鳥哥的 Linux 私房菜

為取得較佳瀏覽結果,請愛用 firefox 瀏覽本網頁
| 繁體主站 | 簡體主站 | 基礎篇 | 伺服器 | 企業應用 | 桌面應用 | 安全管理 | 討論板 | 酷學園 | 書籍戡誤 | 鳥哥我 | 崑山資傳 |
 

 

 

第十九章、主機名稱控制者: DNS 伺服器
切換解析度為 800x600
最近更新日期:2011/08/05
我們都知道,在『記憶』的角色上,人腦總是不如電腦的,而人們對文字的印象又比數字高。因此,想要使用純粹的
TCP/IP 來上網,實在不好記憶又很麻煩。為了適應人類的使用習慣,因此一個名為 DNS 的服務,幫我們將主機名稱解析
為 IP 好讓大家只要記得主機名稱就能使用 Internet 的咚咚就這麼誕生啦!在這一章當中,我們會談一談 DNS 服務內的
正、反解 zone 的意義,解析主機名稱的授權概念與整體查詢流程,以及 master/slave DNS 服務的配置等等呦!趕緊動動腦
先~

19.1 什麼是 DNS
  19.1.1
  19.1.2
  19.1.3
  19.1.4
  19.1.5
  19.1.6

用網路主機名稱取得 IP 的歷史淵源: /etc/hosts, DNS, FQDN
DNS 的主機名稱對應 IP 的查詢流程: 階層式與 TLD, 查詢流程, port
合法 DNS 的關鍵:申請領域查詢授權
主機名交由 ISP 代管還是自己設定 DNS 伺服器
DNS 資料庫的記錄:正解, 反解, Zone 的意義
DNS 資料庫的類型:hint, master/slave 架構

19.2 Client 端的設定
  19.2.1 相關設定檔: /etc/hosts, /etc/resolv.conf, /etc/nsswitch.conf
  19.2.2 DNS 的正、反解查詢指令: host, nslookup, dig
  19.2.3 查詢領域管理者相關資訊: whois

19.3 DNS 伺服器的軟體、種類與 cache only DNS 伺服器設定

 

  19.3.1 架設 DNS 所需要的軟體
  19.3.2 BIND 的預設路徑設定與 chroot: /etc/sysconfig/named 與 chroot
  19.3.3 單純的 cache-only DNS 伺服器與 forwarding 功能:named.conf, messages

19.4 DNS 伺服器的詳細設定
  19.4.1
  19.4.2
  19.4.3
  19.4.4
  19.4.5
  19.4.6
  19.4.7
  19.4.8
  19.4.9

正解檔記錄的資料 (Resource Record, RR): A, NS, SOA, CNAME, MX
反解檔記錄的 RR 資料: PTR
步驟一:DNS 的環境規劃:正解、反解 zone 的預先定義案例說明
步驟二:主設定檔 /etc/named.conf 的設置
步驟三:最上層 . (root) 資料庫檔案的設定
步驟四:正解資料庫檔案的設定
步驟五:反解資料庫檔案的設定
步驟六:DNS 的啟動、觀察與防火牆
步驟七:測試與資料庫更新

19.5 協同工作的 DNS: Slave DNS 及子網域授權設定
  19.5.1
  19.5.2
  19.5.3
  19.5.4

master DNS 權限的開放
Slave DNS 的設定與資料庫權限問題
建置子網域 DNS 伺服器:子網域授權課題
依不同介面給予不同的 DNS 主機名稱: view 功能的應用

19.6 DNS 伺服器的進階設定
  19.6.1
  19.6.2
  19.6.3
  19.6.4

架設一個合法授權的 DNS 伺服器
LAME Server 的問題
利用 RNDC 指令管理 DNS 伺服器
架設動態 DNS 主機:讓你成為 ISP 啦!

19.7 重點回顧
19.8 本章習題
19.9 參考資料與延伸閱讀

 

19.10 針對本文的建議:http://phorum.vbird.org/viewtopic.php?p=115692

19.1 什麼是 DNS
DNS 越來越重要,尤其未來 IPv6 這個需要 128bits 位址的玩意兒。因為我們連 IPv4 的 32bits 都背不起來
了, 128bits 要怎麼背? 這時主機名稱自動解析為 IP 就很重要啦!那就是 DNS。但是 DNS 的架設有點麻
煩,重點是原理的部分比較不好理解。 因此在這個小節當中,讓我們先來談談與網路主機名稱有關的一些
知識,這樣架設 DNS 才不會出問題。

19.1.1 用網路主機名稱取得 IP 的歷史淵源
目前的網際網路世界使用的是所謂的 TCP/IP 協定,其中 IP 為第四版的 IPv4 。不過,這個 IPv4 是由 32
位元所組成,為了人腦已經轉成四組十進位的數字了,例如 12.34.56.78 這樣的格式。當我們利用
Internet 傳送資料的時候,就需要這個 IP ,否則資料封包怎麼知道要被送到哪裡去?

單一檔案處理上網的年代: /etc/hosts
然而人腦對於 IP 這種數字的玩意兒,記憶力實在是不怎麼樣。但是要上 Internet 又一定需要 IP,怎麼
辦?為了應付這個問題, 早期的朋友想到一個方法,那就是利用某些特定的檔案將主機名稱與 IP 作一
個對應, 如此一來,我們就可以透過主機名稱來取得該主機的 IP 了!真是個好主意,因為人類對於名
字的記憶力可就好多了! 那就是 /etc/hosts 這個檔案的用途了。
可惜的是,這個方法還是有缺憾的,那就是主機名稱與 IP 的對應無法自動於所有的電腦內更新, 且要
將主機名稱加入該檔案僅能向 INTERNIC 註冊,若 IP 數量太多時,該檔案會大到不像話,也就更不利
於其他主機同步化了。 如下圖所示,用戶端電腦每次都得要重新下載一次檔案才能順利聯網!

圖 19.1-1、早期透過單一檔案進行網路連線的示意圖
在第四章 4.2.1 裡面我們約略談過 /etc/hosts 這個檔案的用法,基本上該檔案內容就是『IP 主機名稱 主
機別名一 主機別名二...』。在裡面最重要的就是 localhost 對應到 127.0.0.1 這個咚咚!你千萬不能刪除
該筆記錄的。這裡也再次強調,在你的私有網域內部,最好將所有的私有 IP 與主機名稱對應都寫入這
個檔案中啦!

分散式、階層式主機名稱管理架構: DNS 系統
早期網路尚未流行且電腦數量不多時,/etc/hosts 倒是還夠用的,但自從 90 年代網路熱門化後,單一檔
案 /etc/hosts 的聯網問題就發生上面講的狀況啦!為了解決這個日益嚴重的問題,柏克萊大學發展出另
外一套階層式管理主機名稱對應 IP 的系統, 我們稱它為 Berkeley Internet Name Domain, BIND ,這個系
統可就優秀的多了~ 透過階層式管理,可以輕鬆的進行維護的工作~太棒了!這也是目前全世界使用
最廣泛的領域名稱系統 (Domain Name System, DNS) 哩~透過 DNS ,我們不需要知道主機的 IP ,只要
知道該主機的名稱,就能夠輕易的連上該主機了!
DNS 利用類似樹狀目錄的架構,將主機名稱的管理分配在不同層級的 DNS 伺服器當中,經由分層管
理, 所以每一部 DNS 伺服器記憶的資訊就不會很多,而且若有 IP 異動時也相當容易修改!因為你如
果已經申請到主機名稱解析的授權, 那麼在你自己的 DNS 伺服器中,就能夠修改全世界都可以查詢到
的主機名稱了!而不用透過上層 ISP 的維護呢! 自己動手當然是最快的啦!
由於目前的 IPv4 已經接近發送完畢的階段,因此未來那個 128bits 的 IPv6 會逐漸熱門起來。那麼你需
要背 128bits 的 IP 來上網嗎?想必是不可能的!因此這個可以透過主機名稱就解析到 IP 的 DNS 服務,

可以想像的到,它會越來越重要。此外,目前全世界的 WWW 主機名稱也都是透過 DNS 系統在處理
IP 的對應,所以,當 DNS 掛點時,我們將無法透過主機名稱來連線,那就幾乎相當於沒有 Internet
了!
因為 DNS 是這麼的重要,所以即使我們沒有架設它的必要時,還是得要熟悉一下它的原理才好。因
此,跟 DNS 有關的 FQDN、Hostname 與 IP 的查詢流程,正解與反解、合法授權的 DNS 伺服器之意
義,以及 Zone 等等的知識作一個認識才行!

Tips:

在底下的說明當中,我們有時會提到 DNS 有時會提到 BIND
,這有什麼不同? 由上面的說明裡面,你可以瞭解到, DNS
是一種網際網路的通訊協定名稱, 至於 Bind 則是提供這個
DNS 服務的軟體~這樣你瞭解了嗎?!

完整主機名稱: Fully Qualified Domain Name (FQDN)
第一個與 DNS 有關的主機名稱概念,就是『主機名稱與領域名稱 (hostname and domain name)』的觀
念,以及由這兩者組成的完整主機名稱 Fully Qualified Domain Name, FQDN 的意義了。在討論這個主題
之前,我們來聊一聊比較生活化的話題:
以區域來區分同名同姓者的差異: 網路世界其實有很多人自稱為『鳥哥』的,包括敝人在下小
生我啦!那麼你怎麼知道此鳥哥非彼鳥哥呢? 這個時候你可以利用每個鳥哥的所在地來作為區
分啊,比如說台南的鳥哥與台北的鳥哥等。 那萬一台南還有兩個人自稱鳥哥怎麼辦?沒關係,
你還可以依照鄉鎮來區分呢!比如說台南北區的鳥哥及台南中區的鳥哥。 如果將這個咚咚列出
來,就有點像這樣:
鳥哥、北區、台南
鳥哥、中區、台南
鳥哥、台北
......

是否就可以分辨每個鳥哥的不同點了呢?呵呵!沒錯!就是這樣!那個地區就是『領域 (domain)
』,而鳥哥就是主機名啦!
以區域號碼來區分相同的電話號碼: 另外一個例子可以使用電話號碼來看,假如高雄有個
1234567 而台南也有個 1234567,那麼(1)你在高雄直接撥接 1234567 時,他會直接掛入高雄的
1234567 電話中,(2)但如果你要撥到台南去,就得加入 (06) 這個區碼才行!我們就是使用區碼來
做為辨識之用的!此時那個 06 區碼就是 domain name,而電話號碼就是主機名稱啦!
有沒有一點點瞭解鳥哥想表達的啦?我們上面講到,DNS 是以樹狀目錄分階層的方式來處理主機名
稱,那我們知道樹狀目錄中, 那個目錄可以記錄檔名。那麼 DNS 記錄的哪個咚咚跟『目錄』有關?就
是那個領域名稱。領域名稱底下還可以記錄各個主機名稱, 組合起來才是完整的主機名稱 (FQDN)。
舉例來說,我們常常會發現主機名稱都是 www 的網站,例如 www.google.com.tw, www.seednet.net,
www.hinet.net 等等,那麼我們怎麼知道這些 www 名稱的主機在不同的地方呢?就需要給他領域名稱
囉!也就是 .google.com.tw, .seednet.net, .hinet.net 等等的不同,所以即使你的主機名稱相同,但是只要不
是在同一個領域內,那麼就可以被分辨出不同的位置囉!
我們知道目錄樹的最頂層是根目錄 (/),那麼 DNS 既然也是階層式的,最頂層是啥呢?每一層的 domain
name 與 hostname 又該怎麼分?我們舉鳥哥所在的崑山科大的 WWW 伺服器為例好了 (www.ksu.edu.tw)

圖 19.1-2、分階層的 DNS 架構,以崑山科大為例 (hostname & domain name)
在上面的例子當中,由上向下數的第二層裡面,那個 .tw 是 domain name ,而 com, edu, gov 則是主機的
名稱,而在這個主機的名稱之管理下,還有其他更小網域的主機,所以在第三層的時候,基本上,那
個 edu.tw 就變成了 domain name 了!而崑山科大與成大的 ksu, ncku 則成為了 hostname 囉!
以此類推,最後得到我們的主機那個 www 是主機名稱,而 domain name 是由 ksu.edu.tw 那個名字所決
定的!自然,我們的主機就是讓管理 ksu.edu.tw 這個 domain name 的 DNS 伺服器所管理的囉!這樣是否
瞭解了 domain name 與 hostname 的不同了呢?
Tips:

並不是以小數點 (.) 區分 domain name 與 hostname 喔!某些時
刻 domain name 所管理的 hostname 會含有小數點。 舉例來
說,鳥哥所在的資訊傳播系並沒有額外的 DNS 伺服器架設,
因此我們的主機名稱為 www.dic ,而 domain name 還是
ksu.edu.tw ,因此全名為 www.dic.ksu.edu.tw 哩!

19.1.2 DNS 的主機名稱對應 IP 的查詢流程
約略瞭解了 FQDN 的 domain name 與 hostname 之後,接下來我們要談一談這個 DNS 的: (1)階層架構是
怎樣? (2)查詢原理是怎樣?總是要先知道架構才能知道如何查詢主機名稱的吶!所以底下我們先來介
紹一下整體的 DNS 階層架構。

DNS 的階層架構與 TLD
我們依舊使用台灣學術網路的 DNS 伺服器所管理的各 domain 為例,將最上層到崑山科大 (ksu) 時,之
間的各層繪製如下圖:

圖 19. (小數點) 這個 DNS 伺服器 (稱為 root),最早以前它底下管理的就只 有 (1)com.org.asia. .tw 這部伺服器必須向 root (. gTLD):例如 . .cn 等 先來談談一般最上層領域 (gTLD) 好了,最早 root 僅管理六大領域名稱,分別如下: 名稱 代表意義 com 公司、行號、企業 org 組織、機構 edu 教育單位 gov 政府單位 net 網路、通訊 mil 軍事單位 但是網際網路成長的速度太快了,因此後來除了上述的六大類別之外,還有諸如 .1-3 所示)。 那麼每個國家之下記錄的主要下層有哪些領域呢?基本上就是原先 root 管理的那六大類。 不過,由於 各層 DNS 都能管理自己轄下的主機名稱或子領域,因此,我們的 . .info.tw 只記錄底下那一層的這 數個主要的 domain 的主機而已!至於例如 edu.tw 那部機器去管理了!也就是說『 每個上一層的 DNS 伺服器所記錄的資訊,其實只有其下一層的 主機名稱而已! 』至於再下一層,則直接『授權』給下層的某部主機來管理囉!呵呵!所以你就應該 會知道 DNS 到底是如何管理的吧! 會這樣設定的原因不是沒有道理的!這樣設計的好處就是:每部機器管理的只有下一層的 hostname 對 應 IP 而已,所以減少了管理上的困擾!而下層 Client 端如果有問題,只要詢問上一層的 DNS server 即 .net 這種特殊領域以及 (2)以國家為分類的第二層的主機名稱了!這兩者稱為 Top Level Domains (TLDs) 喔! 一般最上層領域名稱 (Generic TLDs.) 註冊領域名稱查詢授權才行 (如上圖 19.1-3、從最上層到崑山科大之間的 DNS 階層示意圖 在整個 DNS 系統的最上方一定是 . org.uk.tw 為開頭,管理這個領域名稱的機器 IP 是在台 灣,但是 . mil.tw. . edu.tw 可以自行規劃自己的子領域名稱 喔! 例如目前台灣 ISP 常提供的 . . .tw 的個人網站就是一例啊! 再強調一次,DNS 系統是以所謂的階層式的管理,所以,請注意喔!那個 .gov 等等 國碼最上層領域名稱 (Country code TLDs.jp. .jobs (註1) 等領域名稱的開放。此外,為了讓某些國家也能夠有自己的最上層領域名稱,因此, 就有所謂的 ccTLD 了。這樣做有什麼好處呢?因為自己的國家內有最上層 ccTLD ,所以如果有 domain name 的需 求,則只要向自己的國家申請即可,不需要再到最上層去申請囉! 授權與分層負責 既然 TLD 這麼好,那麼是否我們可以自己設定 TLD 呢?當然不行!因為我們得向上層 ISP 申請領域名 稱的授權才行。例如台灣地區最上層的領域名稱是以 .tw 這部機器,那就直接授權交給 edu. ccTLD):例如 .tw 底下還有個 ksu.edu. gov.com.idv. .

.edu.95.tw 這個網域的主機那裡查詢,我有他的 IP !』 4.ksu.ksu.1.tw 又告訴 168.ksu.ksu. .tw 說:『沒錯!這部主機名稱是我管理 的~ 我跟你說他的 IP 是. 向第二層的 .edu.1.1 這 個 DNS 會很聰明的先記錄一份查詢的結果在自己的暫存記憶體當中,以方便回應下一次的相同 要求啊! 最後則將結果回報給 client 端!當然啦,那個記憶在 cache 當中的資料,其實是有時間 性的,當過了 DNS 設定記憶的時間 (通常可能是 24 小時),那麼該記錄就會被釋放喔! 整個分層查詢的流程就是這樣,總是得要先經過 . 只記錄了 .tw 向 .edu.1 就會向最頂層,也就 是 ..95.95.ksu.tw 伺服器查詢: 等到 168. 記錄暫存記憶體並回報用戶: 查到了正確的 IP 後,168.所以此時 168.edu.95.edu. 會告知『我是不知道這部主機的 IP 啦,不過,你應該向 .edu.可!不需要跨越上層,除錯上面也會比較簡單呢! 透過 DNS 查詢主機名稱 IP 的流程 剛剛說過 DNS 是以類似『樹狀目錄』的型態來進行主機名稱的管理的!所以每一部 DNS 伺服器都 『僅管理自己的下一層主機名稱的轉譯』而已, 至於下層的下層,則『授權』給下層的 DNS 主機來管 理啦!這樣說好像很繞口,好吧!我們就以下圖來說一說原理囉: 圖 19.ksu.1 就能夠查到 www.ksu. (root) 查詢: 168.tw 之後, Bingo !.1.1.. 向最頂層的 .1.95.tw 的網域,所以這個時候 .edu.edu.tw 只會告訴 168.1 的 DNS 機器總不會在下次有人查詢 www. 那幾部主機, 經過比對後發現我們要的是 .1.tw.com. 註冊而已),此時 .tw.ksu.tw 的 IP 而已。 5.1.tw 的時候再跑一 次這樣的流程吧! 粉遠粉累的吶!而且也很耗系統的資源與網路的頻寬,所以呢,168. 向第四層的 .tw 進行查詢,這裡只能告知 .1 會主動的向 .95. 詢問 www.1 這個 DNS,所以我們就拿他來做例子吧!嗯!這個時候,hinet 的這部伺服 器會這樣工作: 1.1-4、透過 DNS 系統查詢主機名稱解譯的流程 首先,當你在瀏覽器的網址列輸入 http://www.tw 時,你的電腦就會依據相關設定 (在 Linux 底下 就是利用 /etc/resolv.tw 在哪裡吧!』 3.1.95. 查詢: 由於 DNS 是階層式的架構,每部主機都會管理自己轄下的主機名稱解譯而已。因為 hinet 並沒有 管理台灣學術網路的權力, 因此就無法直接回報給用戶端。此時 168.edu.tw 的資訊 (因為台灣 只有 .ksu.edu.tw 去詢 問才對,我這裡不管! 我跟你說 . gov.edu. (root) 的伺服器查詢相關 IP 資訊。 2.1 接著又到 .95. 來向下一層進行查詢,最終總是能得到答案的。這 樣分層的好處是: .tw 伺服器查詢: 168.1 ,應該要去 .tw 去查詢,而該部機器管理的又僅有 .tw 的 IP 囉! 6.1.1 找到 .edu.conf 這個檔案) 所提供的 DNS 的 IP 去進行連線查詢了。由於目前最常見的 DNS 伺 服器就屬 Hinet 的 168.tw 在哪裡呢?但是由於 .. 向第三層的 . 收到用戶的查詢要求,先查看本身有沒有紀錄,若無則向 .95.95.edu.tw 伺服器查詢: 同理可證, .1.1 說:『你要去管 理 .edu.tw.

tw --> .tw 維護小組同意,就能夠建立該網域喔! 好啦!既然 DNS 這麼棒,然後我們又需要架站,所以需要一個主機的名稱,那麼我們需要架設 DNS 了嗎?當然不是,為什麼呢?剛剛鳥哥提到了很多次的『合法』的字眼,因為他就牽涉到『授權』的 問題了! 我們在第十章當中也提到,只要主機名稱合法即可,不見得需要架設 DNS 的啦! 例題: 透過 dig 實作出本小節談到的 . --> .tw --> .tw --> www.edu.tw 的查詢流 程,並分析每個查詢階段的 DNS 伺服器有幾部? 答: .edu.ksu.ksu.主機名稱修改的僅需自己的 DNS 更動即可,不需通知其他人: 當一個『合法』的 DNS 伺服器裡面的設定修改了之後,來自世界各地任何一個 DNS 的要求,都 會正確無誤的顯示正確的主機名稱對應 IP 的資訊,因為他們會一層一層的尋找下來。所以,要 找你的主機名稱對應的 IP 就一定得要透過你的上層 DNS 伺服器的紀錄才行!因此,只要你的主 機名字是經過上層『合法的 DNS』伺服器設定的,那麼就可以在 Internet 上面被查詢到啦!呵 呵!很簡單維護吧,機動性也很高。 DNS 伺服器對主機名稱解析結果的快取時間: 由於每次查詢到的結果都會儲存在 DNS 伺服器的快取記憶體中,以方便若下次有相同需求的解 析時,能夠快速的回應。 不過,查詢結果已經被快取了,但是原始 DNS 的主機名稱與 IP 對應 卻修改了,此時若有人再次查詢, 系統可能會回報舊的 IP 喔!所以,在快取內的答案是有時間 性的!通常是數十分鐘到三天之內。 這也是為什麼我們常說當你修改了一個 domain name 之後, 可能要 2 ~ 3 天後才能全面的啟用的緣故啦! 可持續向下授權 (子領域名稱授權): 每一部可以記錄主機名稱與 IP 對應的 DNS 伺服器都可以隨意更動他自己的資料庫對應, 因此 主機名稱與網域名稱在各個主機底下都不相同。舉例來說, idv.edu.tw 是僅有台灣才有這個 idv 的網 域~ 因為這個 idv 是由 .tw 所管理的,所以只要台灣 .

172800 IN NS a.6-P1-RedHat-9.root-servers.net. ksu.. .net.twnic. 的伺服器,可從 a ~ m. 486278 IN NS b. 486278 IN NS a. 86400 IN NS a. 的伺服器,可從 a ~ h.3.12#53(c.tw..6-16.114. 3600 IN A 120.edu.tw.ksu.83.P1.1.edu.net.83.twaren. .tw. # 追蹤 . # 上面的部分在追蹤 ..tw. edu.twnic.101,不過這個例題的重點是,要讓大家瞧瞧 整個 DNS 的搜尋過程! 在 dig 加上 +trace 的選項後,就能夠達到這個目的。至於其他的都 是伺服器 (NS) 的設定值與追蹤過程喔! 有沒有很清楚啊?^_^。至於 A 與 NS 等相關的資 料,我們在後續的 DNS 資料庫介紹中,再分別介紹囉。 DNS 使用的 port number 好了,既然 DNS 系統使用的是網路的查詢,那麼自然需要有監聽的 port 囉!沒錯!很合理!那麼 DNS 使用的是那一個 port 呢?那就是 53 這個 port 啦!你可以到你的 Linux 底下的 /etc/services 這個檔案看 看!搜尋一下 domain 這個關鍵字,就可以查到 53 這個 port 啦! 但是這裡需要跟大家報告的是,通常 DNS 查詢的時候,是以 udp 這個較快速的資料傳輸協定來查詢 的, 但是萬一沒有辦法查詢到完整的資訊時,就會再次的以 tcp 這個協定來重新查詢的!所以啟動 DNS 的 daemon (就是 named 啦) 時,會同時啟動 tcp 及 udp 的 port 53 喔!所以,記得防火牆也要同時放 行 tcp.edu.root-servers. 3600 IN NS dns3..root-servers..tw.tw.. ksu.tw..ksu.tw.. .net. 86400 IN NS dns2. global options: printcmd .tw.net.(底下省略). # 上面的部分在追蹤 .tw. ksu. Received 500 bytes from 168. Received 395 bytes from 192.net) in 22 ms ksu.4.edu. tw.edu.edu. .1#53(dns2.ksu.tw.101 ksu.100.. .tw.twaren.100.114.tw) in 14 ms 最終的結果有找到 A (Address) 是 120.tw) in 22 ms www.tw .edu.dns..事實上,我們可以透過第四章約略談過的 dig 這個指令來實作出喔!使用追蹤功能 (+trace) 就能夠達到這個目的了。使用方式如下: [root@www ~]# dig +trace www.tw. 86400 IN NS b..ksu.1..(底下省略).9#53(a..1) in 22 ms tw.3.edu.ksu.twnic.net) in 168 ms edu. tw..tw.edu.1.3 合法 DNS 的關鍵:申請領域查詢授權 什麼?DNS 伺服器的架設還有『合法』與『不合法』之分喔?不是像其他的伺服器一樣,架設好之後 人家就查的到嗎? 非也非也!為什麼呢?底下我們就來談一談。 向上層領域註冊取得合法的領域查詢授權 .ksu.tw.edu. 86400 IN NS dns1... 3600 IN NS dns2.net.33.. <<>> DiG 9.edu.tw . Received 147 bytes from 120. Received 474 bytes from 192.edu. 172800 IN NS ns.net.ksu. 的則有 7 部伺服器 .95.dns.tw. udp port 53 呢! 19.dns. 86400 IN NS dns3.edu.166.166.el5 <<>>+trace www. 172800 IN NS b.tw.edu.. 3600 IN NS dns1.tw. ksu.1#53(168.95.ksu. .edu.11#53(ns.tw. Received 131 bytes from 192.150.net.net.tw.114.twnic. 包括 ns.twnic.net.twnic.root-servers. .

ksu.org,該筆記錄其實就是 NS ,並非 A , 如下圖所示: 圖 19.vbird.tw 的詳細主機名稱對應 IP 的資料就是請管理 .vbird..vbird.tw 相關的主機名稱對應才行喔! 是否很像人類社會的『授權』的概念? 也就是說,當你老闆充分的『授權』給你某項工作的時候,從此,要進行該項工作的任何人, 從老闆 那邊知道你才是真正『有權』的人之後,都必須要向你請示一樣!^_^!所以囉,如果你要架設 DNS ,而且是可以連上 Internet 上面的 DNS 時,你就必須要透過『上層 DNS 伺服器的授權』才行!這是很 重要的觀念喔! 讓我們歸納一下,要讓你的主機名稱對應 IP 且讓其他電腦都可以查詢的到,你有兩種方式: 1.edu.』,但是這筆記錄只是告訴我們要去下一個伺服器找,並不是最終的 A (IP Address) 的答案,所以還得要繼續往下找 (隨時記得圖 19.1-5、記錄的授權主機名稱與實際 A 記錄的差異 上圖中,雖然在 godaddy 伺服器內有記錄一筆『要查詢 .tw 那部主機註冊 申請領域授權,因此,未來有任何 .tw 必須要向 .vbird.org 的記錄時,最終的結果還是會顯示『找不到該伺服器的 IP』; .org 時,請到 dns.1-4 的查詢流程)。此時,有幾種結果會導致 dns.edu.ksu. 直接請上層 DNS 伺服器來幫你設定主機名稱對應! 擁有領域查詢權後,所有的主機名資訊都以自己為準,與上層無關 很多朋友可能都有過申請 DNS 領域查詢授權的經驗,在申請時,ISP 就會要你填寫 (1)你的 DNS 伺服 器名稱以及 (2)該伺服器的 IP。既然已經在 ISP 就填寫了主機名稱與 IP 的對應,所以,即使我的 DNS 伺服器掛點了,在 ISP 上面的主機名稱應該還是查到的 IP 吧?答案是:『錯!』查不到的!為什麼 呢? DNS 系統記錄的資訊非常的多,不過重點其實有兩個,一個是記錄伺服器所在的 NS (NameServer) 標 誌,另一個則是記錄主機名稱對應的 A (Address) 標誌。我們在網路上面查詢到的最終結果,都是查詢 IP (IP Address) 的,因此最終的標誌要找的是 A 這個記錄才對!我們以鳥哥註冊的 .org 來說明好 了,鳥哥去註冊時, 記錄在 ISP 的 DNS 伺服器名稱為 dns.org 這部主機掛點,那麼在上圖顯示『查詢』箭頭的步 驟會被中斷,因此就會出現『連線不到 dns.tw 的要求時, .ksu.vbird.org 伺服器掛點時: 如果 dns.vbird.116.ksu.org (NS) 去查,這個 管理者的 IP 是 140.1-4 所示, 那部 www.我們在第十章也講過,申請一個合法的主機名稱就是需要註冊, 註冊就是需要花錢啦!那麼註冊取得 的資料有兩種,一種是第十章談到的 FQDN (主機名稱),一種就是申請領域查詢權。所謂的 FQDN 就 是我們只需要主機名,詳細的設定資料就由 ISP 幫我們搞定。例如圖 19.edu.org 的 IP 找不到,或者是最終的 IP 與 godaddy 記錄的不同的結果喔!那就是: dns.ksu.edu.org 的 IP』的結果。因為無論如何,DNS 系統都 會去找到最後一個含有 A 位址的記錄啊! dns. 上層 DNS 授權領域查詢權,讓你自己設定 DNS 伺服器,或者是; 2.tw 都會說:『我不知道! 詳情請去找 .edu.vbird.tw 吧!』此時,我們就得要架設 DNS 伺服器來設定 .tw 那個領域的伺服器搞定的。 那什麼是領域查詢授權呢?同樣用圖 19.vbird.edu.edu..edu.vbird.org 伺服器內的資料庫忘記補上資料時: 如果鳥哥在自己的伺服器資料庫中,忘記加上 dns.vbird.1-4 來解釋,我們的 .ksu.

0/24,如果這 254 個可用 IP 都要設定主機名稱,那 麼這個 120.idv.org 所記錄的 IP 與 godaddy 的不同,最終的結果會以鳥哥記錄的為準。 總之,你在 ISP 上面填寫的主機名稱只是一個參考用的,最終還是要在你自己 DNS 伺服器當中設定好 才行! 雖然可以自己惡搞一下,不過,通常大家還是會讓 ISP 上面的 DNS 伺服器主機名與自己的資料 庫主機名一致, 亦即上圖中,中間與最下面方框內的 dns.edu.ksu.1. 反解.ksu.1-4 的查詢流程中,我們知道最重要的就是 .tw 就是一個『正解的領域』。而崑山科 大有申請到幾個 class C 的子網域, 例如 120.4 主機名交由 ISP 代管還是自己設定 DNS 伺服器 前面 19.1.tw 那部 DNS 伺服器內的記錄資訊 了。這些記錄的咚咚我們可以稱呼為資料庫,而在資料庫裡面針對每個要解析的領域 (domain),就稱為 一個區域 (zone)。那麼到底有哪些要解析的領域呢?基本上,有從主機名稱查到 IP 的流程,也可以從 IP 反查到主機名稱的方式。 因為最早前 DNS 的任務就是要將主機名稱解析為 IP,因此: 從主機名稱查詢到 IP 的流程稱為:正解 從 IP 反解析到主機名稱的流程稱為:反解 不管是正解還是反解,每個領域的記錄就是一個區域 (zone) 舉例來說,崑山科大 DNS 伺服器管理的就是 *.1.edu.5 DNS 資料庫的記錄:正解.org 的 NS 及 A 都對應到同一個 IP 就是 了。 19.vbird.ksu.tw 這個領域的查詢權,任何想要知道 *.edu.3 小節以及第十章都談過,申請主機名稱或網域名稱主要有兩種方式,就是剛剛上頭提到的 DNS 授權,或者是直接交給 ISP 來管理。交給 ISP 管理的,就可以稱作是網域名稱代管啦!當然啦, 如果你是學校單位的話, 或者是企業內部的小單位,那麼就得請你向上層 DNS 主機的負責人要求囉! 無論如何,你只能有兩個選擇就是了,要不就是請他幫忙你設定好 hostname 對應 IP ,要嘛就是請他直 接將某個 domain name 段授權給你做為 DNS 的主要管理網域。 那麼我怎麼知道那個方式對我比較好呢?請注意,由於 DNS 架設之後,會多出一個監聽的 port ,所以 理論上,是比較不安全的!而且,由於網際網路現在都是透過主機名稱在連線,在瞭解上面談到的主 機名稱查詢流程後, 你會發現,DNS 設定錯誤是很要命的!因為你的主機名稱再也找不到了。所以, 這裡的建議是: 需要架設 DNS 的時機: 你所負責需要連上 Internet 的主機數量龐大:例如你一個人負責整個公司十幾部的網路 Server, 而這些 Server 都是掛載你的公司網域之下的。這個時候想要不架設 DNS 也粉難啦! 你可能需要時常修改你 Server 的名字,或者是你的 Server 有隨時增加的可能性與變動性; 不需要架設 DNS 的時機: 網路主機數量很少:例如家裡或公司只有需要一部 mail server 時; 你可以直接請上層 DNS 主機管理員幫你設定好 Hostname 的對應時; 你對於 DNS 的認知不足時,如果架設反而容易造成網路不通的情況; 架設 DNS 的費用很高時! 19.114.140.vbird 這種網域的!還是得要符合上層 DNS 所給予的領域範圍才行。舉例來說,台灣個人網站 就常使用 *.tw 這樣的領域名稱。 .114.edu. Zone 的意義 從前面的圖 19.dns.tw 主機名的 IP 都得向崑山科大的 DNS 伺服器查詢,此時 .vbird.org 伺服器內的資料庫資料編寫不一致時: 如果是在鳥哥自己伺服器的資料庫內的 dns.140.0/24 就是一個『反解的領域』! 另外,每一部 DNS 伺服器都可以管理多個領域,不 管是正解還是反解。 正解的設定權以及 DNS 正解 zone 記錄的標誌 那誰可以申請正解的 DNS 伺服器架設權呢?答案是:都可以!只要該領域沒有人使用, 那你先搶到 了,就能夠使用了。不過,因為國際 INTERNIC 已經定義出 gTLD 以及 ccTLD 了,所以你不能自訂例 如 centos.ksu.vbird.

1-4 裡面我們就知道,當 DNS 伺服器在自己的資料庫找不到所需的資訊時, 一定會去找 .那正解檔的 zone 裡面主要記錄了什麼東西呢?因為正解的重點在由主機名稱查詢到 IP,而且每部 DNS 伺服器還是得要定義清楚,同時,你可能還需要架設 master/slave 架構的 DNS 環境,因此,正解 zone 通常具有底下幾種標誌: SOA:就是開始驗證 (Start of Authority) 的縮寫,相關資料本章後續小節說明; NS:就是名稱伺服器 (NameServer) 的縮寫,後面記錄的資料是 DNS 伺服器的意思; A:就是位址 (Address) 的縮寫,後面記錄的是 IP 的對應 (最重要); 反解的設定權以及 DNS 反解 zone 記錄的標誌 正解的領域名稱只要符合 INTERNIC 及你的 ISP 規範即可,取得授權較為簡單 (自己取名字)。那反解 呢?反解主要是由 IP 找到主機名稱,因此重點是 IP 的所有人是誰啦!因為 IP 都是 INTERNIC 發放給 各家 ISP 的,而且我們也知道,IP 可不能亂設定 (路由問題)!所以囉,能夠設定反解的就只有 IP 的擁 有人,亦即你的 ISP 才有權力設定反解的。那你向 ISP 取得的 IP 能不能自己設定反解呢?答案是不 行!除非你取得的是整個 class C 以上等級的 IP 網段,那你的 ISP 才有可能給你 IP 反解授權。否則, 若有反解的需求,就得要向你的直屬上層 ISP 申請才行! 那麼反解的 zone 主要記錄的資訊有哪些呢?除了伺服器必備的 NS 以及 SOA 之外,最重要的就是: PTR:就是指向 (PoinTeR) 的縮寫,後面記錄的資料就是反解到主機名稱囉! 每部 DNS 都需要的正解 zone: hint 現在你知道一個正解或一個反解就可以稱為一個 zone 了!那麼有沒有那個 zone 是特別重要的呢?有 的,那就是 .dynamic.adsl. 在哪裡的記錄 zone 才行啊!這個記錄 .91 這個 seednet 的浮動式 IP 反查的結果會得到 211-74-253-91. 啊! 從圖 19.net. 的 zone 的類 型,就被我們稱為 hint 類型!這幾乎是每個 DNS 伺服器都得要知道的 zone 喔! 所以說,一部簡單的正解 DNS 伺服器,基本上就要有兩個 zone 才行,一個是 hint ,一個是關於自己領 域的正解 zone。舉鳥哥註冊的 vbird.74.vbird.org:記錄 .hinet.tw. 在哪裡啊?所以就得要有記錄 .html 19.org 這個 domain 所屬 IP 的反解 zone ,為什麼呢?請參考上面的詳細說明吧! 簡 單的說,就是因為反解需要要求 IP 協定的上層來設定才行! 正反解是否一定要成對? 好了,正反解需不需要成套產生,在這裡不用多說明了吧?^_^!請注意喔,在很多的情況下, 尤其是 目前好多莫名其妙的領域名稱產生出來,所以,常常會只有正解的設定需求而已。不過也不需要太過 擔心啦, 因為通常在反查的情況中,如果你是使用目前台灣地區最流行的 ADSL 上網的話,那麼 ISP 早就已經幫你設定好反解了!例如:211.6 DNS 資料庫的類型:hint.253. 的 zone; vbird. master/slave 架構 你知道的,DNS 越來越重要,所以,如果你有註冊過領域名稱的話,就可以發現,現在 ISP 都要你填 寫兩部 DNS 伺服器的 IP 哩!因為要作為備援之用嘛!總不能一部 DNS 掛點後,害你的所有主機名稱 都不能被找到~那真麻煩~ .org 為例,在鳥哥的 DNS 伺服器內,至少就要有這兩個 zone: hint (root):記錄 .org 這個正解的 zone。 你會發現我沒有 vbird.seed. 這樣的主機名稱!所以在一般我們自行申請領域名稱的時候,你只 要擔心正解的設定即可! 不然的話,反正反解的授權根本也不會開放給你,你自己設定得很高興也沒 有用呀! ^_^ 事實上,需要正反解成對需求的大概僅有 mail server 才需要吧!由於目前網路頻寬老是被垃圾、廣告 郵件佔光, 所以 Internet 的社會對於合法的 mail server 規定也就越來越嚴格。如果你想要架設 mail server 時, 最好具有固定 IP ,這樣才能向你的 ISP 要求設定反解喔!以 hinet 為例的反解申請: http://hidomain. ,那 .net/top1.1.

edu.tw 就有 3 部 DNS 伺服器來管理自己的領域。那如果每部 DNS 我們都是使用 Master 資料庫類型,當有用戶向我要求要修 改或者新增、刪除資料時, 一筆資料我就得要做三次,還可能會不小心手滑導致某幾部出現錯誤,此 時可就傷腦筋了~因此,這時使用 Slave 類型的資料庫取得方式就很有用! Slave 必須要與 Master 相互搭配,若以 .但是,如果有兩部以上的 DNS 伺服器,那麼網路上會搜尋到哪一部呢?答案是,不知道!因為是隨機 的~ 所以,如果你的領域有兩部 DNS 伺服器的話,那這兩部 DNS 伺服器的內容就得完全一模一樣, 否則,由於是隨機找到 DNS 來詢問,因此若資料不同步,很可能造成其他用戶無法取得正確資料的問 題。 為了解決這個問題,因此在 .ksu.tw 的例子來說,如果我必須要有三部主機提供 DNS 服 務,且三部內容相同, 那麼我只要指定一部伺服器為 Master ,其他兩部為該 Master 的 Slave 伺服器, 那麼當要修改一筆名稱對應時,我只要手動更改 Master 那部機器的設定檔,然後,重新啟動 BIND 這 個服務後,呵呵!其他兩部 Slave 就會自動的被通知更新了!這樣一來,在維護上面可就輕鬆寫意的多 了~ Tips: 如果你設定 Master/Slave 架構時,你的 Master 主機必須要限制 只有某些特定 IP 的主機能夠取得你 Master 主機的正反解資料 庫權限才好! 所以,上面才會提到 Master/Slave 必須要互相搭 配才行! Master / Slave 的查詢優先權? 另外,既然我的所有 DNS 伺服器是需要同時提供 internet 上面的領域名稱解析的服務, 所以不論是 Master 還是 Slave 伺服器,他都必須要可以同時提供 DNS 的服務才好! 因為在 DNS 系統當中,領域名 稱的查詢是『先搶先贏』的狀態,我們不會曉得哪一部主機的資料會先被查詢到的! 為了提供良好的 DNS 服務,每部 DNS 主機都要能正常工作才好啊!而且,每一部 DNS 伺服器的資料庫內容需要完全 一致,否則就會造成用戶端找到的 IP 是錯誤的! Master / Slave 資料的同步化過程 那麼 Master/Slave 的資料更新到底是如何動作的呢?請注意,Slave 是需要更新來自 Master 的資料啊! 所以當然 Slave 在設定之初就需要存在 Master 才行喔!基本上,不論 Master 還是 Slave 的資料庫,都會 有一個代表該資料庫新舊的『序號』,這個序號數值的大小,是會影響是否要更新的動作唷! 至於更 新的方式主要有兩種: Master 主動告知:例如在 Master 在修改了資料庫內容,並且加大資料庫序號後, 重新啟動 DNS 服務,那 master 會主動告知 slave 來更新資料庫,此時就能夠達成資料同步; 由 Slave 主動提出要求:基本上, Slave 會定時的向 Master 察看資料庫的序號, 當發現 Master 資 料庫的序號比 Slave 自己的序號還要大 (代表比較新),那麼 Slave 就會開始更新。如果序號不 變, 那麼就判斷資料庫沒有更動,因此不會進行同步更新。 .edu. (root) 這個 hint 類型的資料庫檔案外,還有兩種基本類型,分別是 Master (主人、主要) 資料庫與 Slave (奴隸、次要) 資料庫類型。這個 Master/Slave 就是要用來解決不同 DNS 伺 服器上面的資料同步問題的。 所以底下讓我們來聊聊 Master/Slave 吧! Master: 這種類型的 DNS 資料庫中,裡面所有的主機名稱相關資訊等,通通要管理員自己手動去修改與設定, 設定完畢還得要重新啟動 DNS 服務去讀取正確的資料庫內容,才算完成資料庫更新。一般來說,我們 說的 DNS 架設,就是指設定這種資料庫的類型。同時,這種類型的資料庫,還能夠提供資料庫內容給 slave 的 DNS 伺服器喔! Slave: 如前所述,通常你不會只有一部 DNS 伺服器,例如我們前面的例題查詢到的 .ksu.

10.175.20 DNS 伺服器的 IP 可以設定多個,為什麼要設定多個呢?因為當第一部 (照設定的順序) DNS 掛點時, 我們用戶端可以使用第二部 (上述是 139.1 nameserver 139.conf:這個檔案則是在『決定』先要使用 /etc/hosts 還是 /etc/resolv.1.1.20) 來進行查詢,這多少有點像 DNS 備援功能。 通常建 議至少填寫兩部 DNS 伺服器的 IP,不過在網路正常使用的情況下,永遠只有第一部 DNS 伺服器會被 使用來查詢,其他的設定值只是在第一部出問題時才會被使用。 Tips: 盡量不要設定超過 3 部以上的 DNS IP 在 /etc/resolv.conf :這個重要!就是 ISP 的 DNS 伺服器 IP 記錄處; /etc/nsswitch.2.conf ,並找到 hosts 的項目: [root@www ~]# vim /etc/nsswitch.conf 的設定! 一般而言, Linux 的預設主機名稱與 IP 的對應搜尋都以 /etc/hosts 為優先,為什麼呢?你可以查看一下 /etc/nsswitch.由上面的說明來看,其實設計資料庫的序號最重要的目的就是讓 master/slave 資料的同步化。那我們也 知道 slave 會向 master 提出資料庫更新的需求,問題是,多久提出一次更新,如果該次更新時由於網路 問題,所以沒有查詢到 master 的序號 (亦即更新失敗),那隔多久會重新更新一次?這個與 SOA 的標誌 有關,後續談到正、反解資料庫後, 再來詳細說明吧! 如果你想要架設 Master/Slave 的 DNS 架構時,兩部主機 (Master/Slave) 都需要你能夠掌控才行!網路上 很多的文件在這個地方都有點『閃失』,請特別的留意啊!因為鳥哥的 DNS 伺服器常常會聽到某些其 他 DNS 的資料庫同步化需求,真覺得煩吶! 19.175.conf 的 DNS 伺服器來進行搜尋啦! 因此,你可以先以 /etc/hosts 來設定 IP 對應!當然啦,你也可以將他調換過來,不過,總是 /etc/hosts 比 較簡單,所以將他擺在前面比較好啦! 好啦,既然我們是要進行 DNS 測試的,那麼就得要瞭解一下 /etc/resolv.2 Client 端的設定 由於 DNS 是每部想要連上網際網路的主機都得要設定的,因此我們就從簡單的用戶端設定談起。因為未來 架設好 DNS server 後,我們都會直接進行測試,所以,這個部分得先處理處理比較妥當啊! 19.conf nameserver 168.1 這部 DNS 伺服器,所以你應該這樣寫: [root@www ~]# vim /etc/resolv.conf 中,因 為如果是你的區網出問題,導致無法連線到 DNS 伺服器,那 麼你的主機還是會向每部 DNS 伺服器發出連線要求,每次連 線都有 timeout 時間的等待,會導致浪費非常多的時間喔! .1 相關設定檔 從 19.conf hosts: files dns 上面那個 files 就是使用 /etc/hosts,而最後的 dns 則是使用 /etc/resolv.10.1 的說明當中我們曉得主機名稱對應到 IP 有兩種方法,早期的方法是直接寫在檔案裡面來對 應, 後來比較新的方法則是透過 DNS 架構!那麼這兩種方法分別使用什麼設定檔?可不可以同時存 在? 若同時存在時,那個方法優先?嗯!我們先來談一談幾個設定檔吧! /etc/hosts :這個是最早的 hostname 對應 IP 的檔案; /etc/resolv.1.conf 的內容,假設你在台灣, 使用的是 hinet 的 168.95.95.

.vbird.2 DNS 的正、反解查詢指令: host.1.conf 內的 DNS 主機 來查詢主機名稱與 IP 的對應時,就可以利用這個參數了! # 1.org.org 的 IP [root@www ~]# host linux.vbird.10. AUTHORITY SECTION: vbird.vbird.org. Received 86 bytes from 168.175.10. 查出 linux. QUERY: 1.10.org Trying "linux.. 145 IN A 140. flags: qr rd ra. nslookup.175. IN ANY .vbird.org mail is handled by 10 linux.180 .175.org linux.vbird. <==這是 MX (後續章節說明) # 2.org.44.org has address 140.vbird. AUTHORITY: 2.vbird. ANSWER SECTION: linux. ->>HEADER<<.x 的 NetworkManager 服務,有時候也可能會產生一些奇 特的現象哩!所以鳥哥是建議關掉它的!^_^ 19.vbird.org.org 的所有重要參數 [root@www ~]# host -a linux. 使用預設值來查出 linux..org 139.116.20 Using domain server: Name: 139. status: NOERROR. id: 56213 .vbird.vbird.1.2.10.. ANSWER: 1.org.1 取得的資料 # 看樣子,不就是 dig 的輸出結果?所以,我們才會說,使用 dig 才是王道! # 3.1#53 in 15 ms <==果然是從 168.conf 之後,隔不多久 這個檔案又會恢復成原本的樣子,這是什麼原因? 該如何處理? 答: 因為使用 DHCP 時,系統會主動的使用 DHCP 伺服器傳來的資料進行系統設定檔的修 訂。因此,你必須告知系統,不要使用 DHCP 傳來的伺服器設定值。 此時,你得要在 /etc/sysconfig/network-scripts/ifcfg-eth0 等相關檔案內,增加一行:『PEERDNS=no』,然 後重新啟動網路即可。 此外,如果你有啟動 CentOS 6.20 Address: 139.opcode: QUERY.180 <==這是 IP linux. QUESTION SECTION: .org.org has address 140.例題: 我的主機使用 DHCP 取得 IP ,很奇怪的,當我修改過 /etc/resolv.org" . ADDITIONAL: 0 .vbird.180 .116.vbird.vbird.20 這部 DNS 主機來查詢 [root@www ~]# host linux. 145 145 IN IN NS NS dns.95.44.95. 強制以 139.44.vbird. dns2.org. dig 測試 DNS 的程式有很多,我們先來使用最簡單的 host 吧!然後還有 nslookup 及 dig 哩! host [root@www ~]# host [-a] FQDN [server] [root@www ~]# host -l domain [server] 選項與參數: -a :代表列出該主機所有的相關資訊,包括 IP、TTL 與除錯訊息等等 -l :若後面接的那個 domain 設定允許 allow-transfer 時,則列出該 domain 所管理的所有主機名稱對應資料! server:這個參數可有可無,當想要利用非 /etc/resolv.linux.20#53 Aliases: linux.175.. vbird.116.

ksu.org 領域的 DNS 並不許我們的領域查詢,畢竟我們不 是 vbird.101 <==這是答案 Authoritative answers can be found from: <==這是相關授權 DNS 說明 ksu.org 的領域設定囉!這個『 host -l 』是用 在自己的 DNS 伺服器上,本章稍後談到伺服器設定後,使用這個選項就能夠讀取相關的資料了。 nslookup [root@www ~]# nslookup [FQDN] [server] [root@www ~]# nslookup 選項與參數: 1.114.1.org not found: 9(NOTAUTH) .vbird.100. Transfer failed.ksu.edu. 看到最後一個範例,有注意到上面輸出的特殊字體部分嗎?很多朋友在測試自己的 DNS 時,常常會 『指定到錯誤的 DNS 查詢主機』了~因為他們的 /etc/reslov.tw nameserver = dns1.50.tw.114.tw Address: 120.tw internet address = 120. 直接搜尋 mail.1 Address: 168.tw Server: 168.1#53 <==還是請特別注意 DNS 的 IP 是否正確! Non-authoritative answer: Name: mail.edu.tw internet address = 120.edu. Host vbird. dns1.linux. 找出 vbird.1.1.100.114.20 <==執行反解的查詢 > www. ksu.ksu.1 dns2.tw.edu.114.edu.edu.ksu.95.edu.ksu.1.org 的系統管理員,當然沒有權限可以讀取整個 vbird.edu.114.org.100.org .ksu. 如果在 nslookup 後面沒有加上任何主機名稱或 IP ,那將進入 nslookup 的查詢功能 在 nslookup 的查詢功能當中,可以輸入其他參數來進行特殊查詢,例如: set type=any :列出所有的資訊『正解方面設定檔』 set type=mx :列出與 mx 相關的資訊! # 1. 可以直接在 nslookup 加上待查詢的主機名稱或者是 IP ,[server] 可有可無; 2.tw 的 IP 資訊 [root@www ~]# nslookup mail.95.edu. Transfer failed.20 <==回報 IP 給你囉! nslookup 可單純的將 hostname 與 IP 對應列出而已,不過,還是會將查詢的 DNS 主機的 IP 列出來的! 如果想要知道更多詳細的參數,那可以直接進入 nslookup 這個軟體的操作畫面中,如下範例: [root@www ~]# nslookup <==進入 nslookup 查詢畫面 > 120.1#53 Non-authoritative answer: Name: www.ksu.org 領域的所有主機對應 [root@www ~]# host -l vbird.conf 忘記改,所以老是找不到自己設定的 資料庫 IP 資料。所以你要仔細看啊! # 4.ksu.1 > exit <==離開吧!皮卡丘 .tw <==執行正解的查詢 # 上面這兩個僅列出正反解的資訊,沒有啥了不起的地方啦! > set type=any <==變更查詢,不是僅有 A,全部資訊都列出來 > www.95.tw nameserver = dns2. <==竟然失敗了!請看底下的說明! 怎麼會無法回應呢?這樣的回應是因為管理 vbird.ksu.vbird.edu.1 Address: 168.ksu.95.edu.edu.org mail is handled by 10 linux.tw Address: 120.150.tw Server: 168.

AUTHORITY: 2.vbird. AUTHORITY: 1.opcode: QUERY.org 是由哪部 DNS 伺服器所提供的答案! 結 果是 dns.vbird.org 吧! [root@www ~]# dig linux. 140. .org.. .1 <<>> -t soa linux.org 及 dns2. QUESTION SECTION: .vbird. <==主要的回答階段 600 IN A .dns..org 的 SOA 相關資訊吧! [root@www ~]# dig -t soa linux. ns. vbird.opcode: QUERY.. <<>> DiG 9. 查詢 linux. ANSWER: 1.vbird. .. flags: qr rd ra. ADDITIONAL: 0 . ->>HEADER<<.org 的設定中, 預設可以保留 600 秒。 # 2.vbird.vbird. QUERY: 1.1-4 提到 過的流程,就是允許查詢者能夠保留這筆記錄多久的意思 (快取),在 linux.vbird.org...1#53(168.7.0-P2-RedHat-9.vbird...vbird. status: NOERROR..org. <==其他與此次回答有關的部分 600 IN NS dns.1 <<>> linux.vbird.1.org.1. ADDITIONAL: 0 .2 裡面談過了!回頭瞧瞧去! -t type:查詢的資料主要有 mx.org.116.linux.在上面的案例當中,請注意,如果你在 nslookup 的查詢畫面當中,輸入 set type=any 或其他參數, 那麼 就無法再進行反解的查詢了!這是因為 any 或者是 mx 等等的標誌都是記錄在正解 zone 當中的緣故! dig (未來的主流,請愛用他!) [root@www ~]# dig [options] FQDN [@server] 選項與參數: @server :如果不以 /etc/resolv.44. -t type 以及 -x 三者最常用 +trace :就是從 .0-P2-RedHat-9. AUTHORITY SECTION: vbird.linux.conf 的設定來作為 DNS 查詢,可在此填入其他的 IP options:相關的參數很多,主要有 +trace.. 600 IN 2007091402 28800 7200 720000 86400 .1.180 Query time: 9 msec SERVER: 168.1) WHEN: Thu Aug 4 14:12:26 2011 MSG SIZE rcvd: 86 在這個範例當中,我們可以看到整個顯示出的訊息包括有幾個部分: QUESTION(問題):顯示所要查詢的內容,因為我們是查詢 linux.org.vbird. Got answer: .. Got answer: . id: 37415 . global options: +cmd .7. QUERY: 1. AUTHORITY SECTION: vbird..4 來介紹 -x :查詢反解資訊,非常重要的項目! # 1..org. 開始追蹤,在 19.org .0-5. IN . status: NOERROR. <==提出的問題的部分 IN A .vbird.P2.vbird. soa 等類型,相關類型 19. 600 IN NS dns2.org. flags: qr rd ra. global options: +cmd . <<>> DiG 9.el6_0. id: 57511 . ANSWER SECTION: linux.org .95.vbird.. ->>HEADER<<.95. .. .7. 使用預設值查詢 linux. root.vbird. ANSWER: 0..P2. Query time: 17 msec SOA SOA dns.el6_0..0-5.org .org.vbird.org 的 IP,所以這裡顯示 A (Address); ANSWER(回答):依據剛剛的 QUESTION 去查詢所得到的結果,答案就是回答 IP 啊! AUTHORITY(驗證):由這裡我們可以知道 linux.. QUESTION SECTION: .7.vbird.org.org .vbird.org 這兩部主機管理的。另外,那個 600 是啥咚咚?圖 19.

ANSWER: 3. dns2. mail.arpa.ksu..120.120.tw.1.in-addr.3 查詢領域管理者相關資訊: whois 上個小節談到的是主機名稱的正反解查詢指令,那如果你想要知道整個領域的設定,使用的是『 host -l 領域名 』去查, 那如果你想要知道的是『這個領域是誰管的』的資訊呢?那就得要使用 whois 這個指 令才行喔!在 CentOS 6.twaren.tw. 449 A A A 120.100.edu.1.120. .100.114..net] # 這中間是一堆 whois 伺服器提供的訊息告知!底下是實際註冊的資料 .120.in-addr.org [Querying whois.. 3600 IN 100.114.in-addr.114.ksu.120.100. AUTHORITY SECTION: 100. AUTHORITY: 3.edu.edu.114..100.114. IN IN IN Query time: 29 msec SERVER: 168.1 120..tw.arpa.arpa. .1 <<>> -x 120..ksu.publicinterestregistry.P2. IN PTR . 3600 IN NS NS NS dns1.150. 結尾的資料,可以 先記下來。 19.100.arpa.1#53(168.120.arpa. WHEN: Thu Aug 4 14:15:57 2011 .x 當中, whois 是由 jwhois 這個軟體提供的,因此,如果找不到 whois 時,請用 yum 去安裝這個軟體吧! whois [root@www ~]# whois [domainname] <==注意啊!是 domain 而不是 hostname [root@www ~]# whois centos..100.edu.ksu.120.100.95.el6_0. 2658 dns3. flags: qr rd ra.20 變成了 20.120. global options: +cmd .95.arpa.114. SERVER: 168.1#53(168.20 .1 211. mail-smtp-proxy.100.1) WHEN: Thu Aug 4 14:17:58 2011 MSG SIZE rcvd: 245 反解相當有趣!從上面的輸出結果來看,反解的查詢目標竟然從 120.114. 3600 IN 100.114.0-5. MSG SIZE rcvd: 78 由於 dig 的輸出資訊實在是太豐富了,又分成多個部分去進行回報,因此很適合作為 DNS 追蹤回報的 一個指令呢! 你可以透過這個指令來瞭解一下你所設定的 DNS 資料庫是否正確,並進行除錯喔! ^_^!此外,你也可以透過『 -t type 』 的功能去查詢其他伺服器的設定值,可以方便你進行設定 DNS 伺服器時的參考喔!正解查詢完畢,接下來玩一玩反解吧! # 3. 3600 IN PTR PTR PTR mail-out-r2. ADDITIONAL SECTION: dns1.net.20 .2.. ANSWER SECTION: 20.in-addr.47 .opcode: QUERY.ksu.79.114..edu..arpa.tw.0-P2-RedHat-9. .114. <<>> DiG 9. status: NOERROR. ADDITIONAL: 3 .publicinterestregistry.edu.. .50.1.100.114.1.in-addr. dns3. 3600 IN 20. 這個模樣~這是啥鬼東西?不要怕,這等我們講到反解時再跟大家進一步解釋。 你現在要知 道的是,反解的查詢領域名,跟正解不太一樣即可,尤其是那個怪異的 in-addr.61.net] [whois.7. 查詢 120.95.20 的反解資訊結果 [root@www ~]# dig -x 120.tw.ksu..edu. ->>HEADER<<.arpa..ksu.tw.. QUERY: 1.inaddr.114.in-addr. 3600 IN 20.in-addr. Got answer: .arpa.20.114. id: 60337 . QUESTION SECTION: .7.1) ..95.twaren.net. 3036 dns2..tw.114. .

.P2.3 DNS 伺服器的軟體、種類與 cache only DNS 伺服器設定 談完了一些基礎概念後,接下來讓我們來聊一聊,那如何設定好 DNS 伺服器啊?這當然就得由軟體安裝談 起啦! 在這個小節,我們先不要談 DNS 記錄的正反解咚咚,只講到 hint 這個 .1.7.el6_0.1 架設 DNS 所需要的軟體 終於廢話都說完了!相信你大概也有點累的吧?鳥哥是蠻累的啦,因為手臂、肩頸酸痛的毛病頗嚴 重.0-5.tw <==這個 domain 的資訊 Contact: <==聯絡者的聯絡方式 Der-Min Tsai vbird@pc510.ev.idv.x86_64 <==給 bind 與相關指令使用的函式庫 bind-utils-9. dig 等等的指令來查詢主機名稱與 IP 的對應,這些指令的用法可以請你以 man command 來查詢更 多的用法喔! 19. host.0-5.el6_0.咦!講這個幹嘛? @_@ 好啦,我們終於要來安裝 DNS 所需要的軟體了!還記得前面提過的,我 們要使用的 DNS 軟體就是使用柏克萊大學發展出來的 BIND (Berkeley Internet Name Domain.twnic..1. (root) 的 zone,談一談最簡 單的僅有快取的 DNS 伺服器 (Caching only DNS server) 吧! 19.P2.0-5.7.x86_64 <==就是 bind 主程式所需軟體 bind-chroot-9.P2.twnic.Domain ID:D103409469-LROR Domain Name:CENTOS.edu. BIND) 這個 啦!那麼怎麼知道你安裝了沒?不就是 rpm 與 yum 嗎?自己查查看。 [root@www ~]# rpm -qa | grep '^bind' bind-libs-9.1.x86_64 <==這個是用戶端搜尋主機名稱的相關指令 bind-9.ncku.7.0-5.3.x86_64 <==將 bind 主程式關在家裡面! ..el6_0.el6_0.ORG Created On:04-Dec-2003 12:28:30 UTC Last Updated On:05-Dec-2010 01:23:25 UTC Expiration Date:04-Dec-2011 12:28:30 UTC <==記載了建立與與失效的日期 Sponsoring Registrar:Key-Systems GmbH (R51-LROR) Status:CLIENT TRANSFER PROHIBITED Registrant ID:P-8686062 Registrant Name:CentOS Domain Administrator Registrant Organization:The CentOS Project Registrant Street1:Mechelsesteenweg 170 # 底下則是一堆聯絡方式,鳥哥將它取消了,免得多佔篇幅~ whois 這個指令可以查詢到當初註冊這個 domain 的使用者的相關資訊。不過,由於近年來很多網路資 訊安全的問題,這個 whois 所提供的資訊真的是太詳細了,為了保護使用者的隱私權,所以,目前這 個 whois 所查詢到的資訊已經不見得是完全正確的了~而且,在顯示出 whois 的資訊之前,還會有一段 宣告事項的告知呢~ ^_^y 如果使用 whois 來檢查鳥哥所註冊的合法 domain 會是如何呢?看看: [root@www ~]# whois vbird.idv.7.net] [whois.tw [Querying whois.P2.tw Record expires on 2018-09-17 (YYYY-MM-DD) Record created on 2002-09-13 (YYYY-MM-DD) Registration Service Provider: HINET 呵呵!這個 domain 會在 2018/09/17 失效的意思啦!報告完畢!無論如何,我們都可以透過 nslookup.1.net] <==這個 whois 伺服器查到的資料 Domain Name: vbird.

2 BIND 的預設路徑設定與 chroot 要架設好 BIND 需要什麼設定資料呢?基本上有兩個主要的資料要處理: BIND 本身的設定檔:主要規範主機的設定、zone file 的所在、權限的設定等; 正反解資料庫檔案 (zone file):記錄主機名稱與 IP 對應的等。 BIND 的設定檔為 /etc/named..x..conf :這就是我們的主設定檔啦! /etc/sysconfig/named :是否啟動 chroot 及額外的參數,就由這個檔案控制; /var/named/ :資料庫檔案預設放置在這個目錄 /var/run/named :named 這支程式執行時預設放置 pid-file 在此目錄內。 /etc/sysconfig/named 與 chroot 環境 不過,為了系統的安全性考量,一般來說目前各主要 distributions 都已經自動的將你的 bind 相關程式給 他 chroot 了! 那你如何知道你 chroot 所指定的目錄在哪裡呢?其實是記錄在 /etc/sysconfig/named 裡面 啦!你可以先查閱一下: [root@www ~]# cat /etc/sysconfig/named ROOTDIR=/var/named/chroot 事實上該檔案內較有意義的就只有上面這一行,意思是說:『我要將 named 給他 chroot ,並且變更的 根目錄為 /var/named/chroot 』喔!由於根目錄已經被變更到 /var/named/chroot 了,但 bind 的相關程式是 需要 /etc.d/named 啟動時所讀 入的,所以你也可以直接修改 /etc/init.conf /var/named/chroot/var/named/zone_file1 /var/named/chroot/var/named/zone_file. bind-chroot 所提供,那前一小節提到的,每部 DNS 伺服器都要有的 .conf,在這個檔案裡面可以規範 zone file 的完整檔名喔! 也就是說,你的 zone file 其實是由 /etc/named. 5.. (root) 這個 zone file 在哪裡?它也是由 bind 所提供的喔! (CentOS 4.x 所提供的 caching-nameserver 軟體並不存在 CentOS 6.. /var/run .conf 內規 範為正確即可。一般來說, CentOS 6.x 當中了喔!已經被涵蓋於 bind 軟體內!) 19.x 預設將 bind 鎖在 /var/named/chroot 目錄中喔! 我們主程式是由 bind.x 已經將 chroot 所需要使用到的目錄, 透過 mount --bind 的功能進行目錄連結了 (參考 /etc/init. /var/named. /var/named/chroot/var/run/named/.x 當中,你根本無須切換至 /var/named/chroot/ 了!使用正規的目錄即可喔!就是這樣簡單!^_^ Tips: 事實上, /etc/sysconfig/named 是由 /etc/init. 哇!真是好麻煩~不過,不要太擔心!因為新版本的 CentOS 6.d/named 內容),舉例來說,我們需要的 /var/named 在啟動腳本中透過 mount --bind /var/named /var/named/chroot/var/named 進行目錄綁定囉!所以在 CentOS 6.....d/named 這個 script 哩! .上面比較重要的是那個『 bind-chroot 』啦!所謂的 chroot 代表的是『 change to root(根目錄) 』的意 思,root 代表的是根目錄。早期的 bind 預設將程序啟動在 /var/named 當中,但是該程序可以在根目錄下 的其他目錄到處轉移,因此若 bind 的程式有問題時,則該程序會造成整個系統的危害。為避免這個問 題, 所以我們將某個目錄指定為 bind 程式的根目錄,由於已經是根目錄,所以 bind 便不能離開該目 錄!所以若該程序被攻擊,了不起也是在某個特定目錄底下搞破壞而已。 CentOS 6.3.x 的預設目錄是這樣的: /etc/named.等目錄的,所以實際上咱們 bind 的相關程式所需要的所有資料會是在: /var/named/chroot/etc/named.conf 所指定的,所以 zone file 檔名可以隨便取啦! 只要 /etc/named.

這個 root 領域的 zone file), 因此 不論是誰來查詢資料,這部 DNS 一律開始從自己的快取以及 . 這個 zone file 的簡單 DNS 伺服器,我們稱這種沒有自己公開的 DNS 資料庫的伺服器為 cache-only (僅快取) DNS server!顧名思義,這個 DNS server 只有快取搜尋結果的功能,也就是說,他本 身並沒有主機名稱與 IP 正反解的設定檔,完全是由對外的查詢來提供他的資料來源! 那如果連 .conf 主設定檔) 即 . 查詢的任務,丟給上層 DNS 伺服器去煩惱即可。 如此一來,我們這部具有 forwarding 功能 的 DNS 伺服器,甚至連 .3 單純的 cache-only DNS 伺服器與 forwarding 功能 在下一小節開始介紹正、反解 zone 的資料設定之前,在這個小節當中,我們先來談一個單純修改設定 檔,而不必設計 zone file 的環境,那就是不具有自己正反解 zone 的僅進行快取的 DNS 伺服器。 什麼是 cache-only 與 forwarding DNS 伺服器呢? 有個只需要 . 的 zone 支援即可),所以只要設定一個檔案 (就是 named. 都不想要呢?那就得要指定一個上層 DNS 伺服器作為你的 forwarding (轉遞) 目標,將原本 自己要往 . 都不需要了!因為 . 的 zone ,那幹嘛 還得要架設這樣的 DNS 呢?是有理由的啦! 什麼時候有架設 cache-only DNS 的需求? 在某些公司行號裡頭,為了預防員工利用公司的網路資源作自己的事情,所以都會針對 Internet 的連線 作比較嚴格的限制。當然啦,連 port 53 這個 DNS 會用到的 port 也可能會被擋在防火牆之外的~這個時 候, 你可以在『防火牆的那部機器上面,加裝一個 cache-only 的 DNS 服務!』 這是什麼意思呢?很簡單啊!就是你自己利用自己的防火牆主機上的 DNS 服務去幫你的 Client 端解譯 hostname <--> IP 囉!因為防火牆主機可以設定放行自己的 DNS 功能,而 Client 端就設定該防火牆 IP 為 DNS 伺服器的 IP 即可!哈哈!這樣就可以取得主機名稱與 IP 的轉譯啦!所以,通常架設 cache only DNS 伺服器大都是為了系統安全囉。 實際設定 cache-only DNS server 那如何在你的 Linux 主機上架設一個 cache-only 的 DNS 伺服器呢?其實真的很簡單的啦!因為不需要 設定正反解的 zone (只需要 . 找起,整個流程與圖 19.3-1、具有 forwarding 功能的 DNS 伺服器查詢方式 觀察上圖的查詢方向,你會發現到,具有 forwarding 機制時,查詢權會委請上層 DNS 伺服器來處理, 所以根本也不需要 . 這個位置所在的 zone 啦。一般來說,如果你的環境需要架設一個 cache-only 的 DNS 伺服器時,其實可以直接加上 forwarding 的機制,讓查詢權指向上層或者是流量較大的上層 DNS 伺服器即可。那既然 cache only 的伺服器並沒有資料庫, forwarding 機制甚至不需要 . 有記錄在上層 DNS 上頭了嘛! 如同剛剛提到的,cache only 的 DNS 並不存在資料庫 (其實還是存在 . 這個 zone file,這部 DNS 還是會將查詢 權『委請』上層 DNS 查詢的,這部 DNS 伺服器當場變成用戶端啦!查詢流程會變這樣喔: 圖 19.1-4 相同。那如 果具有 forwarding 功能呢?果真如此,那即使你的 DNS 具有 .3.19.

conf 雖然我們具有 chroot 的環境,不過由於 CentOS 6.zones 這個領域定義檔 // 所以請記得要修改成底下的樣式啊! options { listen-on port 53 { any.20. 這個 zone file 的設定,也不會使用 . //將自己視為用戶端的一種查詢模式 forward only. //一些統計資訊 statistics-file "/var/named/data/named_stats.conf // 在預設的情況下,這個檔案會去讀取 /etc/named. 這個是針對用戶端的設定,到底誰可以對我的 DNS 服務提出查詢請求的意思。原本的檔案內 容預設是針對 localhost 開放而已, 我們這裡改成對所有的用戶開放 (當然啦,防火牆也得放 行才行)。不過,預設 DNS 就是對所有用戶放行,所以這個設定值也可以不用寫。 forward only .可!真是快樂得不得了吶! 另外,cache-only 只要加上個 forwarders 的設定即可指定 forwarding 的資 料,所以底下我們將設定具有 forwarding 的 cache-only DNS 伺服器吧! 1. 監聽在這部主機系統上面的哪個網路介面。預設是監聽在 localhost,亦即只有本機可以對 DNS 服務進行查詢,那當然是很不合理啊! 所以這裡要將大括號內的資料改寫成 any。記 得,因為可以監聽多個介面,因此 any 後面得要加上分號才算結束喔! 另外,這個項目如果 忘記寫也沒有關係,因為預設是對整個主機系統的所有介面進行監聽的。 directory "/var/named".conf /etc/named. }. //資料庫預設放置的目錄所在 dump-file "/var/named/data/cache_dump. //先用中華電信的 DNS 當上層 139.175. //可不設定,代表全部接受 directory "/var/named".95.txt".rfc1912.db".conf. 編輯主要設定檔: /etc/named. 』來做為結尾! 鳥哥將這個檔案再簡化如下的樣式: [root@www ~]# cp /etc/named. memstatistics-file "/var/named/data/named_mem_stats. 意思是說,如果此檔案底下有規範到正、反解的 zone file 檔名時,該檔名預設應該放置在哪 個目錄底下的意思。預設放置到 /var/named/ 底下。由於 chroot 的關係,最終這些資料庫檔案 會被主動連結到 /var/named/chroot/var/named/ 這個目錄。 dump-file.10.conf 的 結構中,與伺服器環境有關的是由 options 這個項目內容設定的,因為 options 裡面還有很多子參 數, 所以就以大括號 { } 包起來囉。至於 options 內的子參數在上面提到的較重要的項目簡單敘述如 下: listen-on port 53 { any. //可暫時不設定 forwarders { //是重點! 168. }. //最終記得要結尾符號! 鳥哥將大部分的資料都予以刪除,只將少部分保留的資料加以小部分的修訂而已。在 named.raw [root@www ~]# vim /etc/named. allow-query { any. statistics-file.conf 修改啦! 在這個檔案中,主要是定義跟伺服器環境有關的設定,以及各個 zone 的領域及資料庫所在檔名。 在鳥哥的這個案例當中,因為使用了 forwarding 的機制,所以這個 cache-only DNS 伺服器並沒有 zone (連 . }. //再用 seednet 當上層 }.1. 都沒有),所以我們只要設定好跟伺服器有關的設定即可。設定這個檔案的時候請注意: 註解資料是放置在兩條斜線『 // 』後面接的資料 每個段落之後都需要以分號『 .txt". memstatistics-file 與 named 這個服務有關的許多統計資訊,如果想要輸出成為檔案的話,預設的檔名就如上所 述。鳥哥自己很少看這些統計資料, 所以,這三個設定值寫不寫應該都是沒有關係的。 allow-query { any. }.conf 即可呦!不要再去 /var/named/chroot/etc/named.1. }. 這個設定可以讓你的 DNS 伺服器僅進行 forward,即使有 .x 已經透過啟動腳本幫我們進行檔案與目錄的掛載 連結,所以請你直接修改 /etc/named. //可不設定,代表全部接受 recursion yes.

的資料, 只會將查詢權交給上層 DNS 伺服器而已,是 cache only DNS 最常見的設定了! forwarders { 168. 檢查 /var/log/messages 的內容訊息 (極重要!) named 這個服務的記錄檔就直接給他放置在 /var/log/messages 裡面啦,所以來看看裡面的幾行登錄資 訊吧! [root@www ~]# tail -n 30 /var/log/messages | grep named Aug 4 14:57:09 www named[3140]: starting BIND 9.168.100#53 listening on IPv4 interface eth1.1.0:* tcp 0 0 127.0.1#953 command channel listening on ::1#953 the working directory is not writable running 上面最重要的是第一行出現的『-t .0:* udp 0 0 127.0. 啟動 named 並觀察服務的埠口 啟動總不會忘記吧?趕快去啟動一下吧!同時啟動完畢之後,觀察一下由 named 所開啟的埠口,看 看到底哪些埠口會被 DNS 用到的! # 1.7.0.1. 』來做為結尾! 很簡單吧!至於更多的參數我們會在後續篇幅當中慢慢介紹的。這樣就已經設定完成了最簡單的 cache only DNS server 了! 2.100.168..0.0.0.1:53 0. using 1 worker thread using up to 4096 sockets loading configuration from '/etc/named. 192. 65535] listening on IPv4 interface lo.254:53 0.0.10..0:* State LISTEN LISTEN LISTEN LISTEN LISTEN PID/Program name 3140/named 3140/named 3140/named 3140/named 3140/named 3140/named 3140/named 3140/named 我們知道 DNS 會同時啟用 UDP/TCP 的 port 53,而且是針對所有介面,因此上面的資料並沒有什麼 特異的部分。不過,怎麼會有 port 953 且僅針對本機來監聽呢?其實那是 named 的遠端控制功能, 稱為遠端名稱解析服務控制功能 (remote name daemon control.0.d/named start Starting named: [ OK ] [root@www ~]# chkconfig named on # 2.0.1#53 listening on IPv4 interface eth0.0.0.168. } .95.1:953 0.0.254:53 0.20.0.conf' using default UDP/IPv4 port range: [1024.7.』那個項目指出你的 chroot 目錄囉。另外,上面表格中特殊字 ..0.1.0.100.0:* tcp 0 0 127. 啟動一下 DNS 這玩意兒! [root@www ~]# /etc/init.0-P2-RedHat-9.100.168. 192.0.168.0:* tcp 0 0 192.0-5.0:* tcp 0 0 ::1:953 :::* udp 0 0 192.0.0.0.1:53 0.100:53 0.1 -u named -t /var/named/chroot <==說明的是 chroot 在哪個目錄下! Aug Aug Aug Aug Aug Aug Aug Aug Aug Aug Aug Aug Aug Aug 4 4 4 4 4 4 4 4 4 4 4 4 4 4 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 14:57:09 www www www www www www www www www www www www www www named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: named[3140]: adjusted limit on open files from 1024 to 1048576 found 1 CPU.el6_0.0:* udp 0 0 192. 既然有 forward only,那麼到底要對哪部上層 DNS 伺服器進行轉遞呢?那就是 forwarders (不要 忘記那個 s) 設定值的重要性了!由於擔心上層 DNS 伺服器也可能會掛點,因此可以設定多 部上層 DNS 伺服器喔!每一個 forwarder 伺服器的 IP 都需要有『 . 65535] using default UDP/IPv6 port range: [1024.0. 127. 139.0.0.0.0.P2.1.1. rndc)。預設的情況下,僅有本機可以針 對 rndc 來控制。我們會在後續的章節再來探討這個 rndc 啦,目前我們只要知道 UDP/TCP port 53 有 啟動即可。 3.100:53 0. 到底用了多少埠口呢? [root@www ~]# netstat -utlnp | grep named Proto Recv-Q Send-Q Local Address Foreign Address tcp 0 0 192.168.254#53 generating session key for dynamic DNS command channel listening on 127.175.

conf 所設定; 當 DNS 查詢時,若本身沒有資料庫檔案,則前往 root (. 測試: 如果你的 DNS 伺服器具有連上網際網路的功能,那麼透過『 dig www.1-4 的說明),因此,對於那些下層的 DNS 伺服器而言,查詢速度會增快很多,亦即會節省很多的查詢時間!因為 forwarder 伺服器裡面有 較多的快取記錄了, 所以包括 forwarder 本身,以及所有向這部 forwarder 要求資料的 DNS 伺服 器,都能夠減少往 .0. 5.conf,代表可以順利的載入 /var/named/etc/named.4 DNS 伺服器的詳細設定 好了,經過上面的說明後,我們大概知道 DNS 的幾個小細節是這樣的: 1.0. DNS 伺服器的架設需要上層 DNS 的授權才可以成為合法的 DNS 伺服器 (否則只是練功); 設定檔位置:目前 bind 程式已進行 chroot,相關目錄可參考 /etc/sysconfig/named; named 主要設定檔是 /etc/named.0.conf 的意思。如果 上面有出現冒號後面接數字 (:10), 那就代表某個檔案內的第十行有問題的意思,屆時再進入處理 即可。要注意的是,即使 port 53 有啟動,但有可能 DNS 服務是錯誤的,此時這個登錄檔就顯的非 常重要!每次重新啟動 DNS 後,請務必查閱一下這個檔案的內容!! Tips: 如果你在 /var/log/messages 裡面一直看到這樣的錯誤資訊: couldn't add command channel 127.1) 』的字樣, 那就代表應該是成功啦!其他更詳細的測試請參考:19. 4.0.) 或 forwarders 伺服器查詢; named 是否啟動成功務必要查閱 /var/log/messages 內的資訊! 其中第一點很重要,因為我們尚未向上層 ISP 註冊合法的領域名稱,所以我們當然就沒有權利架設合法的 DNS 伺服器了。 而由於擔心我們的 DNS 伺服器會與外部網際網路環境互相干擾,所以底下鳥哥將主要以 一個 centos.com @127.0. 6.conf 中! 4.1#953: not found 那表示你還必需要加入 rndc key ,請參考本章後面的 利用 RNDC 指令管理 DNS 伺服器 的介紹,將他加入你的 named.google. 2.0.conf; 每個正、反解領域都需要一個資料庫檔案,而檔名則是由 /etc/named. 查詢的機會, 因此速度當然增加。 利用 Forwarder 反而會使整體的效能降低: 但是另外一派則持相反的見解!這是因為當主 DNS 本身的『業務量』就很繁忙的時候,那麼你 的 cache only DNS 伺服器還向他要求資料,因為他原本的資料傳輸量就太大了,頻寬方面可能負 荷不量,而太多的下層 DNS 還向他要求資料,所以他的查詢速度會變慢!因為查詢速度變慢 了,而你的 cache only server 又是向他提出要求的,所以自然兩邊的查詢速度就會同步下降! 很多種說法啦!鳥哥本人也覺得很有趣哩!只是不知道哪一派較正確就是了,不過可以知道的是,如 果上層的 DNS 速度很快的話,那麼他被設定為 forwarder 時,或許真的可以增加不少效能哩! 19.vbird 的領域名稱來架設 DNS 伺服器,如此一來咱們就可以好好的玩一玩自己區域網路內的 DNS 啦! . 3.0.1#53(127.體的部分,有寫到讀取 /etc/named.0.2 小節的內 容 特別說明:Forwarders 的好處與問題分析 關於 forwarder 的好處與壞處,其實有很多種的意見!大致的意見可分為這兩派: 利用 Forwarder 的功能來增進效能的理論: 這些朋友們認為,當很多的下層 DNS 伺服器都使用 forwarder 時,那麼那個被設定為 forwarder 的 主機,由於會記錄很多的查詢資訊記錄 (請參考圖 19.1 』這個 基本指令執行看看, 如果有找到 google 的 IP ,並且輸出資料的最底下顯示『 SERVER: 127.

(前面省略).tw.19.ksu.edu. IN 領域名稱.edu...edu. AAAA :查詢 IP 的記錄 .. .4.tw 的 IP 時,輸出的結果為: [root@www ~]# dig www.edu.tw 這個領域 (domain. IN 領域名稱.) 就被稱為 FQDN 了!例如剛剛 dig www.. zone),以及 www. RR) 既然 DNS 最早之前的目的就是要從主機名稱去找到 IP,所以就讓我們先從正解 zone 來談起吧。既然 要談正解, 那麼就應該要瞭解正解檔案記錄的資訊有哪些吧?在這個小節裡面,我們就先來談談正解 zone 常常記錄的資料有哪些吧。 正解檔資源記錄 (resource record...edu.edu.. AUTHORITY SECTION: ksu.100... .ksu.edu.tw.101 .tw..ksu.(後面省略). 2203 IN A 120. ANSWER SECTION: www.tw.tw 之後,就 會發現這個時間會減少!為什麼呢?因為在你的 DNS 快取中,這筆資料能夠保存的時間會開始倒數, 當這個數字歸零後,下次有人再重新搜尋這筆記錄時,你的 DNS 就會重新沿著 .ksu..ksu.tw 的 NS 伺服器為哪 一部的意思。 格式非常接近,只是 A 後面接 IP,而 NS 後面接主機名稱而已。我們可以將整個輸出的 格式簡化成為如下的說明: [domain] [ttl] IN [[RR type] [RR data]] [待查資料] [暫存時間(秒)] IN [[資源類型] [資源內容]] 上表中,關鍵字 IN 是固定的,而 RR type 與 RR data 則是互有關連性的,例如剛剛才提過的 A 就是接 IP 而不是主機名稱啊。此外,在 domain 的部分,若可能的話,請盡量使用 FQDN,亦即是主機名稱結 尾加上一個小數點的 (.. IN 領域名稱...edu. IN RR 相關資訊 [[RR type] A AAAA NS SOA MX CNAME [RR data]] IPv4 的 IP 位址 IPv6 的 IP 位址 管理這個領域名稱的伺服器主機名字. 911 IN NS dns1.edu. IN 主機名稱.edu.ksu.114.ksu. 喔!注意看最後面有個小數點喔!那個小數點非常重要! 至於 ttl 就是 time to live 的縮寫,意思就是當這筆記錄被其他 DNS 伺服器查詢到後, 這個記錄會保持 在對方 DNS 伺服器的快取中,保持多少秒鐘的意思。所以,當你反覆執行 dig www.edu.1 正解檔記錄的資料 (Resource Record. 管理這個領域名稱的七個重要參數(容後說明) 順序數字 接收郵件的伺服器主機名字 實際代表這個主機別名的主機名字.tw . IN 主機別名. 接下來我們以崑山科大的 DNS 設定,包括 ksu. (root) 開始重來搜尋一 遍, 而不會從快取裡面捉取了 (因為快取內的資料會被捨棄)。 由於 ttl 可由特定的參數來統一控管,因此在 RR 的記錄格式中,通常這個 ttl 的欄位是可以忽略的。 那麼常見的 RR 有哪些呢?我們將正解檔的 RR 記錄格式彙整如下: # 常見的正解檔 [domain] IN 主機名稱.ksu.tw 的輸出結果中,在答案階段 時,搜尋的主機名稱會變成 www. # 上面的輸出資料已經被簡化過了,重點是要大家瞭解 RR 的格式 在答案的輸出階段,主要查詢得到的是 A 的標誌,在認證階段,則是提供 ksu. RR) 格式 我們從前面幾個小節的 dig 指令輸出結果中,可以發現到一個有趣的咚咚,那就是輸出的資料格式似 乎是固定的! 舉例來說,查詢 www.tw 這個 主機名稱 (FQDN) 的查詢結果來跟大家解釋每個 RR 記錄的資訊為何呦! A.

tw 才行喔!舉例如下: [root@www ~]# dig -t ns ksu.edu. .這個 A 的 RR 類型是在查詢某個主機名稱的 IP,也是最長被查詢的一個 RR 標誌喔!舉例來說,要找 到 www.tw 這個領域的主要 DNS 伺服器囉; 2.edu.tw 為 ksu.edu. 1596 IN NS dns1. 管理員的 email:那麼管理員的 email 為何?發生問題可以聯絡這個管理員。要注意的是, 由於 @ 在資料庫檔案中是有特別意義的,因此這裡就將 abuse@mail.tw. 3600 IN SOA 2010080369 1800 900 604800 86400 # 上述的輸出結果是同一行喔! dns1.tw.tw.edu.edu.edu. Master DNS 伺服器主機名稱:這個領域主要是哪部 DNS 作為 master 的意思。在本例中, dns1.100.edu.tw .tw. SOA 主要是與領域有關,所以前面當然要寫 ksu.ksu.edu.edu. 序號 (Serial):這個序號代表的是這個資料庫檔案的新舊,序號越大代表越新。 當 slave 要判斷是 .edu.. ttl 這部主機的 IP 就是這裡 # 僅列出答案階段的資料,後續的 RR 相關標誌也是這樣顯示的喔! # 指令列中的 [-t a] 可以不加,而最左邊主機名稱結尾都會有小數點喔! 左邊是主機名稱,當然,你也可以讓你的 domain 擁有一個 A 的標誌,例如『 dig google.101 # 主機FQDN.tw 改寫成 abuse.tw .edu.50.edu.mail.edu.114. abuse.tw ,這樣看的懂了嗎? 3. ANSWER SECTION: ksu.edu..edu.ksu.1 # 除了列出 NS 是哪部伺服器之外,該伺服器的 IP 也會額外提供! 前面提過,DNS 伺服器是很重要的,因此至少都會有兩部以上。崑山科大共有三部 DNS 伺服器,鳥哥 僅列出第一部提供參考。 NS 後面會加伺服器名稱,而這個伺服器的 IP 也會額外提供才對!因此 NS 經常伴隨 A 的標誌啊!這樣你才能到 NS 去查詢資料嘛!這樣說有理解吧? ^_^ SOA :查詢管理領域名稱的伺服器管理資訊 如果你有多部 DNS 伺服器管理同一個領域名稱時,那麼最好使用 master/slave 的方式來進行管理。既然 要這樣管理, 那就得要宣告被管理的 zone file 是如何進行傳輸的,此時就得要 SOA (Start Of Authority) 的標誌了。先來瞧瞧崑山科大的設定是怎樣: [root@www ~]# dig -t soa ksu.edu..edu.tw 的這筆記錄是由哪部 DNS 伺服器提供的,那就得要使用 NS (NameServer) 的 RR 類型標誌來查詢。不過,由於 NS 是管理整個領域的,因此,你得要查詢的目標將 得輸入 domain,亦即 ksu.ksu.ksu.tw.com 』也能找 到 IP。 不過,咱們崑山科大的 ksu.ksu.tw 這個領域名。而 SOA 後面共會接七個參數,這 七個參數的意義依序是: 1.ksu.ksu.tw. ANSWER SECTION: ksu.ksu.ksu.tw 的 A 的話,就是這樣查: [root@www ~]# dig [-t a] www. 577 IN A 120.mail.tw .tw 則沒有設定 IP 就是了。要再次特別強調的,主機名稱如果是 全名, 結尾部分請務必加上小數點。如果你的 IP 設定的是 IPv6 的話,那麼查詢就得要使用 aaaa 類型 才行。 NS :查詢管理領域名稱 (zone) 的伺服器主機名 如果你想要知道 www..ksu.tw. ADDITIONAL SECTION: dns1.114. ANSWER SECTION: www. 2987 IN A 120.edu.edu.ksu.

』, 這個『鳥哥』就是別名 (CNAME) ,而對應到的名 稱就是『蔡某某』,這個蔡某某才真的有身份字號的意思~ 一層一層去追蹤囉~ 這個 CNAME 有啥好處呢?用 A 就好了吧?其實還是有好處的,舉例來說,如果你有一個 IP,這個 IP 是給很多主機名稱使用的。 那麼當你的 IP 更改時,所有的資料就得通通更新 A 標誌才行。如果你只 有一個主要主機名稱設定 A,而其他的標誌使用 CNAME 時,那麼當 IP 更改,那你只要修訂一個 A 的 標誌,其他的 CNAME 就跟著變動了!處理起來比較容易啊! MX :查詢某領域名稱的郵件伺服器主機名稱 MX 是 Mail eXchanger (郵件交換) 的意思,通常你的整個領域會設定一個 MX ,代表,所有寄給這個領 域的 email 應該要送到後頭的 email server 主機名上頭才是。先看看崑大的資料: ..1.14. 557697 IN www.com.google. 更新頻率 (Refresh):那麼啥時 slave 會去向 master 要求資料更新的判斷? 就是這個數值定義的。 崑山科大的 DNS 設定每 1800 秒進行一次 slave 向 master 要求資料更新。那每次 slave 去更新時, 如果發現序號沒有比較大,那就不會下載資料庫檔案。 5. 失效時間 (Expire):如果一直失敗嘗試時間,持續連線到達這個設定值時限, 那麼 slave 將不再 繼續嘗試連線,並且嘗試刪除這份下載的 zone file 資訊。崑山科大設定為 604800 秒。意思是 說,當連線一直失敗,每 900 秒嘗試到達 604800 秒後,崑山科大的 slave 將不再更新,只能等待 系統管理員的處理。 7.com..com 時,請找 www. 失敗重新嘗試時間 (Retry):如果因為某些因素,導致 slave 無法對 master 達成連線, 那麼在多久 的時間內,slave 會嘗試重新連線到 master。在崑山科大的設定中,900 秒會重新嘗試一次。意思 是說,每 1800 秒 slave 會主動向 master 連線,但如果該次連線沒有成功,那接下來嘗試連線的時 間會變成 900 秒。若後來有成功,則又會恢復到 1800 秒才再一次連線。 6.google.com 時,你會發現這樣: [root@www ~]# dig www. 快取時間 (Minumum TTL):如果這個資料庫 zone file 中,每筆 RR 記錄都沒有寫到 TTL 快取時間 的話,那麼就以這個 SOA 的設定值為主。 除了 Serial 不可以超過 2 的 32 次方之外,有沒有其它的限制啊針對這幾個數值?是有的,基本上就是 這樣: Refresh >= Retry *2 Refresh + Retry < Expire Expire >= Rrtry * 10 Expire >= 7Days 一般來說,如果 DNS RR 資料變更情況頻繁的,那麼上述的相關數值可以訂定的小一些,如果 DNS RR 是很穩定的, 為了節省頻寬,則可以將 Refresh 設定的較大一些。 CNAME :設定某主機名稱的別名 (alias) 有時候你不想要針對某個主機名稱設定 A 的標誌,而是想透過另外一部主機名稱的 A 來規範這個新主 機名稱時, 可以使用別名 (CNAME) 的設定喔!舉例來說,追蹤 www.203.google.com .l. ANSWER SECTION: www.com.google.com 那個主機,而那個主機的 A 就上面 第二行的顯示了。 鳥哥常常開玩笑的說,你知道鳥哥的身份證字號嗎?你到戶政事務所去查『鳥哥』 時,他會說:『沒這個人啊!因為沒有人姓鳥.google.l.99 意思是說,當你要追查 www. 298 IN CNAME A www. 72.google.否主動下載新的資料庫時,就以序號是否比 slave 上的還要新來判斷,若是則下載,若不是則不 下載。 所以當你修訂了資料庫內容時,記得要將這個數值放大才行! 為了方便使用者記憶,通 常序號都會使用日期格式『YYYYMMDDNU』來記憶,例如崑山科大的 2010080369 序號代表 2010/08/03 當天的第 69 次更新的感覺。不過,序號不可大於 2 的 32 次方,亦即必須小於 4294967296 才行喔。 4..google.

.28 IN 上頭的意思是說,當有信件要送給 ksu.tw.120.0/24 這個 class C IP 網段的反解設定,就必須要寫成: 100.ksu.4.tw 的 A 啊! 那麼在 mx01 之前的 8 是什麼意思?由於擔心郵件會遺失,因此較大型的企業會有多部這樣的上層郵件 伺服器來預先收受信件。 那麼到底哪部郵件主機會先收下呢?就以數字較小的那部優先囉!舉例來 說,如果你去查 google.edu. .114.100.114. 這樣的 zone 名稱才行。 而 PTR 後面接的自然就是主機名稱囉! 在反解最重要的地方就是:後面的主機名稱盡量使用完整 FQDN,亦即加上小數點 (.edu.arpa.120. 的怪模樣。 這是比較需要注意的地 方。 Tips: 老實說,鳥園討論區的一些有經驗的朋友一直在講,如果擔 心會有誤解,主機名稱的設定則通通記得是要填寫 FQDN 就 是了! 這樣絕對不會有問題! ^_^ 19. 例如上述的結果中,我們要查詢的主機名稱竟然變成了 IP 反轉的模樣!所以才稱為反解嘛!而反解的 標誌最重要的就是 PTR 了! PTR :就是反解啊!所以是查詢 IP 所對應的主機名稱 進行反解時,要注意的就是 zone 的名稱了!要將 IP 反轉過來寫,並且結尾加上 .100.com 的 MX 標誌, 就會發現他有 5 部這樣的伺服器呢! 19.arpa.120.tw .ksu.edu.in-addr.arpa.arpa.3 步驟一:DNS 的環境規劃:正解、反解 zone 的預先定義案例說明 . 的結尾字樣即可。所以,當你想要追蹤反解時,那 麼反解的結果就會是: [root@www ~]# dig -x 120.in-addr.101 來說好了,當然是 120 > 114 > 100 > 101 ,左邊的網域最 大! 與預設的 DNS 從右邊向左邊查詢不一樣啊!那怎辦?為了解決這個問題,所以反解的 zone 就必 須要將 IP 反過來寫,而在結尾時加上 .edu.114.edu.edu..100.4. 為例,如果你只是填寫主機名稱,並沒有填寫領域名稱, 那麼當人家追蹤你的 主機名稱時,你的主機名稱會變成: www.101 .114.tw.ksu.in-addr.ksu.tw. 3600 IN MX 8 mx01.tw 這部郵 件伺服器管理, 當然啦,這部 mx01.114.tw 這個領域時,則預先將信件傳送給 mx01.arpa.edu.114..tw 自然就是崑大自己管理的郵件伺服器才行!MX 後面接 的主機名稱通常就是合法 mail server, 而想要當 MX 伺服器,就得要有 A 的標誌才行~所以上表後面 就會出現 mx01. 3600 A 120.120. 才行! 例 如 120.edu.100.[root@www ~]# dig -t mx ksu.114.in-addr.in-addr.ksu.arpa.ksu.100.ksu.tw.(root) > tw > edu 以此類推。 因此追蹤時,是由大範圍找到小範圍, 最後,我們就知道追蹤的方向如圖 19. ANSWER SECTION: 101.) !為什麼呢?舉 100.114. 3600 IN PTR www. ADDITIONAL SECTION: mx01.edu.2 反解檔記錄的 RR 資料 講完了正解來談談反解吧!在講反解之前,先來談談正解主機名稱的追蹤方式。以 www. ANSWER SECTION: ksu. 來 說,整個網域的概念來看, 越右邊出現的名稱代表網域越大!舉例來說,.edu.in-addr.100.tw.1-4 所示那樣。 但是 IP 則不一樣啊!以崑大的 120.

192.100 (主要的 192.centos.100.centos.20) winxp.100.com 的領域, 因為我 將 192.2-1): 作業系統與IP 主機名稱與 RR 標誌 說明 Linux (192.vbird,其他的都是 CNAME,這樣未來比較好修改。同時給 予一個 MX 的標誌給主要主機名喔 Linux (192.168.100.168.168.3 裡面談過,在我們目前的案例中, 則必須要將 forwarders 相關功能取消,並加上禁止傳輸 zone file 的參數即可。至於 zone 的設定上,必須要包含上個 小節談到的三個主要的 zone 喔!因此這個檔案的任務是: options:規範 DNS 伺服器的使用權限 (可否查詢、forward 與否等); zone:設定出 zone (domain name) 以及 zone file 的所在 (包含 master/slave/hint); 其他:設定 DNS 本機管理介面以及其相關的金鑰檔案 (key file)。(本章稍後進階應用再談) 那就直接看一下鳥哥的範本吧: [root@www ~]# vim /etc/named.168.vbird 這個 DNS 伺服器名稱。至於這部主機的另一個 主要名稱是 www.centos.(root) 而不透過 forwarders 的輔助,因此還得要 .centos.168.centos.conf (主要設定檔) named.vbird (A) 一部用來測試的 Windows XP Win7 (192.0/24 這一段,因此主要的正解網域為 centos.yahoo.centos.168.vbird 的機器未來的用途相當的多,鳥哥希望那一部主機有多個名稱,以方便未 來額外的規劃啊。 所以就對該 IP 對應了四個主機名稱啊! Tips: 在自家設的沒有經過合法授權的 DNS 最好不要以 Internet 上面 已經存在的領域名稱來練習架設! 舉例來說,假設今天你以 192.168. A) clientlinux.ca (由 bind 軟體提供的 .vbird 可不可以啊?當然可以啊!就再多一個資料庫正解檔案 即可! 還有,鳥哥上頭這個設定資料為內部私有的,所以你可以完全照著玩!並不會影響到外部的網 際網路啦! 只是,網際網路也查不到你的 DNS 設定就是了~反正是練功嘛!^_^ 至於資料庫的正、反解對應上,依據實際的測試環境,規劃如下 (亦請參考第三章圖 3.centos.vbird,而反解的網域則為 192.vbird(A) 未來作為 slave DNS 的接班人~ WinXP (192.254 放置在第一位,導致每次的查詢其實 yahoo.conf 的設置 這個設定檔較多的 options 參數我們已經在 19.centos.4.centos.centos.100. .centos.168.100.100.vbird (MX) DNS 設置是使用 master.0/24 的反解檔) named.30) win7.vbird (A) 一部經常用來工作的工作機 WinXP (192. 4.vbird (A) linux.1.4 步驟二:主設定檔 /etc/named.vbird 的正解檔) named.100.vbird (主要的 centos. A) www.com 這個領域的資料都是直接由 192. named.0/24, 鳥哥的這部 DNS 伺服器想要自己找尋 .centos.centos.254) master.conf options { directory "/var/named". 正解檔) 如果我還想要加入其他的領域,例如 niki.10) slave.vbird (NS.vbird (CNAME) ftp. 2.現在假設鳥哥的區網環境中想要設定 DNS 伺服器,鳥哥的區網原本規劃的網域名稱就是 centos.vbird, 且搭配的 IP 網段為 192.3.168.vbird (CNAME) forum.101) workstation.168.100. 3.254 那部機器來架設 *.vbird (CNAME) www.254 所提 供,這很不好~因為可能會造成你的用戶端的不便~ 19.centos. 的領域正解檔。 綜合起來說,鳥哥需要設定到的檔案就有這幾個: 1.centos.100.100.vbird (A) 一部用來測試的 Windows 7 請特別留意啊,一個 IP 可以對應給多個主機名稱,同樣的,一個主機名稱可以給予多個 IP 喔! 主要 是因為那部 www.168.vbird (NS.168.

x 內的 bind 軟體已經提供了一個名為 named. recursion yes. }. }.27. file "named. 3600000 IN AAAA 2001:dc3::35 # 上面這三行是成對的,代表 M 開頭的伺服器有 A 與 AAAA 的記錄 .41. }. // 這個 zone 的名稱 // 是什麼類型 // 檔案放在哪裡 { 在 options 裡面僅新增一個新的參數,就是 allow-transfer,意義為: allow-transfer ( none.5 步驟三:最上層 .arpa" IN type master.2 的解釋 為何檔名都是 named 開頭呢?這只是個習慣而已,你也可以依據自己的習慣來訂定檔名的。經過上面 的說明,所以我們會知道,zone file 檔名都是透過 named.in-addr.db".168.dump-file "/var/named/data/cache_dump.txt".vbird". allow-query { any.ROOT-SERVERS.txt".192.33 M.root 要不要下載最新的資料隨你便,因為我們的 CentOS 6.NET.ROOT-SERVERS. 是否允許來自 slave DNS 對我的整個領域資料進行傳送?這個設定值與 master/slave DNS 伺服器之 間的資料庫傳送有關。除非你有 slave DNS 伺服器,否則這裡不要開放喔!因此這裡我們先設定 為 none。 至於在 zone 裡面的設定值,主要則有底下幾個: zone 內的相關參數說明 設定值 意義 type 該 zone 的類型,主要的類型有針對 . memstatistics-file "/var/named/data/named_mem_stats. <==這裡有個小數點 518400 IN NS M.ROOT-SERVERS.168.4. 在哪裡呢?事實上,它是由 INTERNIC 所管理維護的, 全世界共有 13 部管理 . allow-transfer { none. }.1-4 可以知道 . zone ".NET.ca 的 檔案了,鳥哥是直接使用系統提供的資料啦。這個檔案的內容有點像這樣: [root@www ~]# vim /var/named/named.centos." IN { type hint. file "named.12. (root) 資料庫檔案的設定 從 圖 19.192.arpa 這個玩意兒!請參考 19.net/domain/named. 的重要性!那麼這個 .0.internic. // 不許別人進行 zone 轉移 }. A.NET. 3600000 IN A 202. }.NET.ROOT-SERVERS. zone "100. 的 hint,以及自己手動修改資料庫檔案的 master,與可自動更新資料庫的 slave。 file 就是 zone file 的檔名啊!(注意 chroot 與否呦!) 反解 zone 主要就是 in-addr.ROOT-SERVERS. M.NET. 管理,並附上 IP 查詢 .ca .4 # 上面這兩行是成對的!代表點由 A. zone "centos.ca". <==這裡有個小數點 518400 IN NS A.4. file "named. 3600000 IN A 198. 的 DNS 伺服器呢!相關的最新設定在: ftp://rs.ROOT-SERVERS.100".conf 這個設定檔來規範的啊! 19.NET. }.vbird" IN { type master. statistics-file "/var/named/data/named_stats.

vbird.168.centos. DNS 伺服器名稱 master.100 檔案中,則 @ 代表 100.vbird. 伺服器都加上 AAAA 的 IPv6 功能囉。 這個檔案的內容你不要修改 啊~因為這個內容是 Internet 上面通用的資料,一般來說,也不會常常變動, 所以不需要更動他,將 他放置到正確的目錄並改成你所指定的檔名即可啊!接下來可以看看其他正解檔案啦! 19.168.30 . .@ ==> www.4. 才對! .vbird # 與整個領域相關性較高的設定包括 NS.vbird.vbird. SOA.168.centos.centos. ftp.101 winxp.168. A. DNS 伺服器 IP @ IN MX 10 www.centos.centos.vbird.vbird.conf 內的 zone 設定) .168.www. forum.168.4.1 去查詢。此外,這個檔案的特殊符號也得跟大家報告一下: 字元 意義 一定從行首開始 所有設定資料一定要從行首開始,前面不可有空白字元。若有空白字元,代 表延續前一個 domain 的意思~非常重要~ @ 這個符號代表 zone 的意思!例如寫在 named.vbird 這部伺服器管理的,而管理者的 email 為 vbird@www. 領域名稱的郵件伺服器 # 針對 192.168.254 www.20 win7 IN A 192.1 去查詢,這裡不再解釋。 比較特殊的是,由於考慮 IPv6 未來的流行性,因此很多部 .10 workstation. A); 其他正反解相關的資源記錄 (A.centos.centos. IN A 192.,如果寫在 named.vbird.100. 的意思 (參考 named.192.vbird. 與上面是同一行 @ IN NS master. A.centos. IN CNAME www. SOA 等標誌的設定處! $TTL 600 @ IN SOA master.192.vbird.vbird.centos.100.vbird.inaddr.vbird.254 . IN CNAME www.168.vbird 當中寫 www.vbird 這個。整個正解檔最 終有點像這樣: [root@www ~]# vim /var/named/named. 代表註解符號~似乎 # 也是註解~兩個符號都能使用 鳥哥打算沿用系統提供的一些設定檔,然後據以修改成為鳥哥自己需要的環境。整個 DNS 是由 master. IN A 192.centos. ( 2011080401 3H 15M 1W 1D ) .10 clientlinux. 這是簡化的寫法! 再次強調,一個正解的資料庫設定中,至少應該要有 $TTL.vbird.100.vbird 則代 表 FQDN 為 www.centos.168.254 IN CNAME www.centos. CNAME 等)。 相關的 RR 意義請回 19.centos.centos.1 去瞧瞧吧! 底下強調一下之前沒有講到的設 定值項目: . AAAA 意義,請回 19. vbird.vbird.centos.centos.centos.centos.centos. 這個點 (.centos.centos.centos.100.centos.100.vbird. MX. IN A 192.4.100.centos.vbird. # 其他幾部主機的主機名稱正解設定。 slave.相關的正解標誌 NS. 喔!因此當 然要寫成 www.4.1.centos.100.arpa. IN A 192. IN A 192. NS (與這部 NS 主機名稱的 A), 鳥哥 將這些基本要用到的標誌寫在上表的第一部份。至於其他的,則是相關的主機名稱正解設定囉。 如果 這些設定值你看不懂,那麼,可以肯定的是,請回 19.vbird 中,@ 代表 centos.vbird. .vbird.vbird.vbird. MX.centos.vbird.) 很重要!因為他代表一個完整主機名稱 (FQDN) 而不是僅有 hostname 而已。舉例來說,在 named. linux.168.6 步驟四:正解資料庫檔案的設定 再來開始正解檔的設定吧!正解檔一定要有的 RR 標誌有底下幾個喔: 關於本領域的基礎設定方面:例如快取記憶時間 (TTL)、領域名稱 (ORIGIN) 等; 關於 master/slave 的認證方面 (SOA); 關於本領域的領域名稱伺服器所在主機名稱與 IP 對應 (NS. 這部主機的所有相關正解設定。 IN A 192.

100 了, 所以 在上表當中的最左邊,數值只需要存在最後一個 IP 即可。因此 254 就代表 192.192.100. SOA. slave.2 去查閱喔! 至於 192.vbird. ( 2011080401 3H 15M 1W 1D ) @ IN NS master.vbird.vbird.vbird..conf 所指定的,就是 zone 那個參數的功能。 不過,這個 zone 是可以改的,就是用 $ORIGIN 來修訂就是了。通常這個設定值不會用到的 老實說,初次設定 DNS 的朋友大概都會被那個小數點 (.centos.關於本領域的一些設定值 設定值 說明 $TTL 為了簡化每筆 RR 記錄的設定,因此我們將 TTL 挪到最前面統一設定。因為鳥哥 的 DNS 伺服器還在測試中,所以 TTL 寫了個比較小的數值,可以存在對方 DNS 伺服器的快取 600 秒而已。 $ORIGIN 這個設定值可以重新指定 zone 的定義。在預設的情況下,這個正反解資料庫檔案 中的 zone 是由 named. 這一個,因此 IP 的全名部分已經含有 192.168.254 囉! 此外, 為了擔心 DHCP 自動分配的 IP 沒有對應的主機名稱,所以這裡也附掛了 192.centos.. 的 話,表示該名稱僅為 "hostname" 而已!因為我們這個設定檔的 zone 是 centos. vbird. win7.168.centos..vbird.centos.100. .vbird.centos.(中間省略).4. winxp.168. 可能針對 DHCP (第十二章) 的 IP 設定 102 IN PTR dhcp102..yy..4.arpa.vbird.in-addr.7 步驟五:反解資料庫檔案的設定 反解跟正解一樣,還都需要 TTL.. 因為我們的 zone 是 100. 喔! 19.vbird.168.centos. 254 IN PTR master.centos.168.vbird. 將原本的 A 改成 PTR 的標誌而已 254 10 20 30 IN IN IN IN PTR PTR PTR PTR www. .8 步驟六:DNS 的啟動、觀察與防火牆 DNS 的啟動也太簡單了吧?就直接利用系統提供的啟動 script 即可! [root@www ~]# /etc/init. 200 IN PTR dhcp200.192. NS 等等的,但是相對於正解裡面有 A,反解裡面則僅有 PTR 喔! 另外,由於反解的 zone 名稱是很怪 zz.vbird.www. 表示這是個完整的主機名稱 (FQDN),亦即是 "hostname + domain name" 了, 如果沒有加上 .vbird, 所以上表的最後一 行,鳥哥只寫出主機名稱 (win7) ,因為沒有小數點結尾,因此完整的 FQDN 要加上 zone,所以主機名 稱 win7 代表的是: win7. .168.centos.centos.{101~200} 的主機 名稱對應喔! 19. .centos.xx.vbird.100.0/24 這個網域的 DNS 反解則成為: [root@www ~]# vim /var/named/named.vbird.centos.centos. 這些是特定的 IP 對應 101 IN PTR dhcp101.) 玩死~其實你不要太緊張,只要記住:『 加 上了 .in-addr.100 $TTL 600 @ IN SOA master.d/named start [root@www ~]# chkconfig named on <==也可能是需要 restart 喔 但即使畫面上出現的是『確定』或『OK』,都不見得你的 DNS 服務是正常的。所以,請你『務必』 查閱 /var/log/messages 的內容才行!基本上,內容會有點像這樣: .4. 的模樣,因此只要在反解裡面要用到主機 名稱時, 務必使用 FQDN 來設定啊!更多與反解有關的資料,請到 19.arpa.

65535] named[3511]: listening on IPv4 interface lo.168.168. 65535] named[3511]: using default UDP/IPv6 port range: [1024.), 系統不會顯示錯誤訊息,但是卻會造成查詢的誤判,而 MX 設定的主 機名稱錯誤,也不會出現有問題的訊息,但是 mail server 就是會收不到信等等~這些錯誤都需要 很詳細的 DNS client 的測試才能知道問題的所在。 我們這裡先就語法設定錯誤方面進行介紹,至於邏輯設定的問題,那個就需要多多的進行測試才能知 道了~ 底下的錯誤訊息都會記錄在 /var/log/messages 裡面喔! named: /etc/named.' before '}' # 注意到上面提到的檔名與數字嗎?說明的是 /etc/named..100.254#53 named[3511]: command channel listening on 127.vbird 附近需要有一個合法的數字!剛好是 MX , # 所以,趕緊加上一個合法的數字,去瞧瞧改改即可! 通常最大的問題是.168.) 所致!去修正一下即可。 dns_rdata_fromtext: named.conf 的第 8 行, # 至於錯誤是因為缺少分號 (.0.0.打錯字!所以,務必要慢慢打字,慢慢察看清楚,尤其是登錄檔內的資訊喔!都處 理完畢之後, 也能夠透過 netstat 去查到 port 53 有在監聽,再來就是要放行人家的查詢了!所以,又得 要修改防火牆囉! 假設你還是安裝鳥哥的防火牆腳本,那麼接下來就是: [root@www ~]# vim /usr/local/virus/iptables/iptables.vbird: unexpected end of input _default/centos.vbird 的第 4 行有問題,察看檔案內容第 4 行是 SOA 的項目, # 通常是 SOA 那五個數字沒有完全!趕緊去修訂一下即可啊! dns_rdata_fromtext: named.centos.1#953 named[3511]: command channel listening on ::1#953 named[3511]: the working directory is not writable named[3511]: zone 100.0-P2-RedHat-9.in-addr.vbird:7: near 'www.conf:8: missing '.[root@www ~]# tail -n 30 /var/log/messages | grep named named[3511]: starting BIND 9.0.vbird/IN: loaded serial 2011080401 named[3511]: running 上面的輸出訊息中,你得要特別注意有畫底線的部分。包括 -t chroot_dir 是設定 chroot 目錄的位置, 而 設定檔 (configuration) 則是 /etc/named.arpa/IN: loaded serial 2011080401 named[3511]: zone centos.7.. 192. 127.centos.el6_0.1#53 named[3511]: listening on IPv4 interface eth0.192.centos.P2.7.100#53 named[3511]: listening on IPv4 interface eth1.conf' named[3511]: using default UDP/IPv4 port range: [1024.centos. 除外) 的序號 (serial) 號碼要跟你的資料庫內容一致才行!而且不能夠有出現『設定的檔名:數字』的內容, 否則肯定 就是設定檔有問題~上面的訊息看起來還算 OK 啦! 在上述的輸出資料當中因為資訊太長了,所以鳥哥將登錄的時間與主機的欄位拿掉了!上面是順利啟 動時的狀況, 如果出現問題怎辦?通常出現問題的原因是因為: 語法設定錯誤: 這個問題好解決,因為在 /var/log/messages 裡面有詳細的說明,按照內容去修訂即可; 邏輯設定錯誤: 這個就比較困擾了!為什麼呢?因為他主要發生在你設定 DNS 主機的時候,考慮不週所產生的 問題!例如忘記加上 (.centos.vbird:4: near eol: unexpected end of input zone centos.vbird.centos. 192.vbird/IN: loading master file named.rule # 找到如下兩行,將註解拿掉即可! iptables -A INPUT -p UDP -i $EXTIF --dport 53 --sport 1024:65534 -j ACCEPT .vbird/IN: unexpected end of input # 指的是 named.0.1.': not a valid number # 說明第 7 行在 www.0-5. using 1 worker thread named[3511]: using up to 4096 sockets named[3511]: loading configuration from '/etc/named.conf,最重要的是你的所有的 zone (hint 類型的 .1 -u named -t /var/named/chroot named[3511]: adjusted limit on open files from 1024 to 1048576 named[3511]: found 1 CPU.

254 [root@www ~]# dig www.arpa.vbird .centos.in-addr.192.vbird 這個 zone 的 MX [root@www ~]# dig -t mx centos..254 . 600 IN PTR www.centos.100..vbird 與 winxp 等等的 A 標誌 [root@www ~]# dig ftp.168.168. 600 IN A 192. ANSWER SECTION: www. www.168.vbird ..vbird.254 <==自己的 IP 一定要最早出現! nameserver 168.centos.centos.10 的反解 [root@www ~]# dig -x 192.centos.254 [root@www ~]# dig winxp.vbird .100.192.100.vbird. 檢查 192.100.20 # 3. 測試要成功才行呦!什麼是成功呢?除了要真的有資料顯示之外,該資料是否正是你要的模樣?那才 是順利成功。 如果有出現錯誤的資訊,例如找不到 www.vbird. 600 IN A 192.centos.centos.168.168.100.1.conf nameserver 192.192.10 . 600 IN MX 10 www. ANSWER SECTION: master. ANSWER SECTION: 254.centos.168.vbird.centos.centos.254 及 192.100..vbird. 600 IN CNAME www.100.168.100.168.100.254 # 2.95.rule 19.vbird.1 接下來,就讓我們針對上面較重要的正、反解資訊進行檢測吧!同樣的,鳥哥也僅列出答案的部分而 已! # 1.vbird 之類的,那就失敗了,得要找出問 題才行。 另外,如果你的資料庫需要更新時,應該做哪些舉動啊?舉例來說,你的某個主機 IP 或者主機名稱要 . # 4. 檢查 ftp.4.centos.9 步驟七:測試與資料庫更新 在上面的設定都搞定,並且啟動之後,你的 DNS 伺服器應該是已經妥當的在運作了。 那你怎麼知道你 的設定是否合理?當然要作測試喔!測試有兩種方式,一種是藉由 client 端的查詢功能, 目的是檢驗 你的資料庫設定有無錯誤;另外你也可以連上底下這個網站: http://thednsreport.vbird .conf 改成如下模樣較佳: [root@www ~]# vim /etc/resolv.in-addr.vbird. ANSWER SECTION: winxp.com/ 這個網站可以幫你檢驗你的 DNS 伺服器的主要設定是否有問題!不過,這個網站的檢驗主要是以合法 授權的 zone 為主,我們自己亂搞的 DNS 是沒有辦法檢查的啦!真是可惜~好了,就讓我們來測試測試 結果吧!首先, 得將 DNS 伺服器自己的 /etc/resolv.168.centos.vbird.vbird.arpa. 600 IN PTR slave.in-addr. 254. ANSWER SECTION: ftp.arpa.100. 檢查 master.centos.centos.centos. 600 IN A 192.centos.vbird.centos.centos.vbird 的 A 標誌 [root@www ~]# dig master...100. 600 IN A 192.168.iptables -A INPUT -p TCP -i $EXTIF --dport 53 --sport 1024:65534 -j ACCEPT [root@www ~]# /usr/local/virus/iptables/iptables.100. [root@www ~]# dig -x 192. 600 IN PTR master.168.vbird.vbird 以及 www. ANSWER SECTION: centos.vbird . 檢查 centos. ANSWER SECTION: 10.168..

vbird 這部伺服器除了 named.arpa 兩個 zone 都提供給 slave DNS 使用 master. file "named.4.3 的案例,繼續來架設一部支援該案例的 slave DNS 吧!基本的假設為: 提供 slave DNS 伺服器進行 zone transfer 的伺服器為 master.1 master DNS 權限的開放 我們使用 19.10 這部伺服器上面 (所以 zone file 要修訂) 如上所示,我們的 master.10 呦!結果如下: .5 協同工作的 DNS: Slave DNS 及子網域授權設定 我們在本章一開始就曾談過,DNS 大概是未來最重要的網路服務之一,因為所有的主機名稱需求都得要 DNS 提供才行。 因此,ISP 在提供 domain name 註冊時,就強調得要有兩部以上的 DNS 伺服器才行。而為 了簡化 DNS 管理人員的負擔, 使用 Master/Slave DNS 架構的情況會比較好!為什麼呢?讓我們再回憶一下 Slave DNS 的特色: 為了不間斷的提供 DNS 服務,你的領域至少需要有兩部 DNS 伺服器來提供查詢的功能; 承上,這幾部 DNS 伺服器應該要分散在兩個以上的不同 IP 網域才好; 為方便管理,通常除了一部主要 Master DNS 之外,其他的 DNS 會使用 slave 的模式; slave DNS 伺服器本身並沒有資料庫,他的資料庫是由 master DNS 所提供的; master/slave DNS 必需要可以相互傳輸 zone file 的相關資訊才行,這部份需要 /etc/named.168.in-addr.100.conf 之設定輔 助。 除此之外,如果你有朋友或者是學生想要跟你要一個子網域,那又該如何設定另一部 DNS 伺服器呢?就讓 我們依序來談談囉~ 19.vbird 的 named 僅提供給 slave. // 在這裡新增 slave 的 IP }.100".168.vbird 這部主機進行 zone transfer Slave DNS server 架設在 192.192.168.vbird".conf 當中,需要設定哪個 IP 可以對我的 zone 進行傳輸 (allow-transfer),而在 zone file 當中,就是各加入一筆 NS 的記錄即可!增加的部分如下所示: # 1. 修訂 named.前面省略.conf,主要修改 zone 參數內的 allow-transfer 項目 [root@www ~]# vim /etc/named.變更,也可能是新增某個主機名稱與 IP 的對應呢!很簡單啦,通常這樣做就好了: 1.centos.100. 更改該 zone file 的序號 (Serial) ,就是那個 SOA 的第三個參數 (第一個數字),因為這個數字會影 響到 master/slave 的判定更新與否喔! 3.. allow-transfer { 192. allow-transfer { 192.arpa" IN { type master.centos.168. }..168. 在上頭所列示的那兩個資料庫檔案當中,你必須要新增所需要的 NS 標誌才行!NS 對應的主機名稱為 slave.. }.vbird, IP 則是 192.100. 重新啟動 named ,或者是讓 named 重新讀取設定檔即可。 就這麼簡單啊!不過大家常常會忘記第二個步驟啦!就是將序號變大啊!如果序號沒有變大,那 master/slave 的資料庫可能不會主動的更新,會造成一些困擾喔! 19. 先針對要更改的那個 zone 的資料庫檔案去做更新,就是加入 RR 的標誌即是! 2..vbird centos. zone "100.centos.centos.168.100..10.vbird 及 100.192.5. file "named.centos.192.centos.conf ..168.conf 需要調整之外,兩個 zone file 也都需要 調整! 在 named.vbird" IN { type master. // 在這裡新增 slave 的 IP }.10. zone "centos.in-addr.

.168.centos. }.centos.100. IN A 192.1 裡面瞧瞧即可,反正記得使用 yum 安裝就對了。 接下來得要設定 named. vbird.100.168.vbird.254 slave.(前面的部分完全與 master. @ IN NS slave.conf 的內容: [root@clientlinux ~]# vim /etc/named.vbird.www..centos... }.2 Slave DNS 的設定與資料庫權限問題 既然 Slave DNS 也是 DNS 伺服器嘛!所以,當然也是需要安裝 bind..192..5. master.168.vbird..0-P2-RedHat-9.100.168...in-addr.centos.centos.conf ..conf 吧?而既然 Master/Slave 的資料庫是相同的,所以,理論上, named.254. zone "centos. 在 zone file 裡面新增 NS 標誌,要注意需要有 A(正解) 及 PTR(反解) 的設定 [root@www ~]# vim /var/named/named.vbird.vbird $TTL 600 @ IN SOA master..168.d/named restart [root@www ~]# tail -n 30 /var/log/messages | grep named starting BIND 9..vbird 相同,故省略).168.vbird.vbird.1 -u named -t /var/named/chroot .(底下省略). masters { 192.vbird/IN: loaded serial 2011080402 zone 100.centos.centos. .192..vbird.vbird. 準備 named.100.vbird..168.centos.arpa/IN: loaded serial 2011080402 zone centos.arpa/IN: sending notifies (serial 2011080402) zone centos.. @ IN NS slave.. ( 2011080402 3H 15M 1W 1D ) @ IN NS master.7.192.vbird.10 @ IN MX 10 www. 254 IN PTR master.in-addr.P2. zone 100..centos...centos.arpa" IN { type slave.centos. zone "100.100 $TTL 600 @ IN SOA master..centos.vbird.conf 內容就是大同小異囉~ 唯一要注意的就是 zone type 類型的差異,以及宣告 master 在哪裡就是了。 至於 zone filename 部分,由於 zone file 都是從 master 取得的,透過 named 這個程式來主動建立起需要的 zone file,因此這個 zone file 放置的目錄權限 就很重要!讓我們直接來處理看看: # 1.192.vbird" IN { type slave. vbird.(中間省略).el6_0.192..centos. }.centos. 10 IN PTR slave. # 要特別注意一件事,那就是,你的 zone file 內的序號要增加!鳥哥測試日期是 8/4, # 第 2 次進行,所以序號就以該天的日期為準來設計的!最後記得 restart 一下啦! [root@www ~]# /etc/init.vbird. }. [root@www ~]# vim /var/named/named..centos.. IN A 192.7. bind-chroot 等等的軟體! 這部份回 去 19.100".168.# 2.254.vbird". masters { 192.3.centos.0-5. .168.vbird/IN: sending notifies (serial 2011080402) 反正重新啟動過 named 後,直覺記得就是要查閱 messages 登錄資訊就對了。從上表的輸出來看,會多 一個 sending notifies (傳送注意事項) 關鍵字的資料,那就是提醒 slave DNS 來比對序號大小了!所以, 你說,序號有沒有很重要呢?當然很重要啊! 連登錄訊息都會告知序號的大小哩!這樣 master DNS 就 設定妥當囉!接下來玩玩 Slave 的設定吧! 19.www.vbird. file "slaves/named. .. file "slaves/named. ( 2011080402 3H 15M 1W 1D ) @ IN NS master.in-addr.(底下省略).

168. 檢查 zone file 預計建立的目錄權限是否正確!底下目錄為系統預設值: [root@clientlinux ~]# ll -d /var/named/slaves drwxrwx---.0.7. named named system_u:object_r:named_cache_t:s0 /var/named/slaves # 也不要忘記與 SELinux 有關的事情! 為了方便使用者設定,CentOS 預設在 /var/named/slaves/ 處理好了相關權限~所以你可以輕鬆的處理權 限問題~ 我們就建議你的 slave zone file 放置在該目錄下!所以上表當中的 file 參數才會這麼寫~此 外,那個 masters 結尾有個 s 喔!這裡最容易寫錯~那麼要不要處理 zone file 呢?除了 named.100..el6_0.1 [root@clientlinux ~]# dig -x 192..in-addr.168.100 -rw-r--r--.100.168. zone centos.vbird/IN' from 192..in-addr.10#58187 dumping master file: tmp-a1bYfCd3i3: open: permission denied transfer of 'centos.192. transfer of 'centos.vbird/IN: Transfer started.7.centos.vbird/IN: transferred serial 2011080402 <==注意序號正確否 # 你會看到如上的訊息,重點是還有告知序號喔!非常重要! [root@clientlinux ~]# ll /var/named/slaves -rw-r--r--.168.168.192.168.254 @127.254#53: end of transfer 如果出現類似這樣的訊息時,不必懷疑啦!肯定是權限錯誤啦!請再次檢查你的資料庫檔案所放置的 目錄權限是否可以讓 named 寫入啊!處理處理就好了!現在,你的 DNS 會變的更加強壯囉!因為有類 似的備援系統囉~不過仍然要注意的是, 網路查詢 centos.100.5.arpa/IN: Transfer started.centos.3 建置子網域 DNS 伺服器:子網域授權課題 除了 Master/Slave 需要協同 DNS 伺服器共同提供服務之外,DNS 之間如果有上層、下屬的關係時,該 如何設定? 亦即,假設我的網域很大,我只想要負責上層的 DNS 而已,下層希望直接交給各單位的負 .0... zone 100.1 -u named -t /var/named/chroot loading configuration from '/etc/named.0-P2-RedHat-9.254#53: connected using 192.vbird/IN: Transfer started.1 # 上述兩個檢測的指令如果是正確的顯示出 A 與 PTR 的話,那就完成了! 你瞧!如此一來你的 zone file 就會主動的被建立起來喔!未來如果你的 master DNS 要更新資料庫時, 只要修改過序號,並重新啟動 named 後,這部 slave DNS 就會跟著更新啦!啊!真是『福氣啦!』!! 不過,如果你發現到啟動 slave DNS 時,你的登錄資訊竟然是這樣: zone centos.0.vbird/IN' from 192.# 2.arpa/IN: transferred serial 2011080402 zone centos.. 1 named named 605 2011-08-05 14:12 named.vbird 時,master 與 slave 的地位是相同的,並 不是 master 掛點才使用 slave 來查詢喔!所以,這兩部伺服器的相同 domain 的資料庫內容要完全一致 才行! 19.d/named start [root@clientlinux ~]# chkconfig named on [root@clientlinux ~]# tail -n 30 /var/log/messages | grep named starting BIND 9.vbird/IN' from 192. running zone 100.P2.168.ca 這個 .254#53: failed while receiving responses: permission denied transfer of 'centos.(中間省略).168.100. 1 named named 3707 2011-08-05 14:12 named.conf' . 需要主動存在之外, 另外兩個 type slave 的資料庫檔案,當然不必存在啊!因為會從 master 處取得嘛! 接下來,就讓我們來啟動 named 並進行觀察吧! [root@clientlinux ~]# /etc/init. 2 named named 4096 2011-06-25 11:48 /var/named/slaves # 注意權限、使用者以及群組三個欄位的資料!需要與 named 這個用戶及群組有關! [root@clientlinux ~]# ll -dZ /var/named/slaves drwxrwx---.vbird @127.vbird # 這兩個 zone file 會主動被建立起來呢! [root@clientlinux ~]# dig master.0-5.192.0.100.

( 2011080501 3H 15M 1W 1D ) # 上面的 SOA 部分序號加大,底下新增這兩行即可 (原本的資料都保留不動)! niki.centos.niki.niki..168.100.vbird".0.vbird 那一部) 裡面的 named.vbird 這個領域嘛!所以追蹤的結果並沒有發現在 192.niki.100. .d/named restart [root@www ~]# tail -n 30 /var/log/messages | grep named Aug 5 14:22:36 www named[9564]: zone centos.100.centos.vbird 這個 zone 為例, 假設 今天你是個 ISP ,有個人想要跟妳申請 domain name ,他要的 domain 是『 niki.conf .vbird 的 zone 啊! 所以當然找不到。此時資料庫的管理權在 192.centos.168.責人來負責,要怎麼設定呢? 舉個例子來說,以成大為例,成大計中僅管理各個系所的 DNS 伺服器 IP 而已,由於各個系所的主機數量可能很大, 如果每個人都要請計中來設定,那麼管理員可能會瘋 掉,而且在實際設計上也不太人性化。 所以囉,計中就將各個 subdomain (子網域) 的管理權交給各個系所的主機管理員去管理,如此一來, 各系所的設定上面會比較靈活,且上層 DNS 伺服器管理員也不用太麻煩吶! 好了,那麼如何開放子網域授權呢?我們以剛剛在 master 上面建立的 centos.200 有 niki.168. vbird.vbird 』, 那你該 如何處理? 上層 DNS 伺服器:亦即是 master.168.vbird. IN NS dns.centos. }. 修改 named.200, 那接下來就讓我們實際來設定吧! 上層 DNS 伺服器:只需新增 zone file 的 NS 與 A 即可 上層 DNS 的處理真是簡單到爆炸!我們只要修改 master DNS (www.vbird 這一部,只要在 centos.vbird [root@niki ~]# vim /etc/named.vbird.vbird @127.100.centos.centos. IN A 192.vbird.1 # 你會發現是錯誤的!找不到 A 喔! 上層 DNS 的設定非常簡單!只要修改 zone file 即可~不過,由於 zone file 指定的是 NS 的查詢權功 能, 因此,最後那個指令在 dig dns.vbird" IN { type master.centos.niki..centos.vbird 那個 zone file 內,增加 指定 NS 並指向下層 DNS 的主機名稱與 IP (A) 即可,而 zone file 的序號也要增加才行; 下層 DNS 伺服器:申請的領域名稱必須是上層 DNS 所可以提供的名稱,並告知上層 DNS 管理 員,我們這個 zone 所需指定的 DNS 主機名稱與對應的 IP 即可。然後就開始設定自己的 zone 與 zone file 相關資料。 假設我們管理 niki.100.vbird ,而這部主機的 IP 為 192.niki.4 的詳細內容一樣了!所以在這裡我們僅列出重要的項目: # 1.centos. zone "niki.vbird.200 尚未設定好 niki.vbird/IN: loaded serial 2011080501 # 登錄檔的關鍵是上面的序號部分~必須是我們填寫的新的序號才對! [root@www ~]# dig dns.conf ,增加 zone 的參數,假設檔名為 named.(前面省略).vbird @ IN SOA master.centos.centos.www.centos.vbird 這個正解檔案即可。slave DNS 不用修改,是因為他會自動更新嘛!新增如下的資料 即可: [root@www ~]# vim /var/named/named.vbird 時,卻會找不到 A 喔!那是正常的~因為 192. dns.centos.centos.200 上啦!這樣可 以理解嗎?再來處理下層 DNS 吧! 下層 DNS 伺服器:需要有完整的 zone 相關設定 下層的 DNS 設定就與 19..centos..niki.168.niki.0.centos.centos.vbird.centos.. file "named.centos.vbird 的伺服器主機名稱為 dns..200 [root@www ~]# /etc/init.

statistics-file "/var/named/data/named_stats. # 同時,記得處理一下防火牆的放行問題!否則測試會失敗!! [root@niki ~]# dig www. dns IN A 192.100.(底下省略).100 而內部的找到則回應 192.5.100.100.168. }.100.168.vbird 這 部伺服器的 IP 時,取得的竟然是 192.168.(前面省略).vbird $TTL 600 @ IN SOA dns.centos..centos.168.254 呢?可以的!那就透過 view 的功能! 那麼 view 要怎麼處理呢?其實就是讓不同來源的用戶,能夠取得他們自己的 zone 回應就是了。舉例來 說,當用戶來自 10.centos.168.200 # 為了簡化整個版面,所以鳥哥都使用 hostname 而非 FQDN!請見諒! # 3.168.vbird 是 192. allow-query { any. allow-transfer { none.254 # 上述的動作必須要有回應才行!否則就會出問題~ 19.# 2.niki.100. recursion yes.100. }.centos.1.niki.100.db".168.100.centos. root..niki.vbird @192.txt".1.niki..168..254 與外部的 192. <==加上驚嘆號 (!) 代表反向選擇的意思 . zone niki.168. dump-file "/var/named/data/cache_dump.0/24.254,因此還得要透過 NAT 才能連線到該介面,但明明 192.168.168. 建立 named.vbird IP 應該是 192. @ IN A 192.254/24 (對內) 及 192.niki..vbird.centos.1 時,這個來源不可能是內部 (192.0.d/named restart [root@niki ~]# tail -n 30 /var/log/messages | grep named ..1.vbird IP 應該是 192.1.centos.100.168.100.centos.168.100 是同一台伺服器主機嘛!幹嘛還得要經過 NAT 轉到內部介面呢? 有沒有辦法讓外部的查詢找到 master. <==針對 intranet 給予的來源 IP 指定 acl internet { ! 192. acl intranet { 192..0/24) ,因此這個來源就會使用外部的 zone file 內容來回應。 因此,我們就得要準備同一個 zone 需要兩個不同的設定,再將個別的設定帶入 自己的用戶端查詢當中。 現在我們針對這個概念,對於鳥哥的區網設定 view 的原則是這樣的: 建立一個名為 intranet 的名字,這個名字代表用戶端為 192.200 www IN A 192.4 依不同介面給予不同的 DNS 主機名稱: view 功能的應用 想像一個環境,以我們目前的區域網路伺服器來說,我的 master.txt".centos..168. }.100...centos.centos.vbird/IN: loaded serial 2011080501 ..niki. }.0/24 的其他來源 intranet 使用的 zone file 為本章前面各小節所建立的 zone filename,internet 使用的 zone filename 則 在原本的檔名後面累加 inter 的副檔名,並修訂各標誌的結果。 再次強調,最終的結果當中,從內網查到的 www. }.100.168.100.168.100.vbird.. memstatistics-file "/var/named/data/named_mem_stats.168. any. 啟動並觀察相關登錄資訊 [root@niki ~]# /etc/init.vbird [root@niki ~]# vim /var/named/named. ( 2011080501 3H 15M 1W 1D ) @ IN NS dns.vbird.niki.0.vbird 有兩個介面,分別是 192.centos.vbird.0/24 的來源; 建立一個名為 internet 的名字,這個名字代表用戶端為非 192.centos.conf options { directory "/var/named".168.100 才對!那就讓我們來實際設定此 一項目吧! [root@www ~]# vim /etc/named.200 @ IN MX 10 www.100/24 (對外),那當我外邊的用戶想要瞭解到 master.254,而只要不是鳥 哥內網來源的用戶端, 查到的 www.0/24.

1. IN CNAME forum.1.vbird. zone "centos.vbird.100 www.254 才是對的喔!因為介面來自於 192.centos. IN A [root@www named]# [root@www named]# [root@www named]# www.vbird named.vbird.168.0/24 網段 有沒有很簡單!這樣就能讓你的 DNS 依據不同的用戶來源,分別給予同一個主機名稱的不同解析呢! 例題: 你的網站讀者非常的多,但是分佈在世界各地。你想讓亞洲區的讀者連線到台灣的站台, .vbird.168.vbird @192. }.inter [root@www named]# vim named. allow-transfer { 192. }. }.centos.vbird @192.vbird.vbird. master. IN A 192. <==檔名必須與原有的不同! }. zone "100.centos.vbird. file "named.vbird" IN { type master.100.vbird. ( 2011080503 3H 15M 1W 1D ) @ IN NS master.1. IN CNAME ftp.vbird.centos. www. IN A linux.254 600 IN A 192.168.vbird.192.centos. allow-transfer { 192.vbird. www.168.centos. // 外網因為沒有使用到內網的 IP,所以 IP 反解部分可以不寫於此 }.centos.vbird. }. IN CNAME workstation.vbird" IN { type master.168.101 /etc/init.168.centos.100".centos.d/named restart tail -n 30 /var/log/messages dig www.100.centos. <==代表的則是外網的 internet 來源 zone ".centos.vbird.0/24 網段 [root@wwww named]# dig www.inter 吧! [root@www ~]# cd /var/named [root@www named]# cp -a named. vbird.centos. file "named.168. www.centos.centos.ca".centos.centos. 192. zone "centos.vbird. }.1.vbird". 600 IN A 192.view "lan" { <==只是一個名字,代表的是內網 match-clients { "intranet".centos. 上表中,有些資料是重複的,有些則需要經過修改。現在,讓我們來改改 named.vbird.100 www.centos.10.10.ca".100.centos." IN { type hint.arpa" IN { type master.100 @ IN MX 10 www. }.inter $TTL 600 @ IN SOA master. view "wan" { <==同樣,只是個名字而已! match-clients { "internet".inter". file "named.168.centos.in-addr.168.168.vbird.100.168.vbird.1. <==吻合這個來源的才使用底下的 zone zone ". }.192.100. }." IN { type hint.centos.centos.100. # 要得到上面的 IP 192. }. file "named.168.100 # 要得到上面的 IP 才是對的喔!因為介面來自非 192.168. file "named.centos.www.vbird.vbird.

139. 42.0/8.0/0.0. 121.0.0/8.0.0.0/8. 211.0.0/8. 168. 118.0.0.0. 163.0.0/8.0.0/8. 210.0/8.0.0.0.0/8.0.0/8. }.0/8.0/8.0/8.0.0.6 DNS 伺服器的進階設定 其實, DNS 伺服器的運作原理與架設方式的變化,真的很高深莫測的!在這裡,我們額外的提出一些比較 進階的內容給大家參考參考, 例如架設一個合法授權的 DNS 伺服器以及利用 rndc 控管 DNS 系統喔! 19.0. 39.0.1 架設一個合法授權的 DNS 伺服器 好啦!現在你應該知道什麼是『經上游授權的合法 DNS 伺服器』了吧? 沒錯!就是上游的 DNS 伺服 器將子網域的查核權開放給你來設定就對啦!嗯!雖然知道原理,但是那麼我要如何來架設一個合法 的 DNS 伺服器呢?好讓我自己管理自己的 domain!舉例來說,鳥哥的 vbird.0. 36. 58.0/8.0/8. 175. 59. 如上所示,加入 asia 與 nonasia 的相關設定,再使用 view 來處理相關的 zone ,並修改 zone file 內容, 就能夠處理好這個案例的需求囉! 19.iana. acl nonasia { ! "asia".0.0. 223.0.0.twnic.0. 219. 124. 125.iana. 114.0.twnic.0.idv.0. 112.org/numbers/ 每個單位的 IP 分佈: http://www.0.0.tw 就是鳥哥自己管理的 哩~底下我們就來談一談,如何向 ISP 申請一個合法授權的 DNS 伺服器,或者是合法的主機名稱啊! 1. 122. 60.0.jsp?Order=inet_aton%28Startip%29 然後再透過 acl 以及 view 來規範即可。鳥哥的收集資料如下,如果有誤,還請告知! acl asia { 1.95.0.0/8.0/8.0. 180.0.0/8.0/8.116.0/8. 126.0.0.0.0.net/index3.0.0.0/8. 182.0/8.0/8.0/8.就是要花錢! 既然是要建立一個合法的 DNS server,自然就要向合法的 ISP 申請授權囉!目前你可以到底下的地方去 申請喔! http://www. 116.0/8.117.6.0.0.0/8.150.0.0.0/8.0.net.0. 220.0. 120.0.0.0/8.0.0/8.150.0.0.0. 202.0.0.0.tw 這個網域!現在鳥哥 就以 Hinet 的註冊做為說明吧: .0.0/8.0/8. 申請一個合法的 domain name .0. 123. 106.org/assignments/ipv4-address-space/ipv4-address-space..xml 台灣地區 IP 分佈: http://rms.0. 27. 49.0/8.0.192. 183. 101.0/16.0/8.0/8.0.0/8.0. 115.0.0. 110.0.0/16.0. 119.0.0/8.0.0.0/8.0/8.0.0/8.0.0. 117. 113.0.tw/twnic/User/Member/Search/main7.0.0.0/8.0/8.175.0/16.0.0.0.0.0.0.0. 103.0/8. 203. 111. 221. }.0/8.而其他國家的連線則連到美國的站台, 但又不想要讓使用者自己挑選不同的主機名稱,想 使用同一組主機名稱,此時該如何是好? 答: 鳥哥可以想到的最簡單的方案,就是透過 DNS 來設定相同主機名稱的不同 IP 目標,亦即 是透過 view 來規範即可。 不過,與上述鳥哥的區網簡單範例不同,我們得要收集亞洲區 的 IP 才行,這些區段可能可以透過底下的網站來取得: 五大洲的 IP 管理所屬人:http://www.php 其實 TWNIC 已經將台灣地區的一些 domain 授權給各大 ISP 管理了,所以你連接上述的網站之後,可 以點選裡頭相關的連結到各大 ISP 去註冊!例如鳥哥就在 Hinet 註冊了 vbird.0. any.0.idv. 222..0.0/8.0. 61.0/16.0.0. 218.0.0. 140.0.0/8.0.0.0/8.0.0.0.0/8.0.0. 14.0.0.0/8.0.

以 DNS 伺服器的詳細設定 (19.net 2.6-1、以 Hinet 網站為依據介紹註冊 domain 的方法 請依序一步一步的將他完成,最後你會得到一組帳號密碼,就能夠修改自己的領域啦! 4.6-1 在 (3) 所指的『DNS異動與查詢』項目,會出現下面圖示。記得選擇 『DNS』及填寫你的 hostname 與正確的 IP 即可喔!注意: 要填選這個項目,最好你的 IP 是固定 制的,浮動制的 IP 不建議用這個選項! 圖 19.4) 之設定內容來設定你的主機: 如果你已經以 DNS 伺服器的方式申請了一個 domain name ,那麼你就必須要設定你的 DNS 主機了! 請 注意,這個情況之下,你只要設定你的註冊的網域的正解即可! 反解部分則先不要理會,當然,如果 你有辦法的話,最好還是請上層的 ISP 幫你設定囉! . 逐步進行註冊: 你可以選擇很多種類的領域來註冊,如果想要註冊個人網站,請按下圖所指的 (1) 處,如果想要 註冊類似 vbird.1.hinet. 選擇網站代管或架設 DNS 模式: 我們可以直接請 ISP 幫我們設定好 host 對應 IP 就好(最多三部),當然也可以自行設定一下我們所 需要的 DNS 伺服器啦!如果未來你可能會架設 mail server ,所以還是自行設定 DNS 主機好了! 你可以選擇圖 19. 進入主畫面: 直接連結到底下的網頁去: http://domain. 選擇需要的網域名稱,並查詢該網域是否已存在: 因為網域必需是獨一無二的,所以你必需使用該網頁當中提供的查詢功能, 去查詢一下你想要 的網域是否已經被註冊了呢?一定要沒有被註冊的網域才可以喔! 3.tw 這種網域的話,則可以選擇 (2) 所指的那個項目。然後以該網站提供的功能一 步一步的往下去進行, 例如以鳥哥的『個人網址』之註冊為例,按下個人網址之後,會出現流 程步驟為: 圖 19.6-2、以 Hinet 網站為依據介紹註冊 domain 的方法 2.

205.206.244.244.6.ch06.arpa'?): 206.205.0.arpa' (in '206.in-addr.arpa' (in '206.conf [root@www ~]# vim /etc/named.x 的系統下,請察看這個檔案『 /usr/share/doc/bind-9.205.200.205. }.3#53 2 Oct 5 05:02:31 test named[432]: lame server resolving '68.112.244.1#953 .conf 檔案當中的最底下,加入這個參數即可: # 1. in-addr.244. in-addr. # 2.6.244.in-addr.244.244.0/arm/Bv9ARM.105.arpa'?): 205.arpa'?): 205.com/ 如此一來,你的 DNS 主機上面設定的任何資訊,都可以透過 Internet 上面的任何一部主機來查詢到 喔!夠棒吧!心動了嗎?趕快去試看看吧! ^_^ 19. 重新啟動 bind [root@www ~]# /etc/init.d/named restart 基本上,那個 logging 是主機的登錄檔記錄的一個設定項目,因為我們不要 lame server 的資訊, 所以才 將他設定為無 (null) ,這樣就改完了!記得重新啟動 named 之後,還是要察看一下 /var/log/messages 喔! 以確定 named 的正確啟動與否!然後,嘿嘿,以後就不會看到 lame server 咯! 19.206.html 』 ),當我們的 DNS 伺服器在向外面的 DNS 系統查詢某些 正反解時,可能由於 『對方』 DNS 主機的設定錯誤,導致無法解析到預期的正反解結果,這個時候就 會發生所謂的 lame server 的錯誤! 那麼這個錯誤會讓我們的 DNS 伺服器發生什麼嚴重的後果嗎?既然僅是對方的設定錯誤,所以自然就 不會影響我們的 DNS 伺服器的正常作業了。 只是我們的 DNS 主機在查詢時,會發生無法正確解析的 警告訊息而已, 這個訊息雖然不會對我們的 Linux 主機發生什麼困擾,不過,對於系統管理員來說, 要天天查詢的 /var/log/messages 檔案竟然有這麼多的登錄資訊,這是很討厭的一件事! 好了,我們知道 lame server 是對方主機的問題,對我們主機沒有影響,但是卻又不想要讓該訊息出現 在我們的登錄檔 /var/log/messages 當中,怎麼達到這樣的功能呢?呵呵!就直接利用 BIND 這個軟體所 提供的登錄檔參數啊! 動作很簡單,在你的 /etc/named.206.in-addr.0.conf // 加入底下這個參數: logging { category lame-servers { null. 測試: 設定一部合法的 DNS 完畢後,建議你可以到這個網站去查詢一下你的設定是否妥當: http://thednsreport.3 利用 RNDC 指令管理 DNS 伺服器 不知道你會不會覺得很奇怪,那就是為啥啟動 DNS 後,在 /var/log/messages 老是看到這一句話: command channel listening on 127. in-addr. }.205. 修改 /etc/named.201.35#53 3 Oct 5 05:02:41 test named[432]: lame server resolving '68.244.20#53 這是什麼東西吶?根據官方提供的文件資料來看 ( 在你的 CentOS 6.3.2 LAME Server 的問題 或許你曾經在 /var/log/messages 裡面看到類似這樣的訊息: [root@www ~]# more /var/log/messages 1 Oct 5 05:02:30 test named[432]: lame server resolving '68.7.arpa' (in '206.205.

options { default-key "rndc-key".conf [root@www ~]# vim /etc/named. } keys { "rndc-key".conf 當中去即可!你可以使用 bind 提供的指令來進行這樣的工作喔! # 1. }. controls { inet 127.0. }. 建立 rndc.1.0.0.0. adjusting the allow list as needed: key "rndc-key" { algorithm hmac-md5. default-server 127. default-port 953.1.conf 設定檔當中, 重新啟動 DNS 後,你的 DNS 就能夠藉由 rndc 這個指令來管理囉! 事實上,新版的 distributions 通常已 經幫你主動的建立好 rndc key 了,所以你不需要忙碌~ 不過,如果你還是在登錄檔當中發現一些錯 誤,例如: couldn't add command channel 127.0.0. }. secret "UUqxyIwui+22CobCYFj5kg==". }. # End of rndc. 先建立 rndc key 的相關資料吧! [root@www ~]# rndc-confgen # Start of rndc.key 檔案 [root@www ~]# vim /etc/rndc.1#953: not found 那就表示你 DNS 的 rndc key 沒有設定好啦!那要如何設定好?很簡單~只要先建立一把 rndc key ,然 後加到 named.conf 中 key "rndc-key" { algorithm hmac-md5.1 port 953 allow { 127. End of named. }. # 3.而且在本機端的 port 953 還多了個 named 所啟動的服務,那是啥?那就是所謂的 rndc 了。這個 rndc 是 BIND version 9 以後所提供的功能啦,他可以讓你很輕鬆的管理你自己的 DNS 伺服器喔! 包括可以檢 查已經存在 DNS 快取當中的資料、重新更新某個 zone 而不需要重新啟動整個 DNS , 以及檢查 DNS 的狀態與統計資料等等的,挺有趣的! 不過,因為 rndc 可以很深入的管理你的 DNS 伺服器,所以當然要進行一些控管啦! 控管的方式是經 過 rndc 的設定來建立一支金鑰 (rndc key),並將這支金鑰相關的資訊寫入你的 named.conf 請注意,這個 rndc-confgen 是利用亂數計算出加密的那把 key , 所以每次執行的結果都不一樣。所以上述的資料與你的螢幕會有點不同。 # 2. }.conf # 在某個不被影響的角落建置如下的內容: key "rndc-key" { algorithm hmac-md5.1 port 953 .conf <==底下沒有 # 的第一部份請複製到 /etc/rndc.0.conf 且解開 # 喔! Use with the following in named. secret "UUqxyIwui+22CobCYFj5kg==".conf # # # # # # # # # # # # # # 至於底下的 key 與 controls 部分,則請複製到 named. secret "UUqxyIwui+22CobCYFj5kg==".conf. secret "UUqxyIwui+22CobCYFj5kg==". 修改 named.0.0. controls { inet 127. }.key # 在這個檔案當中將原本的資料全部刪除,並將剛剛得到的結果給他貼上去 key "rndc-key" { algorithm hmac-md5.0.

++ Zone Maintenance Statistics ++ 2 IPv4 notifies sent ++ Resolver Statistics ++ .7. stats Write server statistics to the statistics file.7.. # 其他就給他省略啦!請自行輸入這個指令來參考囉! 那如何使用呢?我們舉幾個小例子來說明吧! # 範例一:將目前 DNS 伺服器的狀態顯示出來 [root@www ~]# rndc status version: 9.Statistics Dump --. ++ Cache DB RRsets ++ [View: lan (Cache: lan)] [View: wan (Cache: wan)] [View: _bind (Cache: _bind)] [View: _meta (Cache: _meta)] ++ Socket I/O Statistics ++ 5 UDP/IPv4 sockets opened 4 TCP/IPv4 sockets opened 2 UDP/IPv4 sockets closed 1 TCP/IPv4 sockets closed 2 TCP/IPv4 connections accepted ++ Per Zone Query Statistics ++ --. status Display status of the server... } keys { "rndc-key"..d/named restart 建立了rndc key 並且啟動 DNS ,同時你的系統也已經有 port 953 之後,我們就可以在本機執行 rndc 這 個指令了。這個指令的用法請直接輸入 rndc 來查詢即可: [root@www ~]# rndc Usage: rndc [-c config] [-s server] [-p port] [-k key-file ] [-y key] [-V] command command is one of the following: reload Reload configuration file and zones.txt +++ Statistics Dump +++ (1312528012) .db)..(中間省略).(1312528012) # 範例三:將目前快取記憶體當中的資料記錄下來 . [root@www ~]# /etc/init....0.el6_0.0.P2.1 CPUs found: 1 worker threads: 1 number of zones: 27 <==這部 DNS 管理的 zone 數量 debug level: 0 <==是否具有 debug 及 debug 的等級 xfers running: 0 xfers deferred: 0 soa queries in progress: 0 query logging is OFF <==是否具有 debug 及 debug 的等級 recursive clients: 0/0/1000 tcp clients: 0/100 server is up and running <==是否具有 debug 及 debug 的等級 # 範例二:將目前系統的 DNS 統計資料記錄下來 [root@www ~]# rndc stats # 此時,預設會在 /var/named/data 內產生新檔案,你可以去查閱: [root@www ~]# cat /var/named/data/named_stats. }. }...allow { 127.(中間省略).0-P2-RedHat-9.0-5... dumpdb Dump cache(s) to the dump file (named_dump.1. flush Flushes all of the server's caches.

這表示你的 /etc/rndc.vbird ,此時我必需要給他一把金鑰, 並且設定我的 named.private # 上面那把是公鑰,下面那把則是私鑰檔案! .[root@www ~]# rndc dumpdb # 與 stats 類似,會將 cache 的資料放置成為一個檔案,你可以去查閱: # /var/named/data/cache_dump.+157+36124.conf 讓 centos. DSA.conf 內金鑰的編碼不同所致。 請你自行以上述的 rndc-confgen 的方 式自行處理你的 rndc key ,並重新啟動 named 即可啊! 用這東西管理,你就不需要每次都重新啟動 named 囉! ^_^ 19.vbird 這個 zone 能夠接受來自用戶端的資料更新才行!首先來建立這把金鑰吧! [root@www ~]# dnssec-keygen -a [演算法] -b [密碼長度] -n [類型] 名稱 選項與參數: -a :後面接的 [type] 為演算方式的意思,主要有 RSAMD5.+157+36124 [root@www named]# ls -l -rw-------.key -rw-------.4 架設動態 DNS 伺服器: 讓你成為 ISP 啦! 什麼是動態 DNS (Dynamic DNS. DDNS Server 端的設定: 假設我有一個朋友,他使用的 Linux 主機的 IP 是會隨時變動的,但是他想要架設 Web 網站, 所以他 向我申請了一個領域名稱,那就是 web. 1 root root 229 Aug 5 15:22 Kweb.noip.centos. DDNS) 主機呢?還記得我們在第十章裡面提到, 如果我們本身是以撥 接制的 ADSL 連上 Internet 時,我們的 IP 通常是 ISP 隨機提供的,因此每次上網的 IP 都不固定,所 以, 我們沒有辦法以上面的 DNS 設定來給予這種連上 Internet 的方法一個適當的主機名稱。 也因此,如果我們想要利用這種沒有固定 IP 的連線方法架設網站時,就得要有特殊的管道了~ 其中之 一的方法就是利用 Internet 上面已經提供的免費動態 IP 對應主機名稱的服務! 例如: http://www. or the key is invalid. this host is not authorized to connect. RSA.6. 1 root root 112 Aug 5 15:22 Kweb.org 。 提供這樣的服務利用的是什麼原理呢?基本上, DNS 主機還是得要提供 Internet 相關的 zone 的主機名 稱與 IP 的對應資料才行,所以,DDNS 主機 就必須要提供一個機制,讓用戶端可以透過這個機制來修 改他們在 DDNS 主機上面的 zone file 內的資料才行。 那會不會很難啊?不會啊!我們的 BIND 9 就有提供類似的機制啦!那就是利用 update-policy 這個選 項,配合認證用的 key 來進行資料檔案的更新。簡單的說, 1) 我們的 DDNS 主機先提供 Client 一把 Key (就是認證用的資料, 你可以將他想成是帳號與密碼的概念), 2) Client 端利用這把 Key ,並配合 BIND 9 的 nsupdate 指令, 就可以連上 DDNS 主機,並且修改主機上面的 Zone file 內的對應表了。感覺 上很像很簡單喔! 沒錯啊!架設上真的很簡單的~底下我們就來嘗試設定一下喔: 1. DH 與 HMAC-MD5 等。建議你可以使用常見的 HMAC-MD5 來演算密碼; -b :你的密碼長度為多少?通常給予 512 位元的 HMAC-MD5; -n :後面接的則是用戶端能夠更新的類型,主要有底下兩種,建議給 HOST 即可: ZONE:用戶端可以更新任何標誌及整個 ZONE; HOST:用戶端僅可以針對他的主機名稱來更新。 [root@www ~]# cd /etc/named [root@www named]# dnssec-keygen -a HMAC-MD5 -b 512 -n HOST web Kweb.+157+36124.key 與 /etc/rndc.db 如果你在執行 rndc 指令時老是出現如下錯誤: rndc: connection to remote host closed This may indicate that the remote server is using an older version of the command protocol.

[root@www [root@www [root@www [root@www ~]# ~]# ~]# ~]# chmod g+w /var/named chown named /var/named/named.centos..100..vbird.centos.centos.centos.10. }.100.vbird 的 A 的標誌, 亦即是修改主機的 IP 對應啦!語法也就是: grant [key_name] name [hostname] 標籤 也就是說,我的一把 key 其實可以給予多種權限喔!就看你如何規範了。 設定好之後,由於未來用戶端傳來的資訊是由我們主機的 named 所寫入, 寫入的目錄在 /var/named/ 當 中,所以你必需要修改一下權限喔! 給他重新啟動 DNS,然後觀察一下 /var/log/messages 裡面有沒有錯 誤即可! 如此一來,DDNS 主機端就設定妥當囉! 2.254 > update delete web.centos.vbird 主機上頭, 假設你已經將這兩個檔案放置到 /usr/local/ddns 裡面去,然後測試看看: [root@web ~]# cd /usr/local/ddns [root@web ddns]# nsupdate -k Kweb.vbird. }.100. A.conf 內的相關設定吧! [root@www ~]# vim /etc/named.centos. file "named.d/named restart setsebool -P named_write_master_zones=1 注意到上頭的 grant web name web.100.vbird /etc/init. IN KEY 512 3 157 xZmUo8ozG8f2OSg/cqH8Bqxk59Ho8.vbird" IN { type master. Client 端的更新: 接下來則是 DDNS Client 端的更新了。首先,你必須要由 Server 端取得剛剛建立的那兩個檔案, 請將 剛剛建立的 Kweb.key <==看一下公鑰! web.3s9IjUxpFB4Q==".vbird..vbird) 裡面可以修改主機名稱 web.168.centos.vbird".centos.centos.3s9IjUxpFB4Q== # 注意到最右邊的那個密碼長度,等一下我們要複製的僅有那個地方! 接下來你必需要:將公鑰的密碼複製到 /etc/named.200 』這行, 他的意義說的是,新增一筆資料, ttl 是 600 ,給予 A 的標籤,對應到 192. }.jnl 當 然,/var/named/named.key > server 192. }.conf // 先在任意地方加入這個 Key 的相關密碼資訊! key "web" { algorithm hmac-md5. A.vbird <==刪除原有的 > update add web.conf 當中,將私鑰傳給你的 web. allow-transfer { 192.key 及 Kweb.vbird 600 A 192.200 的意思~ 至於 nsupdate -k 後面加的則是我們在 Server 端產生的那個 key 檔案! 然後你就會發現到在 DNS 伺服器端的 /var/named/ 裡面多出一個暫存檔,那就是 named.168.[root@www named]# cat Kweb.+157+36124.168. secret "xZmUo8ozG8f2OSg/cqH8Bqxk59Ho8..vbird 600 A 192. 那一行, grant 後面接的就是 key 的名稱,也就是 說,我這把 web 的 key 在這個 zone (centos.+157+36124.private 利用 SSH 的 sftp 傳送到用戶端, 亦即是那 部 web.168.centos.200 <==更新到最新的 > send > 最後在此按下 [ctrl]+D 即可 請注意到『 update add web.100.+157+36124.. update-policy { grant web name web.vbird 那部主機 上!好了,那就開始來修改 named..centos.+157+36124.vbird 就會隨著用戶端的要求而更新資料喔! 由於手動更新好像挺麻煩的,我們就讓 Client 自動更新吧!利用底下這個 script 即可! .168.centos. // 然後將你原本的 zone 加入底下這一段宣示 zone "centos.

A.sh #!/bin/bash PATH=/sbin:/bin:/usr/sbin:/usr/bin export PATH # 0..7 重點回顧 在 Internet 當中,任何一部合法的主機都具有獨一無二的主機名稱,這個主機名稱包含了 hostname 與 domain name ,並稱為 Fully Qualified Domain Name (FQDN); 為了克服人類對於 IP 不易記憶的困擾,而有名稱解析器的產生,首先是 /etc/hosts ,而後則是 DNS 系統的產生; 目前 Unix Like 的機器當中,都是以 BIND 這個柏克萊大學發展的軟體來架設 DNS 伺服器; DNS 是個協定的名稱,BIND 則是一個軟體,這個軟體提供的程式為 named ! 在 DNS 當中,每一筆記錄我們就稱他為 RR (Resource Record)。 在 DNS 系統中,正解為由 hostname 找 IP ,而反解則是由 IP 找 hostname ,至於 zone 則是一個或者是 部分網域的設定值; 在 bind 9 之後,預設的情況下 named 已經作了 chroot 的動作。 Slave 主機本身並沒有自行設定 zone file ,其 zone file 是由 Master 主機傳送而來,因此, master 主機 必須要針對 slave 主機開放 allow-transfer 的設定項目才行。 整個 DNS 搜尋的流程當中,若找不到本身的資料,則會向 root(. CNAME.key" ttl=600 outif="eth0" hostname="web.vbird..sh 利用 BIND 9 所提供的這個服務,我們只要具有一組固定的 IP ,並向 ISP 申請一個合法授權的 domain name, 就可以提供不論是固定或者是非固定的 IP 使用者,一個合法的主機名稱了! 並且,使用者也 可以自行透過 nsupdate 來修改自己的 IP 對應!以讓自己的主機 IP 永遠與主機名稱保持正確的對應!這 對只有撥接制上網的用戶來說,真是方便啊! 19.[root@web ~]# vim /usr/local/ddns/ddns_update.254" # # # # # # 基本工作目錄 將檔名填進去吧! 你可以指定 ttl 的時間喔! 對外的連線介面! 你向 ISP 取得的那個主機名稱啦! 就是你的 ISP 啊! # Get your new IP newip=`ifconfig "$outif" | grep 'inet addr' | \ awk '{print $2}' | sed -e "s/addr\://"` checkip=`echo $newip | grep "^[0-9]"` if [ "$checkip" == "" ].+157+36124.100.vbird" servername="192..txt cd $basedir echo "server $servername" echo "update delete $hostname A " echo "update add $hostname $ttl A $newip" echo "send" > >> >> >> $tmpfile $tmpfile $tmpfile $tmpfile # send your IP to server nsupdate -k $keyfile -v $tmpfile 你只要將上述的程式裡面,特殊字體的部分給他修改一下,就能夠以 /etc/crontab 的方式在你的系統內 自動執行了!這支程式你也可以在底下的連結下載: http://linux. MX. PTR 等; .org/linux_server/0350dns/ddns_update. NS. keyin your parameters basedir="/usr/local/ddns" keyfile="$basedir"/"Kweb. TXT 及 HINFO 等; 反解的紀錄主要有: SOA. then echo "$0: The interface can't connect internet.centos.) 要求資料; 正解的紀錄(record)主要有:SOA." exit 1 fi # create the temporal file tmpfile=$basedir/tmp.168.

redhat.htm 優客筆記:http://turtle.net.org/tips/ddns.org/tips/bind9_view.twnic.ee.tw/article/dns.com/magazine/026dec06/features/dns/?sc_cid=bcm_edmsept_007 台灣 NIC 製作的很棒的教學:http://dns-learning. SOA. ccTLD) 相關查詢網站:http://www.html lame server 的簡易說明:http://linux.study-area.0.conf :可以用來設定查詢主機名稱的順序!例如先查詢 /etc/hosts 再查詢 DNS 系統; /etc/hosts :最早的名稱解析器; /etc/resolv.l-penguin.dnsreport. MX.internic.htm .conf 當中,有一個較為特殊的檔案,他的類型為 hint ,請問這個檔 案的功能為何? 這個檔案主要是由 rs.localdomain 另外,也可以將經常連接的主機 IP 與 HOSTNAME 的對應給他寫進來! 正解檔案(forward)反解檔案(reverse)與內部迴圈使用的檔案(loopback)主要的紀錄功能為: 正解檔在設定 hostname 對應到 IP 的紀錄,主要的紀錄有 A.study-area. whois 等等; 在載入了 named 這個 daemon 之後,請務必前往 /var/log/messages 察看此 daemon 的成功與否。 19. nslookup.) 這個 zone 的 IP !可以讓我們的 DNS Server 在找不 到資料庫時,可以到這個 root 去查詢資料! 在 client 端搜尋 HOSTNAME 對應到 IP 的查詢時,最重要的檔案,以及該檔案的主要用途為何? /etc/nsswitch.cvf.tw/bind/toc.htm 來自 Red Hat 公司的一份教學: http://www.8 本章習題 為何要有 DNS 系統: 最主要的功能其實在於 Hostname 對應 IP 的查詢,可以讓我們人類以電腦主機名稱連上 Internet ,而不必背誦 IP 哩! Unix Like 系統當中,主要使用那個軟體做為 DNS 主機的架設,同時,他又是使用那個 daemon 來啟 動 DNS 系統? 在 Unix Like 系統當中,使用 BIND 這個軟體做為 DNS 的架設,至於 daemon 則是使用 named 這個 daemon ! 最早的 Internet 其實是為了政府人員可以連上網路以進行資源的分享,另外,則是電子郵件的使用。 而在早期使用的重要檔案只有 /etc/hosts 這個,請教這個 hosts 檔案的內容含有什麼項目? 這個檔案的『格式』為『 [IP] [主機名稱] [主機別名(aliase)]』,而,這個檔案裡面放置了至少一行,也就是: 127.0.study-area.org/linux/servers/linux_dns.whois365.conf:這就是 DNS 系統的 resolver (解析器)了。 一般來說,在 Client 端使用的查詢 HOSTNAME 的指令大多使用什麼? nslookup :可以用來收集一部主機的相關資訊; dig:可以用來收集詳細的主機資訊; whois :可以用來收集詳盡的 DNS 主機資訊。 host 則較為簡單喔! 請問 named 重要的資訊登錄在在那個檔案中? 在 /var/log/messages 當中 19.org/GTLD_and_ccTLD BIND 官方網站:http://www.html DDNS 架設:http://www.com/ 對於想要架設內外部不同 DNS 查詢功能的朋友來說,可以參考 view 這個參數,請參考: http://www.0.net 所下載下來的,主要記錄了 root (. NS 與 PTR 等。 內部迴圈則是 localhost 與 127.htm Hinet 反解申請單:http://hidomain.net/lame_server.9 參考資料與延伸閱讀 註1:可以找到的最頂層領域名稱 (gTLD.hinet.0.1 的對應啦! 在主要的 DNS 設定檔 /etc/named.ncku.DNS 查詢的指令主要有: host.org/products/BIND/ Study Area 學習網站:http://www. CNAME 等等; 反解檔主要設定 IP 對應到 Hostname 的紀錄,主要的紀錄為 SOA. dig.html 合法 DNS 伺服器設定的檢查網站:http://www.html bind 的 view 應用:http://www.net/top1.edu.com/tw/listtld http://icannwiki.isc.tw/~tung/dns/dnsintro.1 localhost localhost.idv. NS.

org is designed by VBird during 2001-2011.edu .x 的版本移動到此處 2011/08/05:光是要將這一堆東西測試完畢就花好多時間!這一版的 script 有點不一樣,得要注意喔! 2002/12/10 以來統計人數       | 繁體主站 | 簡體主站 | 基礎篇 | 伺服器 | 企業應用 | 桌面應用 | 安全管理 | 討論板 | 酷學園 | 書籍戡誤 | 鳥哥我 | 崑山資傳 | 本網頁主要以 firefox 配合解析度 1024x768 作為設計依據 http://linux.twnic. ksu.net.管理 IP 的單位http://rms.x 的版本移動到此處 2011/05/10:增加了不少東西,包括將 view 也加進來~歡迎大家參考! 2011/08/04:將基於 CentOS 5.tw/twnic/User/Member/Search/main7.jsp?Order=inet_aton%28Startip%29 2002/12/10:首次完成 2003/03/10:修改部分內容,並且新增 LPI 相關性與重點整理部分! 2003/09/10:修改了部分的版面,並將 slave DNS 的錯誤修訂完畢! 2003/10/08:新增了 lame server 的說明,與解決之道! 2004/10/29:新增了 rndckey 的說明與解決之道! 2004/10/30:新增了 Master/Slave 的架構設定 2004/10/31:新增了 動態 DNS 主機的設定 。 2005/07/19:增加了 SOA 內五個數字的大小 2006/10/17:將之前的舊文章移動到此處 2006/10/20:終於~不容易~將一些資料給他修訂完畢啦! 2007/06/25:小州大大來信告知 Forwarding 與 cache-only 的介紹可以加以修改。已經處理成為這樣。 2011/04/26:將舊的基於 CentOS 4.vbird.

Sign up to vote on this title
UsefulNot useful