Linux DNS 服务器配置详解 – wiki基地

作者： /

Linux DNS 服务器配置详解

DNS（Domain Name System，域名系统）服务器是将域名转换为 IP 地址的关键基础设施，它使得用户可以通过易于记忆的域名访问互联网资源，而无需记住复杂的 IP 地址。在 Linux 环境下搭建 DNS 服务器可以为局域网提供域名解析服务，提高网络访问速度和安全性，并提供更灵活的网络管理能力。本文将详细介绍 Linux DNS 服务器的配置过程，包括选型、安装、配置、测试以及常见问题处理，帮助你构建一个稳定可靠的 DNS 服务。

一、DNS 服务器选型

在 Linux 上有多种 DNS 服务器软件可供选择，最常见的包括：

  • BIND (Berkeley Internet Name Domain): 历史悠久、功能强大、应用广泛，被认为是行业标准。BIND 具有高度的灵活性和可配置性，支持各种高级特性，但配置相对复杂。

  • Dnsmasq: 轻量级、易于配置，适用于小型网络或家庭网络。Dnsmasq 集成了 DNS、DHCP 和 TFTP 服务，可以简化网络配置。

  • PowerDNS: 高性能、模块化设计，支持多种后端存储和协议。PowerDNS 具有良好的可扩展性，适合大型网络环境。

  • CoreDNS: 用 Go 语言编写，轻量级、可扩展性强，支持插件机制。CoreDNS 越来越受到欢迎，尤其是在容器化环境中。

本文将以 BIND (named) 作为示例，因为它功能强大且应用广泛。

二、安装 BIND

BIND 的安装方式取决于所使用的 Linux 发行版。

  • Debian/Ubuntu:

    bash
    sudo apt update
    sudo apt install bind9 bind9utils bind9-doc

  • CentOS/RHEL/Fedora:

    bash
    sudo yum install bind bind-utils bind-libs bind-devel bind-chroot

安装完成后，BIND 的主程序 named 会被安装到系统中。

三、配置 BIND

BIND 的配置文件主要包括：

  • /etc/named.conf (或 /etc/bind/named.conf): 主配置文件，定义了全局配置选项、区域（zone）声明以及其他重要配置。

  • /etc/named.conf.options (或 /etc/bind/named.conf.options): 定义了全局选项，例如监听地址、转发服务器等。

  • /etc/named.conf.local (或 /etc/bind/named.conf.local): 定义了本地区域，用于管理自己的域名。

  • /var/named/ (或 /etc/bind/zones/): 存储区域文件，包含域名与 IP 地址的映射关系。

3.1 配置全局选项 (/etc/named.conf.options)

打开 /etc/named.conf.options 文件，配置如下：

“`
options {
listen-on port 53 { 127.0.0.1; 你的服务器IP地址; }; // 监听的端口和 IP 地址
listen-on-v6 port 53 { ::1; }; // 监听 IPv6 地址

directory       "/var/named";  // 区域文件存储目录
dump-file       "/var/named/data/cache_dump.db";  // 缓存转储文件
statistics-file "/var/named/data/named_stats.txt";  // 统计信息文件
memstatistics-file "/var/named/data/named_mem_stats.txt"; // 内存统计信息文件

allow-transfer { none; };  // 禁止区域传送，防止信息泄露

recursion yes;  // 允许递归查询
allow-recursion { any; }; // 允许哪些 IP 地址进行递归查询 (根据实际情况修改，如局域网网段)

dnssec-enable yes;
dnssec-validation yes;

/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";

managed-keys-directory "/var/named/dynamic";

forwarders {
    8.8.8.8;    // Google DNS
    8.8.4.4;    // Google DNS
};

forward only; // 设置为 only 表示只使用 forwarders，不进行递归查询。

};
“`

重要说明：

  • 将 你的服务器IP地址 替换为实际的服务器 IP 地址。
  • allow-recursion 应该根据你的网络环境进行配置。any 允许所有 IP 地址进行递归查询，这在公共服务器上是不安全的。建议限制为你的局域网网段，例如 192.168.1.0/24;。
  • forwarders 定义了转发服务器，当本地 DNS 服务器无法解析域名时，会将请求转发到这些服务器。可以使用公共 DNS 服务器，如 Google DNS (8.8.8.8, 8.8.4.4) 或 Cloudflare DNS (1.1.1.1, 1.0.0.1)。
  • forward only; 配置选项表示 DNS 服务器只会将查询请求转发到 forwarders 中配置的 DNS 服务器，而不会尝试进行递归查询。这意味着 DNS 服务器完全依赖于转发服务器来解析域名。如果 forwarders 中的服务器无法访问或无法解析域名，则 DNS 服务器也无法解析。 如果移除该行或将其设置为 first;，则 DNS 服务器会首先尝试使用 forwarders，如果失败，则会尝试进行递归查询。

3.2 定义本地区域 (/etc/named.conf.local)

打开 /etc/named.conf.local 文件，定义你的域名区域。例如，假设你的域名是 example.com，局域网地址段是 192.168.1.0/24，配置如下：

“`
zone “example.com” IN {
type master;
file “db.example.com”;
allow-update { none; };
};

zone “1.168.192.in-addr.arpa” IN {
type master;
file “db.192.168.1”;
allow-update { none; };
};
“`

  • 第一个 zone 块定义了 example.com 的正向解析区域，用于将域名映射到 IP 地址。type master 表示这是一个主 DNS 服务器。file "db.example.com" 指定了区域文件的名称。
  • 第二个 zone 块定义了 1.168.192.in-addr.arpa 的反向解析区域，用于将 IP 地址映射到域名。file "db.192.168.1" 指定了反向解析区域文件的名称。

3.3 创建区域文件

在 /var/named/ 目录下创建正向解析区域文件 db.example.com，内容如下：

$TTL 86400
@ IN SOA ns1.example.com. admin.example.com. (
2023102701 ; Serial
3600 ; Refresh
1800 ; Retry
604800 ; Expire
86400 ) ; Minimum TTL
;
@ IN NS ns1.example.com.
ns1 IN A 192.168.1.10 ; DNS 服务器 IP 地址
www IN A 192.168.1.20 ; Web 服务器 IP 地址
mail IN A 192.168.1.30 ; 邮件服务器 IP 地址
router IN A 192.168.1.1 ; 路由器 IP 地址

  • $TTL 定义了默认的 TTL（Time To Live），即 DNS 记录在客户端缓存中的时间。
  • SOA 记录定义了区域的起始授权记录，包含主 DNS 服务器的域名、管理员邮箱和序列号等信息。
  • NS 记录定义了域名服务器。
  • A 记录定义了域名与 IP 地址的映射关系。

同样，在 /var/named/ 目录下创建反向解析区域文件 db.192.168.1，内容如下：

$TTL 86400
@ IN SOA ns1.example.com. admin.example.com. (
2023102701 ; Serial
3600 ; Refresh
1800 ; Retry
604800 ; Expire
86400 ) ; Minimum TTL
;
@ IN NS ns1.example.com.
10 IN PTR ns1.example.com. ; DNS 服务器
20 IN PTR www.example.com. ; Web 服务器
30 IN PTR mail.example.com. ; 邮件服务器
1 IN PTR router.example.com. ; 路由器

  • PTR 记录定义了 IP 地址与域名的映射关系。注意，IP 地址的顺序是反向的，例如 192.168.1.10 对应的 PTR 记录为 10.1.168.192.in-addr.arpa。

3.4 设置文件权限

确保区域文件的所有者和组是 named：

bash
sudo chown named:named /var/named/db.example.com
sudo chown named:named /var/named/db.192.168.1

四、启动 BIND 服务

完成配置后，启动 BIND 服务：

bash
sudo systemctl start named

检查 BIND 服务状态：

bash
sudo systemctl status named

确保服务正在运行并且没有错误。

五、测试 DNS 服务器

使用 nslookup 或 dig 命令测试 DNS 服务器是否正常工作。

  • 使用 nslookup:

    bash
    nslookup www.example.com
    nslookup 192.168.1.20

  • 使用 dig:

    bash
    dig www.example.com
    dig -x 192.168.1.20

如果 DNS 服务器配置正确，你应该能够看到域名和 IP 地址的映射关系。

六、配置客户端

要使用你配置的 DNS 服务器，需要在客户端上配置 DNS 服务器地址。

  • Linux: 修改 /etc/resolv.conf 文件，添加：

    nameserver 你的DNS服务器IP地址

    注意: /etc/resolv.conf 文件可能会被 NetworkManager 等网络管理工具覆盖，建议使用网络管理工具配置 DNS 服务器地址。

  • Windows: 在网络连接属性中，手动配置 DNS 服务器地址。

七、常见问题及解决方法

  • BIND 服务启动失败： 检查配置文件是否存在语法错误。可以使用 named-checkconf 命令检查配置文件语法。

    bash
    sudo named-checkconf /etc/named.conf

  • 无法解析域名： 检查区域文件是否配置正确，SOA 记录的序列号是否每次修改都递增。

  • 区域传送失败： 检查 allow-transfer 选项是否配置正确。

  • 客户端无法解析域名： 检查客户端 DNS 服务器地址是否配置正确，防火墙是否阻止了 DNS 请求。

  • DNSSEC 相关问题： 确保系统时间正确，并且安装了 bind-utils 和 dnssec-tools 包。可以使用 dnssec-keygen 生成密钥，并配置到区域文件中。

八、安全加固

  • 限制区域传送： 只允许授权的从服务器进行区域传送。
  • 使用 DNSSEC： 对 DNS 记录进行签名，防止 DNS 欺骗。
  • 定期更新 BIND： 及时安装安全补丁。
  • 使用 Chroot 环境： 将 BIND 运行在 Chroot 环境中，限制其访问的文件系统范围。 (很多发行版已经默认配置)

九、总结

配置 Linux DNS 服务器是一个涉及多个步骤的过程，需要仔细配置和测试。通过本文的详细指南，你应该能够成功地配置 BIND DNS 服务器，并为你的局域网提供域名解析服务。记住要根据你的实际网络环境进行配置，并定期检查和维护 DNS 服务器，以确保其稳定性和安全性。 随着技术的不断发展，各种新的 DNS 服务器软件和安全策略也会不断涌现，持续学习和实践是保持 DNS 服务器安全高效的关键。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部