# DNS 服務簡介

## DNS 簡介 
DNS（Domain Name System）即域名系統。

網際網路中計算機之間如何進行通訊、資料怎麼走、走向哪裡等等，這些都需要根據 IP 地址來指引。再如客戶端訪問伺服器時，客戶端必須知道伺服器的 IP 地址才能將資料正確地傳送過去。IP 地址的重要性顯而易見。

我們知道 IP 地址都是由 32 位的二進位制陣列成的，為了便於人們記憶，出現了十進位制的表示方法，如 192.168.0.1。但是人們對長串數字的記憶太困難了，更何況將來的 IPV6 ( 128 位 ) 時代，要記憶這些 IP 地址根本是不可能的，所以出現了更便於人記憶的域名來替代 IP 的記憶，如：www.didiyun.com 。

計算機只需要將域名和 IP 轉換，就可以透過域名來訪問其他的計算機。其中域名和 IP 轉換工作就是 DNS 完成的，由於 DNS 極其重要，所以 DNS 在計算機網路中擁有不可缺少的地位。

本文將簡單介紹如何使用 BIND（Berkeley Internet Name Domain）軟體在[滴滴雲](https://blog.didiyun.com) VPC 內的 CentOS 雲伺服器來構建內網 DNS 服務。

BIND 是美國加利福尼亞大學伯克利分校開發的一個開源的 DNS 伺服器，已經成為了 DNS 協議實現的事實上的標準。BIND 的服務端軟體是被稱作 named 的守護程式。

## 主機名和域名的區別？

- **主機名**是內網的名字
- **域名**是外網的名字

主機名和域名其實是兩個完全可以不同的名字，但是有很多軟體（如郵件系統 Postfix）會預設為它們一致。

全世界共有 13 臺 DNS 根域伺服器。

**頂級域名：**

|  .com  |  .org | .edu  |   .gov |  .net  |   .mil   |  .info  |
| ------------ | ------------ | ------------ | ------------ | ------------ | ------------ | ------------ |
|  商業 |  組織  |  教育 |  政府 | 通訊  |  軍事 | 資訊  |

**根域：**

- cn      hk      us     jp     tw     in
- .com.cn      .net.us    .edu.cn

## DNS 伺服器特點

* 分散式的資料庫
* 解決了資料不一致，避免了名字衝突
* 有快取機制，提高了效能和可靠性

## 域名解析過程
1. 為了將一個名字解析成一個 IP 地址，使用者應用程式呼叫一個稱為解析器的庫程式，將名字作為引數傳遞給它，形成 DNS 使用者。
2. DNS 使用者傳送查詢請求給本地域名伺服器，伺服器首先在其管轄區域內查詢名字，名字找到後把對應的 IP 地址返回給 DNS 客戶。

# 系統環境準備

配置伺服器主機名：
``` shell
[dc2-user@10-254-227-137 ~]$ sudo vim /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6

127.0.0.1 10-254-227-137
127.0.0.1 didicloud.com
10.254.227.137 didicloud.com -- 新增DNS伺服器IP地址和主機名/別名
```
關閉防火牆。由於[滴滴雲](https://blog.didiyun.com) DC2 伺服器預設帶有安全組防護，所以伺服器內部 Linux 防火牆 firewalld 服務預設是關閉的，不需要額外操作。

# 搭建 CentOS 下的 DNS 服務
## 在 DNS 伺服器上安裝 BIND 軟體
使用 yum 安裝 BIND：
``` shell
sudo yum -y install bind*
```

安裝完畢後，檢視軟體包：
``` shell
[dc2-user@didicloud ~]$ rpm -qa | grep ^bind
bind-libs-9.9.4-51.el7_4.2.x86_64
bind-libs-lite-9.9.4-51.el7_4.2.x86_64
bind-sdb-9.9.4-51.el7_4.2.x86_64
bind-sdb-chroot-9.9.4-51.el7_4.2.x86_64
bind-dyndb-ldap-11.1-4.el7.x86_64
bind-license-9.9.4-51.el7_4.2.noarch
bind-utils-9.9.4-51.el7_4.2.x86_64              #提供了對DNS伺服器的測試工具程式（如nslookup、dig等）
bind-9.9.4-51.el7_4.2.x86_64                    #提供了域名服務的主要程式及相關檔案
bindfs-1.13.10-1.el7.x86_64
bind-pkcs11-utils-9.9.4-51.el7_4.2.x86_64
bind-pkcs11-9.9.4-51.el7_4.2.x86_64
bind-chroot-9.9.4-51.el7_4.2.x86_64             #為bind提供一個偽裝的根目錄以增強安全性（將“/var/named/chroot/”目錄作為BIND的根目錄）
bind-devel-9.9.4-51.el7_4.2.x86_64
bind-pkcs11-libs-9.9.4-51.el7_4.2.x86_64
bind-pkcs11-devel-9.9.4-51.el7_4.2.x86_64
bind-lite-devel-9.9.4-51.el7_4.2.x86_64
[dc2-user@didicloud ~]$ 
```
## 啟動 DNS 服務
``` shell
[dc2-user@didicloud ~]$ sudo systemctl start named.service      #啟動DNS服務
[dc2-user@didicloud ~]$ sudo systemctl enable named.service     #設定為開機啟動
Created symlink from /etc/systemd/system/multi-user.target.wants/named.service to /usr/lib/systemd/system/named.service.
```

服務啟動完畢，檢視監聽埠 53 是否都起來了：
``` shell
[dc2-user@didicloud ~]$ sudo  netstat -anlp | grep named 
tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      2625/named          
tcp        0      0 127.0.0.1:953           0.0.0.0:*               LISTEN      2625/named          
tcp6       0      0 ::1:53                  :::*                    LISTEN      2625/named          
tcp6       0      0 ::1:953                 :::*                    LISTEN      2625/named          
udp        0      0 127.0.0.1:53            0.0.0.0:*                           2625/named          
udp6       0      0 ::1:53                  :::*                                2625/named          
unix  2      [ ]         DGRAM                    20330    2625/named           
[dc2-user@didicloud ~]$ 
```
named 預設監聽 TCP、UDP 協議的 53 埠，以及 TCP 的 953 埠。

- UDP 53 埠一般對所有客戶機開放，以提供解析服務
- TCP 53 埠一般只對特定從域名伺服器開放，提高解析記錄傳輸通道
- TCP 953 埠預設只對本機（127.0.0.1）開放，用於為 rndc 遠端管理工具提供控制通道

named 配置檔案的路徑：

1. 沒有安裝 bind-chroot 軟體包
   * 配置檔案為 `/etc/named.conf`
   * 資料檔案在 `/var/named` 目錄下
2. 安裝了 bind-chroot 軟體包
   * 配置檔案為 `/var/named/chroot/etc/named.conf`，`#` 預設不存在，需要建立
   * 資料檔案在 `/var/named/chroot/var/named` 目錄

## 檢視 named 服務的配置檔案
``` shell
options {	// options是全域性伺服器的配置選項，在這裡指定的引數，對配置中的任何區域都有效
	listen-on port 53 { 127.0.0.1; };	// 指定域名服務監聽的網路埠，建議寫本機IP，減少伺服器消耗
	listen-on-v6 port 53 { ::1; };
	directory 	"/var/named";		//  指定named從/var/named目錄下讀取DNS資料檔案
	dump-file 	"/var/named/data/cache_dump.db";	// 當執行匯出命令時將DNS伺服器的快取資料儲存到指定的檔案中
	statistics-file "/var/named/data/named_stats.txt";
	memstatistics-file "/var/named/data/named_mem_stats.txt";
	allow-query     { localhost; };		// 允許哪些客戶端訪問DNS服務，此處改為“any”，表示任意主機

recursion yes;				// 開啟遞迴查詢

dnssec-enable yes;			// 開啟加密
	dnssec-validation yes;			// 在遞迴查詢伺服器上開啟DNSSEC驗證

/* Path to ISC DLV key */
	bindkeys-file "/etc/named.iscdlv.key";

managed-keys-directory "/var/named/dynamic";

pid-file "/run/named/named.pid";
	session-keyfile "/run/named/session.key";
};

logging {					// named服務的日誌檔案資訊
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};

//  每一個zone就是定義一個域的相關資訊以及指定了named服務從哪些檔案中獲得DNS各個域名的資料檔案
zone "." IN {					// 根(.)域的配置及資訊
	type hint;				// 伺服器型別
	file "named.ca";			// 檔案路徑位置
};

include "/etc/named.rfc1912.zones";		// include代表該檔案是子配置檔案
include "/etc/named.root.key";

```

## 正向解析（將域名解析為 IP 地址）
### 修改 DNS 服務配置檔案
``` shell
sudo vim  /etc/named.conf                    # 主配置檔案
options {
	listen-on port 53 { 10.254.91.106; };   # 將127.0.0.1改成本機IP地址
	listen-on-v6 port 53 { ::1; };
	directory 	"/var/named";
	dump-file 	"/var/named/data/cache_dump.db";
	statistics-file "/var/named/data/named_stats.txt";
	memstatistics-file "/var/named/data/named_mem_stats.txt";
	allow-query     { any; };               # 將localhost改成any

```
### 新增域的資訊寫在子配置檔案
``` shell
 sudo vim /etc/named.rfc1912.zones 
```

在配置檔案末尾新增如下的配置項：
```
zone "didicloud.com" IN {
	type master;
	file "data/didicloud.com.zone";
};
```
### 編輯正向解析檔案
``` shell
sudo vim /var/named/data/didicloud.com.zone
```
新增如下的 DNS 解析記錄：
```
$TTL    86400
@               IN SOA  tom jerry (
					20171224      	; serial
     					3H              ; refresh
                                        15M             ; retry
                                        1W              ; expiry
                                        1D )            ; minimum
               IN NS            ns.didicloud.com.            ; notice : don't forget the dot in the end
               IN MX 10         mail.didicloud.com.
www             IN A            10.254.91.106
ns              IN A            10.254.91.106
mail            IN A            10.254.91.106
ftp             IN CNAME        www
```
配置項解釋：

* serial：序列號。可以供從伺服器判斷何時獲取新資料的，這裡我設成今天的日期。更新資料檔案必須要更新這個序列號，否則從伺服器將不更新
* refresh：指定多長時間從伺服器要與主伺服器進行核對
* retry：如果從伺服器試圖檢查主伺服器的序列號時，主伺服器沒有響應，則經過這個時間後將重新進行檢查
* expire：將決定從伺服器在沒有主伺服器的情況下權威地持續提供域資料服務的時間長短
* minimum：快取記憶體否定回答的存活時間
* SOA記錄：每個區僅有一個SOA記錄，該區一直延伸到遇見另一個SOA記錄為止。SOA記錄包括區的名字，一個技術聯絡人和各種不同的超時值
* IN記錄：使用“IN”，對應的是internet
* A記錄：是DNS資料庫的核心。一個主機必須為它的每個網路介面得到一條A記錄
* NS記錄：識別對一個區有權威性的伺服器（即所有主伺服器和從伺服器），並把子域委託給其他機構。
* MX記錄：電子郵件系統就是使用MX記錄來更有效的路由郵件。
* PTR記錄：從IP地址到主機名的反向對映。與A記錄一樣，必須為每個網路介面有一條PTR記錄。

### 客戶端測試
修改客戶端DNS NameServer 配置：
``` shell
sudo vim /etc/resolv.conf 
```

在首行新增如下配置：
```
nameserver 10.254.91.106
```
測試 ping 域名：
``` shell
[dc2-user@10-254-91-106 ~]$ ping www.didicloud.com
PING www.didicloud.com (10.254.91.106) 56(84) bytes of data.
64 bytes from 10-254-91-106 (10.254.91.106): icmp_seq=1 ttl=64 time=0.012 ms
64 bytes from 10-254-91-106 (10.254.91.106): icmp_seq=2 ttl=64 time=0.023 ms
64 bytes from 10-254-91-106 (10.254.91.106): icmp_seq=3 ttl=64 time=0.025 ms
64 bytes from 10-254-91-106 (10.254.91.106): icmp_seq=4 ttl=64 time=0.022 ms
^C
```

在滴滴雲 VPC 內搭建內網 DNS 服務

相關文章