如何在 CentOS 7 上将 BIND 配置为专用网络 DNS 服务器

介绍

管理服务器配置和基础设施的一个重要部分包括,通过建立一个适当的域名系统(DNS),维持一种按名称查找网络接口和IP地址的简单方式. 使用完全合格的域名(FQDNs),而不是IP地址来指定网络地址来方便服务和应用程序的配置,并增加配置文件的可维护性. 为您的私人网络设置自己的DNS是改善您服务器管理的好方法.

在本教程中,我们将讨论如何设置内部DNS服务器,使用CentOS 7上的BIND名称服务器软件(BIND9)可以被您的虚拟私人服务器(VPS)使用来解决私人主机名称和私人IP地址。

此教程的Ubuntu版本可以找到(https://andsky.com/tech/tutorials/how-to-configure-bind-as-a-private-network-dns-server-on-ubuntu-14-04)。

前提条件

要完成本教程,您将需要以下内容:

  • 某些服务器在同一个数据中心运行,并具有 私人网络启用
  • 作为主要DNS服务器的新VPS, ns1
  • 可选: 新VPS作为次要DNS服务器, ns2
  • 根访问上述所有(步骤1-4在这里)

如果您对 DNS 概念不熟悉,建议您至少阅读我们的 介绍 DNS 管理的前三部分。

客人的例子

例如,为目的,我们将假设如下:

  • 我们有两个现有的VPS称为host1和host2
  • 两个VPS都存在于nyc3 datacenter
  • 两个VPS都启用了私人网络(并且在10.128.0.0/16子网上)
  • 两个VPS都与我们在example.com 上运行的Web应用程序有某种关系

基于这些假设,我们决定使用使用使用nyc3.example.com来参考我们的私人子网或区域的命名计划是有道理的,因此, host1 的私人完全合格域名(FQDN)将是host1.nyc3.example.com。

主机 主机 主机 主机 主机 主机 主机 主机 主机 主机 主机 主机

** 注意:** 您的现有设置将有所不同,但示例名称和 IP 地址将用于展示如何配置 DNS 服务器以提供运行的内部 DNS. 您应该能够通过将主机名称和私人 IP 地址替换为自己的环境轻松调整此设置。

我们的目标

到本教程结束时,我们将有一个主要的DNS服务器 ns1,并可选地提供一个次要的DNS服务器 ns2,该服务器将作为备份。

以下是示例名称和IP地址的表:

主机 主机 主机 主机 主机 主机 主机 主机 主机 主机 主机 主机 主机

让我们通过安装我们的主要DNS服务器, ns1开始。

在 DNS 服务器上安装 BIND

** 注意:** 红色突出的文本很重要! 它通常会被用来表示需要用自己的设置更换的东西,或者它应该被修改或添加到配置文件中。 例如,如果您看到 host1.nyc3.example.com 这样的东西,请用您自己的服务器的 FQDN 更换它。

在 DNS 服务器 ns1 和 ns2 上,安装 BIND 与 yum:

1sudo yum install bind bind-utils

通过输入y来确认快递。

现在BIND已安装,让我们配置主DNS服务器。

配置主 DNS 服务器

BIND 的配置由多个文件组成,这些文件是由主配置文件 named.conf 包含的. 这些文件名以 "named" 开始,因为这是 BIND 运行的过程的名称。

连接配置

BIND 的过程被称为 named. 因此,许多文件指的是named而不是BIND。

在 ns1 上,打开 named.conf 文件以编辑:

1sudo vi /etc/named.conf

在现有的选项块上,创建一个名为可信的新ACL块,在此我们将定义我们将允许复发性DNS查询的客户端列表(即位于与ns1相同的数据中心的服务器)。

1[label /etc/named.conf — 1 of 4]
2acl "trusted" {
3        10.128.10.11;    # ns1 - can be set to localhost
4        10.128.20.12;    # ns2
5        10.128.100.101;  # host1
6        10.128.200.102;  # host2
7};

现在我们有信任的 DNS 客户端列表,我们将想要编辑选项块,将 ns1 的私人 IP 地址添加到倾听端口 53指令中,并评论倾听端口 v6行:

1[label /etc/named.conf — 2 of 4]
2options {
3        listen-on port 53 { 127.0.0.1; 10.128.10.11; };
4#        listen-on-v6 port 53 { ::1; };
5...

在这些条目下方,将允许转移指令从没有更改为 ns2的私人 IP 地址,并将允许查询指令从本地托管更改为可信:

1[label /etc/named.conf — 3 of 4]
2...
3options {
4...
5        allow-transfer { 10.128.20.12; };      # disable zone transfers by default
6...
7        allow-query { trusted; };  # allows queries from "trusted" clients
8...

在文件的末尾,添加以下行:

1[label /etc/named.conf — 4 of 4]
2include "/etc/named/named.conf.local";

现在保存并退出 named.conf. 上面的配置规定,只有你自己的服务器(值得信赖的服务器)才能查询你的DNS服务器。

接下来,我们将配置本地文件,以指定我们的DNS区域。

配置本地文件

在 ns1 上,打开 named.conf.local 文件以编辑:

1sudo vi /etc/named/named.conf.local

文件应该是空的. 在这里,我们将指定我们的前进和反向区域。

添加以下行前区域(将区域名称替换为您自己的):

1[label /etc/named/named.conf.local — 1 of 2]
2zone "nyc3.example.com" {
3    type master;
4    file "/etc/named/zones/db.nyc3.example.com"; # zone file path
5};

假设我们的私人子网是 10.128.0.0/16,请用以下行添加反向区域(请注意,我们的反向区域名称以128.10开始,这是10.128的十字节逆转):

1[label /etc/named/named.conf.local — 2 of 2]
2zone "128.10.in-addr.arpa" {
3    type master;
4    file "/etc/named/zones/db.10.128";  # 10.128.0.0/16 subnet
5    };

如果您的服务器覆盖多个私人子网,但位于同一个数据中心,请确保为每个单独的子网指定一个额外的区域和区域文件。

现在,我们的区域已在BIND中指定,我们需要创建相应的向前和反向区域文件。

创建前方区域文件

例如,当 DNS 收到一个名称查询,host1.nyc3.example.com时,它将查看前进区域文件以解决 host1 的相应私人 IP 地址。

根据我们的 named.conf.local 配置,该位置应该是 /etc/named/zones:

1sudo chmod 755 /etc/named
2sudo mkdir /etc/named/zones

现在让我们编辑我们的前进区域文件:

1sudo vi /etc/named/zones/db.nyc3.example.com

首先,你要添加 SOA 记录. 用自己的 FQDN 替换突出的 ns1 FQDN,然后用自己的域名替换第二个 nyc3.example.com。 每次你编辑一个区域文件,你应该在重新启动命名过程之前增加 serial 值 - 我们会将其增加到3。 它应该看起来像这样:

1[label /etc/named/zones/db.nyc3.example.com — 1 of 3]
2@       IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
3                              3         ; Serial
4    		 604800		; Refresh
5    		  86400		; Retry
6    		2419200		; Expire
7    		 604800 )	; Negative Cache TTL

之后,用以下行添加您的名称服务器记录(用自己的名称替换)。

1[label /etc/named/zones/db.nyc3.example.com — 2 of 3]
2; name servers - NS records
3    IN NS ns1.nyc3.example.com.
4    IN NS ns2.nyc3.example.com.

然后为属于这个区域的主机添加A记录,这包括我们希望以 ".nyc3.example.com"(取代名称和私人IP地址)结束名称的任何服务器。使用我们的示例名称和私人IP地址,我们将为 ns1, ns2, _host1_和 _host2_添加A记录,如下:

1[label /etc/named/zones/db.nyc3.example.com — 3 of 3]
2; name servers - A records
3ns1.nyc3.example.com. IN A 10.128.10.11
4ns2.nyc3.example.com. IN A 10.128.20.12
5
6; 10.128.0.0/16 - A records
7host1.nyc3.example.com. IN A 10.128.100.101
8host2.nyc3.example.com. IN A 10.128.200.102

保存并退出「db.nyc3.example.com」文件。

我们的最终示例前进区域文件看起来如下:

 1[label /etc/named/zones/db.nyc3.example.com — complete]
 2$TTL 604800
 3@       IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
 4    		      3		; Serial
 5    		 604800		; Refresh
 6    		  86400		; Retry
 7    		2419200		; Expire
 8    		 604800 )	; Negative Cache TTL
 9;
10; name servers - NS records
11     IN NS ns1.nyc3.example.com.
12     IN NS ns2.nyc3.example.com.
13
14; name servers - A records
15ns1.nyc3.example.com. IN A 10.128.10.11
16ns2.nyc3.example.com. IN A 10.128.20.12
17
18; 10.128.0.0/16 - A records
19host1.nyc3.example.com. IN A 10.128.100.101
20host2.nyc3.example.com. IN A 10.128.200.102

现在让我们转到反向区域文件(s)。

创建反向区域文件(s)

也就是说,当DNS通过IP地址接收一个查询时,例如10.128.100.101,它将查看反向区域文件(s)以解决相应的FQDN,host1.nyc3.example.com在这种情况下。

在 ns1 上,在named.conf.local文件中指定的每个反向区域,创建一个反向区域文件。

编辑与named.conf.local中定义的反向区域(s)相匹配的反向区域文件:

1sudo vi /etc/named/zones/db.10.128

就像前进区域文件一样,用自己的 FQDN 替换突出的 ns1 FQDN,然后用自己的域名替换第二个 nyc3.example.com。每次你编辑一个区域文件,你应该在重新启动命名过程之前增加 serial 值 - 我们会将其增加到3。它应该看起来像这样:

1[label /etc/named/zones/db.10.128 — 1 of 3]
2@       IN SOA ns1.nyc3.example.com. admin.nyc3.example.com. (
3                              3         ; Serial
4                         604800         ; Refresh
5                          86400         ; Retry
6                        2419200         ; Expire
7                         604800 )       ; Negative Cache TTL

之后,用以下行添加您的名称服务器记录(用自己的名称替换)。

1[label /etc/named/zones/db.10.128 — 2 of 3]
2; name servers - NS records
3      IN NS ns1.nyc3.example.com.
4      IN NS ns2.nyc3.example.com.

然后为您的所有服务器添加PTR记录,其IP地址位于您正在编辑的区域文件的子网上。在我们的示例中,这包括我们的所有主机,因为它们都在 10.128.0.0/16 子网上。 请注意,第一个列由您服务器的私人 IP 地址的最后两个八分之一组成,以相反的顺序。 请确保取代名称和私人 IP 地址以匹配您的服务器:

1[label /etc/named/zones/db.10.128 — 3 of 3]
2; PTR Records
311.10 IN PTR ns1.nyc3.example.com.    ; 10.128.10.11
412.20 IN PTR ns2.nyc3.example.com.    ; 10.128.20.12
5101.100 IN PTR host1.nyc3.example.com.  ; 10.128.100.101
6102.200 IN PTR host2.nyc3.example.com.  ; 10.128.200.102

保存并退出反向区域文件(如果需要添加更多反向区域文件,请重复此部分)。

我们的最终示例反向区域文件看起来如下:

 1[label /etc/named/zones/db.10.128 — complete]
 2$TTL 604800
 3@       IN SOA nyc3.example.com. admin.nyc3.example.com. (
 4                              3         ; Serial
 5                         604800         ; Refresh
 6                          86400         ; Retry
 7                        2419200         ; Expire
 8                         604800 )       ; Negative Cache TTL
 9; name servers
10      IN NS ns1.nyc3.example.com.
11      IN NS ns2.nyc3.example.com.
12
13; PTR Records
1411.10 IN PTR ns1.nyc3.example.com.    ; 10.128.10.11
1512.20 IN PTR ns2.nyc3.example.com.    ; 10.128.20.12
16101.100 IN PTR host1.nyc3.example.com.  ; 10.128.100.101
17102.200 IN PTR host2.nyc3.example.com.  ; 10.128.200.102

查看 BIND 配置语法

运行以下命令来检查 named.conf* 文件的语法:

1sudo named-checkconf

如果您的命名配置文件没有语法错误,您将返回您的壳提示,并且不会看到任何错误消息. 如果您的配置文件存在问题,请查看错误消息和 配置主 DNS 服务器部分,然后再试试 named-checkconf。

可以使用「named-checkzone」命令來檢查您的區域檔案的正確性,其第一個論點指定區域名稱,第二個論點指定相應的區域檔案,這兩個論點都定義在「named.conf.local」。

例如,要检查nyc3.example.com前进区域配置,请运行以下命令(更改名称以匹配前进区域和文件):

1sudo named-checkzone nyc3.example.com /etc/named/zones/db.nyc3.example.com

并且要检查128.10.in-addr.arpa逆区配置,请执行以下命令(更改数字以匹配您的逆区和文件):

1sudo named-checkzone 128.10.in-addr.arpa /etc/named/zones/db.10.128

当所有配置和区域文件都没有错误时,您应该准备重新启动 BIND 服务。

开始绑定

开始绑定:

1sudo systemctl start named

现在你将要启用它,所以它将开始启动:

1sudo systemctl enable named

您的主要 DNS 服务器现在已设置并准备好响应 DNS 查询,让我们继续创建次要 DNS 服务器。

配置二级DNS服务器

在大多数环境中,创建一台辅助DNS服务器是很好的想法,如果主服务器变得不可用,它将响应请求。

在 ns2 上,编辑 named.conf 文件:

1sudo vi /etc/named.conf

<$>[注] 注: 如果您更喜欢跳过这些指令,您可以复制 ns1 的 named.conf 文件,并修改它以聆听 ns2 的私人 IP 地址,而不允许传输

在现有的选项块上,创建一个名为可信的新ACL块,在此我们将定义我们将允许复发性DNS查询的客户端列表(即位于与ns1相同的数据中心的服务器)。

1[label /etc/named.conf — 1 of 4]
2acl "trusted" {
3        10.128.10.11;    # ns1 - can be set to localhost
4        10.128.20.12;    # ns2
5        10.128.100.101;  # host1
6        10.128.200.102;  # host2
7};

现在我们有信任的 DNS 客户端列表,我们将想要编辑选项块,将 ns1 的私人 IP 地址添加到倾听端口 53指令中,并评论倾听端口 v6行:

1[label /etc/named.conf — 2 of 4]
2options {
3        listen-on port 53 { 127.0.0.1; 10.128.20.12; };
4#        listen-on-v6 port 53 { ::1; };
5...

将允许查询指令从本地主机更改为可信:

1[label /etc/named.conf — 3 of 4]
2...
3options {
4...
5        allow-query { trusted; }; # allows queries from "trusted" clients
6...

在文件的末尾,添加以下行:

1[label /etc/named.conf — 4 of 4]
2include "/etc/named/named.conf.local";

现在保存并退出 named.conf. 上面的配置规定,只有你自己的服务器(值得信赖的服务器)才能查询你的DNS服务器。

接下来,我们将配置本地文件,以指定我们的DNS区域。

保存并退出named.conf。

现在编辑named.conf.local文件:

1sudo chmod 755 /etc/named
2sudo vi /etc/named/named.conf.local

定义原始 DNS 服务器上的主区的奴隶区域. 请注意,类型是奴隶,文件不包含路径,并且有一个大师指令,该指令应设置为原始 DNS 服务器的私人 IP。

 1[label /etc/named/named.conf.local]
 2zone "nyc3.example.com" {
 3    type slave;
 4    file "slaves/db.nyc3.example.com";
 5    masters { 10.128.10.11; };  # ns1 private IP
 6};
 7
 8zone "128.10.in-addr.arpa" {
 9    type slave;
10    file "slaves/db.10.128";
11    masters { 10.128.10.11; };  # ns1 private IP
12};

现在保存并退出named.conf.local。

运行以下命令来检查配置文件的有效性:

1sudo named-checkconf

一旦检查出来,开始绑定:

1sudo systemctl start named

启用 BIND 启动 boot:

1sudo systemctl enable named

现在你有主和次要 DNS 服务器用于私人网络名称和 IP 地址分辨率. 现在你必须配置你的服务器使用你的私人 DNS 服务器。

配置 DNS 客户端

在可信 ACL 中的所有服务器可以查询您的 DNS 服务器之前,您必须配置每个服务器以使用 ns1 和 ns2 作为名称服务器。

百度客户

在 CentOS、RedHat 和 Fedora Linux VPS 上,只需编辑resolv.conf文件:

1sudo vi /etc/resolv.conf

然后将下列行添加到文件的顶部(取代您的私有域和 ns1 和 ns2 私有 IP 地址):

1[label /etc/resolv.conf]
2search nyc3.example.com  # your private domain
3nameserver 10.128.10.11  # ns1 private IP address
4nameserver 10.128.20.12  # ns2 private IP address

现在保存和退出 您的客户端现在已配置为使用您的 DNS 服务器。

Ubuntu 客户端

在Ubuntu和Debian Linux VPS上,您可以编辑头文件,该文件在启动时预先为resolv.conf:

1sudo vi /etc/resolvconf/resolv.conf.d/head

将下列行添加到文件中(取代您的私有域和 ns1 和 ns2 私有 IP 地址):

1[label /etc/resolvconf/resolv.conf.d/head]
2search nyc3.example.com  # your private domain
3nameserver 10.128.10.11  # ns1 private IP address
4nameserver 10.128.20.12  # ns2 private IP address

现在运行resolvconf来生成新的resolv.conf文件:

1sudo resolvconf -u

您的客户端现在已配置为使用您的 DNS 服务器。

客户测试

使用nslookup - 包含在bind-utils包中 - 测试您的客户端是否可以查询您的名称服务器。

前方搜索

例如,我们可以通过执行以下命令来检索 _host1.nyc3.example.com 的 IP 地址:

1nslookup host1

查询host1扩展到host1.nyc3.example.com,因为搜索选项被设置为您的私人子域,DNS查询将尝试查看该子域,然后在其他地方寻找主机。

1[secondary_label Output:]
2Server:		10.128.10.11
3Address:	10.128.10.11#53
4
5Name:	host1.nyc3.example.com
6Address: 10.128.100.101

反向搜索

要测试反向搜索,请查询使用 host1 的私人 IP 地址的 DNS 服务器:

1nslookup 10.128.100.101

你应该看到的输出看起来如下:

1[secondary_label Output:]
2Server:		10.128.10.11
3Address:	10.128.10.11#53
4
511.10.128.10.in-addr.arpa	name = host1.nyc3.example.com.

如果所有名称和 IP 地址都解决了正确的值,这意味着您的区域文件已正确配置. 如果您收到意想不到的值,请确保在您的主要 DNS 服务器上查看区域文件(例如:db.nyc3.example.com 和db.10.128)。

恭喜您! 您的内部 DNS 服务器现在已正确设置! 现在我们将涵盖维护您的区域记录。

维护 DNS 记录

现在你有一个工作内部DNS,你需要维护你的DNS记录,以便它们准确地反映你的服务器环境。

向 DNS 添加主机

每当您将主机添加到环境中(在相同的数据中心),您将想要将其添加到 DNS。

主要名称

  • 前向区域文件:为新主机添加A记录,增加Serial 的值逆向区域文件:为新主机添加PTR记录,增加Serial 的值将新主机的私人IP地址添加到可信ACL(named.conf.options)

然后重新加载BIND:

1sudo systemctl reload named

二级名称

  • 将新主机的私人 IP 地址添加到可信的 ACL(named.conf.options)

然后重新加载BIND:

1sudo systemctl reload named

配置新主机以使用您的DNS

  • 配置 resolv.conf 以使用您的 DNS 服务器
  • 使用 nslookup 进行测试

从DNS中删除主机

如果您从环境中删除主机,或者只想将其从DNS中删除,只需删除在将服务器添加到DNS时添加的所有东西(即上述步骤的反面)。

结论

现在,您可以通过名称而不是 IP 地址参考服务器的私人网络接口,这使得服务和应用程序的配置更容易,因为您不再需要记住私人 IP 地址,并且文件将更容易阅读和理解。

一旦你已经建立了内部 DNS 设置,并且你的配置文件正在使用私人 FQDN 来指定网络连接, DNS 服务器的维护很重要。如果它们都无法使用,依靠它们的服务和应用程序将停止正常运作。

Published At
Categories with 技术
Tagged with
comments powered by Disqus