链接：https://www.cnblogs.com/arthinking/p/14450337.html

bind介绍

搭建正向解析DNS服务

1、安装bind

• 地址：https://www.isc.org/download/
• github：https://github.com/isc-projects/bind9

# ubuntu
apt install bind9

# centos
yum install bind

2、修改配置

例如：在ubuntu2004中使用apt进行安装后，默认带的配置文件有这些

在主配置文件中， 使用include 指令来引入了其它的配置文件。

端口配置

# any 表示any 允许所有的机器访问本机这个dns服务器
# ipv6端口指定
listen-on-v6 port 5353 { any; };

# ipv4端口指定
listen-on port 5353 { any; };

当使用 ss -ntl | grep 53 查看端口监听时，有一个 127.0.0.53%lo:53 。这个是 systemd-resolved 服务默认监听的地址和端口，在ubuntu1804及其以上的版本中默认启用 systemd-resolved服务。

日志配置

sudo vim /etc/bind/named.conf.logging
logging {
    channel query_log {
        file "/var/log/named/query.log";
        severity info;
        print-time yes;
    };
    channel other_log {
        file "/var/log/named/other.log";
        severity info;
        print-time yes;
    };

    category queries {
        query_log;
    };
    category default {
        other_log;
    };
};

• 需要保证文件的所属组是bind（chown bind:bind /etc/bind/named.conf.logging）
• 需要保证bind对存放日志的目录具有读写权限（chown bind:bind /var/log/named）

include "/etc/bind/named.conf.logging";

• channel: 定义日志输出通道
• category: 指定某个日志类别应记录到哪个通道
• file: 指定日志文件的路径
• severity: 设置日志级别

访问控制

• allow-query: 用于控制哪些客户端可以向DNS服务器发起查询
• allow-transfer: 用于控制哪些DNS服务器被允许从当前服务器同步（或请求）区域数据，即进行区域传输。

options {
	allow-query  { any; };
	allow-transfer { none; }; # none：不允许任何服务器同步或请求该服务器上的完整区域数据。，如果要允许修改为any或指定的ip地址
}

上层DNS指定

options {
        forwarders {
                114.114.114.114;
                180.76.76.76;
        };

}

区域配置

mkdir /etc/bind/yongshen
chown bind:bind /etc/bind/yongshen

sudo vim /etc/bin/yongshen/yongshen.zones
zone "yongshen.com." {
        type master;
        file "/etc/bind/yongshen/db.yongshe.com";
};

区域配置文件说明

zone "要解析的域名" {
	type master；# master表示这个是权威区域，该服务器为该区域内的所有域名提供权威答案
	file xxxx；# 指定的文件包含了这个区域的所有资源记录
}；

• master：当有请求来时，可以根据file指定的文件中的信息返回权威答案
• slave：当有请求来时，它可以响应请求，但它是一个从属或备份区域。它从指定的主服务器复制区域数据，自身不能直接修改区域内容。任何修改都需要在主服务器上进行，并随后同步到从服务器
• hint：此区域用于配置根DNS服务器的信息

sudo vim /etc/bind/yongshen/db.yongshe.com
$TTL    86400
@       IN      SOA     master.yongshe.com. admin.yongshe.com. (
                            2023102401  ; Serial
                            3600        ; Refresh
                            1800        ; Retry
                            604800      ; Expire
                            86400       ; Minimum TTL
                            )

@          IN      NS      master.yongshen.com.
master     IN      A    10.0.0.66

www        IN      A    10.0.0.66

区域数据文件说明

NAME   [TTL]   IN   type   value

www   IN      A    10.0.0.66 表示要解析的FQDN就是 www.yongshen.com

• A：表示这条资源记录类型是 IPv4地址记录，用于将一个域名映射为IPv4地址，所以value对应的值就是一个IPv4地址。

www        IN      A    10.0.0.66

• AAAA：表示这条资源记录类型是 IPv4地址记录,用于将一个域名映射为IPv6地址,value对应的值就是一个IPv6地址

mail IN AAAA 2001:db8::1

• NS：这种记录类型用于指定哪些DNS服务器是权威服务器，对应的value值是权威DNS服务器的域名（末尾的点不能省略）

@          IN      NS      master.yongshen.com. 表明权威服务器是  master.yongshen.com.

• SOA：这种类型的资源记录在每个区域数据文件中有且只有一个，且是第一条记录。用来设置这个区域的一些属性信息的。对应的value就是这个区域的相关属性信息。

# 邮箱只起到说明作用，不起实质的作用

@ IN SOA <主域名服务器名> <负责人邮箱> (
    <序列号>   ; Serial Number
    <刷新时间> ; Refresh Interval
    <重试时间> ; Retry Interval
    <过期时间> ; Expire Time
    <最小TTL>  ; Minimum TTL
)

• 主域名服务器名称：权威的名称服务器，负责该DNS区域（通常为完全限定的域名），用于告诉其他服务器或者客户端：“如果你有关于这个区域的问题，你应该来问我。” （在SOA记录中指定的主域名服务器名称通常就是该区域的权威名称服务器，这与NS记录中列出的名称服务器一致。）
• 负责人邮箱：负责这个区域的管理员的电子邮件地址，一般使用“.”替代“@”。
• 序列号：表示区域文件的版本的数字，更改区域文件时应该增加这个数字。这样如果搭建了主从架构，从属或备份的DNS服务器知道主服务器的数据已经更改，从而触发更新。
• 刷新时间：搭建主从架构时，告诉从属服务器多久检查主服务器的序列号一次
• 重试时间：从属服务器在刷新时间结束后尝试联系主服务器但失败，它会在这个“重试时间”结束后再次尝试。
• 过期时间：从属服务器在多长时间内无法与主服务器通信后，将停止回答关于这个区域的查询。例如向从服务器请求：www.tom.com的ip地址是多少， 但是604800秒后都没法和主服务器通信，所以它就不会回答这个请求了。
• 最小TTL：其他服务器应该缓存此区域中任何记录的最短时间。

sudo vim /etc/bind/named.conf
include "/etc/bind/yongshen/yongshen.zones";

3、重启服务

bind9 是在 Debian 及其衍生版本（如 Ubuntu）上的软件包名称和服务名称。在这些发行版中，通常将 named 的服务文件设置为 bind9.service，以与软件包的名称保持一致。所以使用named或者bind9来管理bind进程都是一样的。

sudo systemctl restart bind9.service

4、测试

# dig通过 @ 来指定DNS服务器地址

dig www.yongshen.com @10.0.0.66 -p 5353

• host：如果需要指定DNS服务器地址，直接在后面写地址就行了。例如：host www.baidu.com 192.168.13.66
• nslookup:和host使用一样，例如：nslookup www.baidu.com 192.168.13.66

注意事项

BIND中FQDN说明：

• 资源记录的NAME部分指定了需要处理的域名，很多时候使用的都是相对域名。例如：www IN A 10.0.0.66，会自动将当前zone的名称追加在其后面。www.yongshen.com
• 如果使用了全限定域名，例如：www.yongshen.com. IN A 10.0.0.66,就不会将当前zone的名称追加在其后面

$TTL说明

@ 符号说明

www    IN A 10.0.0.66
*    IN A 10.0.0.67

区域数据文件省略说明

# 域名 example.com. 在后续的记录中被省略了，因为它与前一条记录相同。
example.com.    IN    A    192.0.2.1
                IN    NS   ns.example.com.
                IN    MX   10 mail.example.com.

BIND配置文件特点

1. BIND的配置文件有点和JSON格式相似，它们都具有层次结构和使用括号来定义块。
2. BIND使用大括号来定义一个块，并且每个配置语句以分号结束
3. 可以使用//进行单行注释，或使用/* */进行多行注释。

配置文件检查

# 不指定配置文件 默认检查named.conf
named-checkconf

# 手动指定配置文件
named-checkconf  /path/x.conf

named-checkzone [zone-name] [zone-file-path]

主从结构配置

主服务器配置：

options {
	allow-transfer { 192.168.0.102; };
}

# 区域配置
sudo vim /etc/bin/yongshen/yongshen.zones
zone "yongshen.com." {
        type master;
        file "/etc/bind/yongshen/db.yongshe.com";
};

# 区域数据配置
sudo vim /etc/bind/yongshen/db.yongshe.com
$TTL    86400
@       IN      SOA     master.yongshe.com. admin.yongshe.com. (
                            2023102401  ; Serial
                            3600        ; Refresh
                            1800        ; Retry
                            604800      ; Expire
                            86400       ; Minimum TTL
                            )

@          IN      NS      master.yongshen.com.
master     IN      A    10.0.0.66

www        IN      A    10.0.0.66

从服务器配置；

options {
	allow-transfer { none; };
}

# 区域配置
sudo vim /etc/bin/yongshen/yongshen.zones
zone "yongshen.com." {  # 区域名称要保持一致
        type slave;     # 类型为slave
		 masters {192.168.0.102;}; # 指定为主服务器地址
        file "/var/cache/bind/db.yongshe.com"; # 指定同步过来的资源记录存放位置
};

• 基于Debian/Ubuntu的系统：资源记录通常存放在/etc/bind/zones/或/var/cache/bind/下
• 基于Red Hat/CentOS的系统：资源记录通常存放在/var/named/或/var/named/slaves/
• 其他UNIX/Linux系统：路径可能会有所不同，但通常会在/var/named/或/etc/namedb/之类的位置

（3）测试

AppArmor

AppArmor说明

 文件路径     权限

ehigh@ubuntu:~$ cat  /etc/apparmor.d/usr.sbin.named
# vim:syntax=apparmor
# Last Modified: Fri Jun  1 16:43:22 2007
#include 

# 定义了named进程的权限和限制的作用域。
/usr/sbin/named flags=(attach_disconnected) {
  #include 
  #include 

  # capability指令 定义了named进程能够使用的Linux功能
  capability net_bind_service,
  capability setgid,
  capability setuid,
  capability sys_chroot,
  capability sys_resource,

  # 明确了可以访问哪些文件
  # 定义了文件和目录访问权限， r：代表读取权限。w：代表写入权限。k：允许named进程锁定文件。l：代表链接权限。m：代表执行权限，并将文件作为共享对象加载。

  # /etc/bind should be read-only for bind
  # /var/lib/bind is for dynamically updated zone (and journal) files.
  # /var/cache/bind is for slave/stub data, since we're not the origin of it.
  # See /usr/share/doc/bind9/README.Debian.gz
  /etc/bind/** r,
  /var/lib/bind/** rw,
  /var/lib/bind/ rw,
  /var/cache/bind/** lrw,
  /var/cache/bind/ rw,
   .......
  # some people like to put logs in /var/log/named/ instead of having
  # syslog do the heavy lifting.
  /var/log/named/** rw,
  /var/log/named/ rw,
   ......
}

# 修改策略模式
sudo aa-complain /etc/apparmor.d/usr.sbin.named

# 重新加载策略
sudo apparmor_parser -r /path/to/profile

sudo vim /etc/apparmor.d/usr.sbin.named
/etc/bind/zones/** lrw,

sudo vim /etc/apparmor.d/usr.sbin.named
/etc/bind/zones/** lrw,

zone "foreverhigh.com" {
        type slave;
        masters {192.168.5.202;};
        file "/etc/bind/zones/db1.foreverhigh.com";
};

sudo chmod 755 /etc/bind/zones

sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.named

sudo systemctl restart bind9

秋 招已经开始啦，大家如果不做好充足准备的话， 秋 招很难找到好工作。

送大家一份就业大礼包，大家可以突击一下春招，找个好工作！