };
67. # 引入其他配置文件
68. include "/etc/named.rfc1912.zones"; # RFC1912推荐的区域文件。
69. include "/etc/named.root.key"; # 根密钥文件，用于DNSSEC。

复制代码

3.1.2 /var/named目次文件

/var/named目次文件剖析

1. 目录结构解析：
3. - data
4.   - 用途：存储BIND运行时生成的数据，如DNS查询日志和统计信息。
6. - dynamic
7.   - 用途：存放动态DNS更新的记录，用于DDNS服务。
9. - named.ca
10.   - 用途：根提示文件，包含根DNS服务器地址，用于互联网DNS解析。
12. - named.empty
13.   - 用途：空的DNS区域文件，用于特殊配置。
15. - named.localhost
16.   - 用途：定义`localhost`的DNS记录，包含本地回环地址。
18. - named.loopback
19.   - 用途：用于定义回环地址的DNS区域，通常用于DNS服务器内部查询。
21. - slaves
22.   - 用途：存放从主DNS服务器同步的区域文件，用于备份或辅助解析。

复制代码

4 开始设置named

   这个文件是 named 的主设置文件。它界说了服务器的运行参数，如监听的 IP 地点、日志文件位置等。
4.1 新增0.168.192.db

        在/var/named目次下新增0.168.192.db文件，设置如下👇

2. $ORIGIN 0.168.192.in-addr.arpa.
3. $TTL 86400
4. @       IN      SOA     dns1.fenglm.yy.     hostmaster.fenglm.yy. (
5.                         2001062501 ; serial
6.                         21600      ; refresh after 6 hours
7.                         3600       ; retry after 1 hour
8.                         604800     ; expire after 1 week
9.                         86400 )    ; minimum TTL of 1 day
11. @       IN      NS      dns1.fenglm.yy.
12. 163     IN      PTR     dns1.fenglm.yy.
14. 163     IN      PTR    nginx.fenglm.yy.

复制代码

4.2 新增fenglm.yy.db

1. $ORIGIN fenglm.yy.
2. $TTL 86400
3. @       IN      SOA     dns1.fenglm.yy.     hostmaster.fenglm.yy. (
4.                         2001062501 ; serial
5.                         21600      ; refresh after 6 hours
6.                         3600       ; retry after 1 hour
7.                         604800     ; expire after 1 week
8.                         86400 )    ; minimum TTL of 1 day
10.         IN      NS      dns1.fenglm.yy.
11.         IN      NS      dns2.fenglm.yy.
13. @       IN      A       192.168.0.163
14. dns1    IN      A       192.168.0.163
15. dns2    IN      A       192.168.0.163
17. nginx   IN     A       192.168.0.163
19. www     IN      CNAME   nginx

复制代码

4.3 修改named.conf

        修改后如下图所示

与原文件相比，我们紧张改动了以下内容👇

1. listen-on port 53 {any;};
3. allow-query     { any; };
5. listen-on-v6 { none; };
7. dnssec-validation no;
9. zone "fenglm.yy" IN {
10.         type master;
11.         file "fenglm.yy.db";
12.         allow-update { none;};
13. };
15. zone ".168.192.in-addr.arpa" IN {
16.         type master;
17.         file "0.168.192.db";
18.         allow-update { none; };
19. };

复制代码

        为了方便看到测试效果，我给各人安装个nginx演示一下，如允许以更直观查验实操效果。
这里我用的是docker-compose来安装nginx的，比力方便快捷，核心安装设置脚本如下👇
（1）docker-compose

1. version: "3"
2. services:
3.   nginx:
4.     image: nginx
5.     volumes:
6.       - ./nginx:/etc/nginx/templates
7.       - ./nginx/html:/usr/share/nginx/html
8.     ports:
9.       - 80:80
10.     environment:
11.       - NGINX_HOST=fenglm.yy
12.       - NGINX_PORT=80
13.     restart: always

复制代码

（2）nginx设置文件

1. ##
2. # You should look at the following URL's in order to grasp a solid understanding
3. # of Nginx configuration files in order to fully unleash the power of Nginx.
4. # https://www.nginx.com/resources/wiki/start/
5. # https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/
6. # https://wiki.debian.org/Nginx/DirectoryStructure
7. #
8. # In most cases, administrators will remove this file from sites-enabled/ and
9. # leave it as reference inside of sites-available where it will continue to be
10. # updated by the nginx packaging team.
11. #
12. # This file will automatically load configuration files provided by other
13. # applications, such as Drupal or Wordpress. These applications will be made
14. # available underneath a path with that package name, such as /drupal8.
15. #
16. # Please see /usr/share/doc/nginx-doc/examples/ for more detailed examples.
17. ##
19. # Default server configuration
20. #
21. server {
22.         listen 80;
23.         listen [::]:80;
25.         # SSL configuration
26.         #
27.         # listen 443 ssl default_server;
28.         # listen [::]:443 ssl default_server;
29.         #
30.         # Note: You should disable gzip for SSL traffic.
31.         # See: https://bugs.debian.org/773332
32.         #
33.         # Read up on ssl_ciphers to ensure a secure configuration.
34.         # See: https://bugs.debian.org/765782
35.         #
36.         # Self signed certs generated by the ssl-cert package
37.         # Don't use them in a production server!
38.         #
39.         # include snippets/snakeoil.conf;
41.         server_name nginx.fenglm.yy;
43.         location / {
44.                 proxy_set_header X-Forwarded-Host $host;
45.                 proxy_set_header X-Forwarded-Server $host;
46.                 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
47.                 proxy_pass http://nginx:80;
48.                 client_max_body_size 50M;
49.         }
51.         # pass PHP scripts to FastCGI server
52.         #
53.         #location ~ \.php$ {
54.         #        include snippets/fastcgi-php.conf;
55.         #
56.         #        # With php-fpm (or other unix sockets):
57.         #        fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
58.         #        # With php-cgi (or other tcp sockets):
59.         #        fastcgi_pass 127.0.0.1:9000;
60.         #}
62.         # deny access to .htaccess files, if Apache's document root
63.         # concurs with nginx's one
64.         #
65.         #location ~ /\.ht {
66.         #        deny all;
67.         #}
68. }
70. # Virtual Host configuration for example.com
71. #
72. # You can move that to a different file under sites-available/ and symlink that
73. # to sites-enabled/ to enable it.
74. #
75. #server {
76. #        listen 80;
77. #        listen [::]:80;
78. #
79. #        server_name example.com;
80. #
81. #        root /var/www/example.com;
82. #        index index.html;
83. #
84. #        location / {
85. #                try_files $uri $uri/ =404;
86. #        }
87. #}

复制代码

        那么核心设置文件有了，如果会利用docker-compose的话，信托安装也是肯定没有题目的，这里就不多做阐明白。
安装完成后的效果如下图👇 

然后我们向html目次中放一张图片66.png，以便一会我们来做效果演示
预备工作都做完了，接下来我们还要举行最关键的一步，那就是运行和测试named啦~_~
5 运行和测试named

5.1 启动named服务

1. sudo systemctl start named.service

复制代码

        上图演示一下启动后如果报错了该怎样检察错误日志，这里我们看到错误日志中表现的紧张题目是：_default/0.168.192.in-addr.arpa/IN: permission denied
5.1.1 排错1：查抄地域文件的准确性

1. named-checkzone 0.168.192.in-addr.arpa 0.168.192.db

复制代码

5.1.2 排错2：查抄named主设置文件的准确性

1. named-checkconf /etc/named.conf

复制代码

5.1.3 排错3：从文件权限入手

        通过上图我们发现文件的全部者是flmtest用户，而不是named，意料题目大概是出在这里，现在我们来更改一下文件的全部者，实行如下下令

1. sudo chown named:named /var/named/0.168.192.db
2. sudo chown named:named /var/named/fenglm.yy.db

复制代码

        确保named用户对该文件具有读权限。通常，地域文件的保举权限是640（即全部者有读写权限，组有读权限），可以利用chmod下令设置👇

1. sudo chmod 640 /var/named/0.168.192.db
2. sudo chmod 640 /var/named/fenglm.yy.db

复制代码

5.1.4 排错4：查抄SELinux状态

        如果上面的方法都办理不了题目，那么这一步将是你办理报错题目的关键步调，我们可以暂时关闭SELinux看看是否可办理题目

如上图所示，果然是SElinux的题目

        之前的文章中我有提到，SELinux 是一个强盛的安全工具，它可以防止很多范例的弊端和攻击，因此，不发起永世禁用 SELinux，以是这里我就来演示一下不关闭SELinux的环境下我们要怎么去办理这个报错题目。
        我们也可以通过下面下令检察SELinux日志来确认SELinux是否确实是导致权限题目的缘故原由

1. sudo ausearch -m avc -c named | audit2why

复制代码

        如果SELinux确实是导致题目的缘故原由，我们必要更新受影响文件的SELinux上下文，以便named服务可以大概访问它们，可以利用semanage为文件添加准确的上下文规则👇

1. sudo semanage fcontext -a -t named_zone_t "/var/named/fenglm.yy.db"

复制代码

        然后，利用restorecon应用这些更改👇

1. sudo restorecon -v /var/named/fenglm.yy.db

复制代码

        再重新运行一下named服务，这时我们发现题目已包办理了✌

测试一下我们DNS服务器设置的域名是否剖析乐成👇

1. sudo dig @localhost nginx.fenglm.yy

复制代码

剖析乐成啦

        好，那接下来我们利用该域名访问一下我们之前上传的66.png图片，起首我们要先在客户端呆板上设置一下DNS，如下图所示👇

然后我们用cmd下令验证一下，发现如下题目👇

        这时我们必要查抄一下我们的防火墙，如果防火墙正处于开启状态，则必要确保防火墙规则允许 DNS 流量，由于DNS 利用的是 UDP 和 TCP 协议的 53 端口，咱放开53端口👇

1. firewall-cmd --zone=public --add-port=53/tcp --permanent
2. firewall-cmd --zone=public --add-port=53/udp --permanent

复制代码

重载防火墙设置，以更改收效👇

1. firewall-cmd --reload

复制代码

        然后我们再来测试一下，发现没有题目了，这个时间我们就可以利用我们设置好的自界说域名来访问我们nginx中预先放置好的66.png图片了

题目全部办理✌

5.2 欣赏器访问检察运行效果

5.2.1 IP直接访问👇

http://192.168.0.163/66.png

 5.2.2 通过自界说域名访问👇

http://nginx.fenglm.yy/66.png

        也可以如许http://www.fenglm.yy/66.png访问哦✌，由于我们做了干系的设置，忘了的小同伴可以往上翻，看看我们之前设置文件中是咋配的！

---

        至此，我们已经对 BIND 和 named 的底子用法做了细致的叙述。这些内容应当充足作为各人的入门学习参考。随着我在这个范畴不停深入研究，我渴望在未来可以大概探索并分享 BIND 的更多高级特性。敬请各人一连关注，更多出色内容即将出现！