與RNDC遠(yuǎn)程管理實(shí)戰(zhàn)部署指南)
1. 項(xiàng)目概述與核心價(jià)值最近在整理服務(wù)器運(yùn)維的筆記翻到了前兩年國(guó)賽里一個(gè)關(guān)于Linux DNS服務(wù)的經(jīng)典題目。題目要求是搭建一個(gè)具備主從同步功能并且集成了RNDC遠(yuǎn)程管理功能的DNS服務(wù)器集群。這個(gè)場(chǎng)景非常貼近生產(chǎn)環(huán)境很多中小企業(yè)的內(nèi)部域名解析或者是一些對(duì)解析穩(wěn)定性有要求的開(kāi)發(fā)測(cè)試環(huán)境都會(huì)用到類(lèi)似的架構(gòu)。它解決的不僅僅是“把域名變成IP”這么基礎(chǔ)的問(wèn)題更核心的是高可用和安全管理。主從架構(gòu)保證了即使主服務(wù)器宕機(jī)從服務(wù)器也能繼續(xù)提供解析服務(wù)避免了單點(diǎn)故障而RNDCRemote Name Daemon Control則讓管理員能夠在不直接登錄服務(wù)器、不重啟服務(wù)的情況下安全地重載配置、刷新緩存、查看狀態(tài)這對(duì)于維護(hù)的便捷性和安全性是質(zhì)的提升。如果你正在負(fù)責(zé)公司的IT基礎(chǔ)設(shè)施或者是一名運(yùn)維工程師、網(wǎng)絡(luò)管理員甚至是一個(gè)想深入學(xué)習(xí)Linux服務(wù)搭建的愛(ài)好者掌握這套組合拳都非常有必要。它不像一些純理論的配置每一步操作都有明確的產(chǎn)出和實(shí)際意義。接下來(lái)我就以一個(gè)實(shí)戰(zhàn)者的角度帶你從零開(kāi)始拆解這個(gè)“2022國(guó)賽21題”背后的完整實(shí)現(xiàn)我會(huì)補(bǔ)充大量原題簡(jiǎn)略描述中未提及的細(xì)節(jié)、原理和踩坑經(jīng)驗(yàn)讓你不僅能復(fù)現(xiàn)更能理解每一個(gè)配置項(xiàng)背后的“為什么”。2. 整體架構(gòu)設(shè)計(jì)與核心思路拆解在動(dòng)手敲命令之前我們必須先在大腦里把整個(gè)架構(gòu)的藍(lán)圖畫(huà)清楚。這道題的核心是構(gòu)建一個(gè)“一主一從”的DNS服務(wù)體系并讓主服務(wù)器具備遠(yuǎn)程控制能力。2.1 主從DNS的工作原理與選型考量DNS主從同步本質(zhì)上是一種基于區(qū)域Zone文件的復(fù)制。主服務(wù)器Master是區(qū)域數(shù)據(jù)的權(quán)威來(lái)源擁有可讀寫(xiě)的區(qū)域數(shù)據(jù)文件。從服務(wù)器Slave則定期或根據(jù)通知連接到主服務(wù)器拉取區(qū)域數(shù)據(jù)的副本這個(gè)過(guò)程稱(chēng)為“區(qū)域傳輸”Zone Transfer。一旦傳輸完成從服務(wù)器就擁有了該區(qū)域的只讀副本并可以獨(dú)立對(duì)外提供解析服務(wù)。為什么選擇BIND9在Linux世界實(shí)現(xiàn)DNS服務(wù)的軟件不止一個(gè)比如dnsmasq更輕量適合緩存和DHCP集成PowerDNS功能強(qiáng)大模塊化。但在這個(gè)場(chǎng)景下BIND (Berkeley Internet Name Domain)幾乎是唯一且最標(biāo)準(zhǔn)的選擇尤其是其9.x版本。原因有三第一它是互聯(lián)網(wǎng)上使用最廣泛、最老牌、文檔最全的DNS軟件其行為是事實(shí)上的標(biāo)準(zhǔn)第二它對(duì)主從同步和RNDC的支持最為成熟和穩(wěn)定第三各類(lèi)認(rèn)證考試如RHCE、國(guó)賽和絕大多數(shù)企業(yè)生產(chǎn)環(huán)境默認(rèn)的技術(shù)棧就是BIND。因此我們選用bind9這個(gè)軟件包。主從關(guān)系的邏輯 假設(shè)我們有一個(gè)內(nèi)部域lab.local。主服務(wù)器假設(shè)IP為192.168.1.10負(fù)責(zé)維護(hù)lab.local的區(qū)域文件。從服務(wù)器IP為192.168.1.20被配置為lab.local的從服務(wù)器。當(dāng)lab.local的區(qū)域數(shù)據(jù)在主服務(wù)器上更新后從服務(wù)器會(huì)自動(dòng)獲取更新。這樣客戶(hù)端無(wú)論向192.168.1.10還是192.168.1.20發(fā)起對(duì)lab.local下主機(jī)如www.lab.local的查詢(xún)都能得到一致的答案并且當(dāng)主服務(wù)器不可用時(shí)從服務(wù)器依然能提供解析。2.2 RNDC的核心價(jià)值與安全模型RNDC允許我們通過(guò)網(wǎng)絡(luò)向namedBIND的服務(wù)進(jìn)程發(fā)送管理命令。如果沒(méi)有RNDC你想讓BIND重新加載配置文件可能需要systemctl restart named但這會(huì)導(dǎo)致服務(wù)短暫中斷或者需要登錄服務(wù)器執(zhí)行rndc命令這要求命令在服務(wù)器本地執(zhí)行。RNDC通過(guò)一個(gè)共享密鑰進(jìn)行認(rèn)證。這個(gè)密鑰是一個(gè)對(duì)稱(chēng)密鑰同時(shí)存儲(chǔ)在RNDC的配置文件rndc.conf和BIND的配置文件named.conf中。當(dāng)你在本地或遠(yuǎn)程執(zhí)行rndc reload命令時(shí)命令會(huì)被加密并發(fā)送到BIND服務(wù)監(jiān)聽(tīng)的特定端口默認(rèn)953BIND使用相同的密鑰驗(yàn)證命令的合法性然后執(zhí)行相應(yīng)操作。安全考量這意味著密鑰的安全性至關(guān)重要。一旦密鑰泄露攻擊者就可能遠(yuǎn)程控制你的DNS服務(wù)例如清空緩存導(dǎo)致解析風(fēng)暴或重載惡意配置。因此密鑰文件的權(quán)限必須嚴(yán)格限制僅允許named用戶(hù)和root讀取并且RNDC通道應(yīng)盡可能限制監(jiān)聽(tīng)地址如只監(jiān)聽(tīng)127.0.0.1或管理網(wǎng)絡(luò)IP配合防火墻策略使用。3. 基礎(chǔ)環(huán)境準(zhǔn)備與軟件安裝我們假設(shè)在兩臺(tái)全新的CentOS 7或Rocky Linux 8服務(wù)器上操作。為什么選這兩個(gè)因?yàn)樗鼈兇砹水?dāng)前企業(yè)級(jí)Linux的主流其軟件包管理yum/dnf和系統(tǒng)服務(wù)管理systemd方式一致且穩(wěn)定。3.1 系統(tǒng)初始化與網(wǎng)絡(luò)配置首先確保兩臺(tái)服務(wù)器之間網(wǎng)絡(luò)互通并且主機(jī)名和靜態(tài)IP已正確設(shè)置。這步是后續(xù)所有配置能成功通信的基礎(chǔ)。在主服務(wù)器Master上# 設(shè)置主機(jī)名方便識(shí)別 hostnamectl set-hostname ns-master.lab.local # 配置靜態(tài)IP編輯網(wǎng)卡配置文件例如 /etc/sysconfig/network-scripts/ifcfg-ens33 # 需要確保IP地址如192.168.1.10、子網(wǎng)掩碼、網(wǎng)關(guān)正確并手動(dòng)指定DNS服務(wù)器為127.0.0.1指向自己或一個(gè)可靠的公共DNS如114.114.114.114用于初始軟件包安裝。 BOOTPROTOstatic IPADDR192.168.1.10 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS1127.0.0.1 # 重啟網(wǎng)絡(luò)服務(wù) systemctl restart network在從服務(wù)器Slave上執(zhí)行類(lèi)似操作設(shè)置主機(jī)名為ns-slave.lab.localIP為192.168.1.20。關(guān)鍵檢查點(diǎn)使用ping命令互測(cè)兩臺(tái)服務(wù)器的IP必須通。使用hostname命令確認(rèn)主機(jī)名已生效。檢查/etc/hosts文件不建議在這里做主機(jī)名解析我們即將搭建的DNS就是為了解決這個(gè)問(wèn)題的。保持hosts文件干凈。3.2 BIND9軟件包安裝與防火墻配置在兩臺(tái)服務(wù)器上分別安裝BIND9及相關(guān)工具。# 對(duì)于CentOS 7/Rocky Linux 8使用yum或dnf sudo yum install -y bind bind-utils # 或者 sudo dnf install -y bind bind-utilsbind是主程序包bind-utils提供了dignslookuprndc等我們急需的診斷和管理工具。安裝完成后需要配置防火墻開(kāi)放DNS服務(wù)端口。DNS查詢(xún)端口UDP 53 TCP 53用于區(qū)域傳輸?shù)却髷?shù)據(jù)量操作。RNDC管理端口TCP 953默認(rèn)。# 如果使用firewalld sudo firewall-cmd --permanent --add-servicedns # 這會(huì)同時(shí)開(kāi)放UDP/TCP 53 sudo firewall-cmd --permanent --add-port953/tcp sudo firewall-cmd --reload # 驗(yàn)證規(guī)則 sudo firewall-cmd --list-all注意事項(xiàng)在生產(chǎn)環(huán)境中對(duì)于RNDC端口953強(qiáng)烈建議使用--add-rich-rule限制只允許特定的管理IP地址訪問(wèn)而不是對(duì)所有IP開(kāi)放。例如sudo firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.100 port protocoltcp port953 accept。4. 主服務(wù)器Master深度配置主服務(wù)器的配置是核心它定義了權(quán)威區(qū)域并允許從服務(wù)器來(lái)同步數(shù)據(jù)。4.1 主配置文件 named.conf 詳解BIND的主配置文件通常是/etc/named.conf。我們先備份原文件然后進(jìn)行編輯。sudo cp /etc/named.conf /etc/named.conf.bak sudo vim /etc/named.conf以下是需要修改或添加的關(guān)鍵部分我會(huì)逐段解釋options { listen-on port 53 { 127.0.0.1; 192.168.1.10; }; // 監(jiān)聽(tīng)本地回環(huán)和本機(jī)IP listen-on-v6 port 53 { ::1; }; // IPv6根據(jù)需求配置 directory /var/named; // 工作目錄區(qū)域文件存放于此 dump-file /var/named/data/cache_dump.db; statistics-file /var/named/data/named_stats.txt; memstatistics-file /var/named/data/named_mem_stats.txt; recursing-file /var/named/data/named.recursing; secroots-file /var/named/data/named.secroots; allow-query { localhost; 192.168.1.0/24; }; // 允許查詢(xún)的客戶(hù)端網(wǎng)段 // --- 關(guān)鍵配置允許從服務(wù)器進(jìn)行區(qū)域傳輸 --- allow-transfer { 192.168.1.20; }; // 只允許IP為192.168.1.20的從服務(wù)器拉取區(qū)域數(shù)據(jù) // 也可以寫(xiě)成 { 192.168.1.20; localhost; } 方便本地測(cè)試 recursion yes; // 是否允許遞歸查詢(xún)。對(duì)于權(quán)威服務(wù)器可以設(shè)為no但為了方便內(nèi)網(wǎng)客戶(hù)端這里設(shè)為yes。 dnssec-enable yes; dnssec-validation yes; managed-keys-directory /var/named/dynamic; pid-file /run/named/named.pid; session-keyfile /run/named/session.key; }; logging { channel default_debug { file data/named.run; severity dynamic; }; }; // RNDC控制通道配置 // 這里使用一個(gè)獨(dú)立的密鑰文件 rndc.key通常由系統(tǒng)在安裝時(shí)或首次啟動(dòng)named時(shí)自動(dòng)生成在 /etc/rndc.key 或 /run/named/session.key // 我們采用更清晰的方式在 named.conf 中直接包含密鑰 controls { inet 127.0.0.1 port 953 // RNDC只監(jiān)聽(tīng)本地回環(huán)最安全 allow { 127.0.0.1; } // 只允許本機(jī)連接 keys { rndc-key; }; // 使用的密鑰名稱(chēng) }; // 引入主區(qū)域配置文件。這是一種好習(xí)慣將區(qū)域定義分離到單獨(dú)文件便于管理。 include /etc/named.rfc1912.zones; include /etc/named.root.key; // 在這里直接定義我們的權(quán)威區(qū)域也可以寫(xiě)在單獨(dú)文件里再include zone lab.local IN { // 定義正向解析區(qū)域 lab.local type master; // 類(lèi)型為主服務(wù)器 file lab.local.zone; // 區(qū)域數(shù)據(jù)文件位于 /var/named/ 目錄下 allow-update { none; }; // 不允許動(dòng)態(tài)更新保持簡(jiǎn)單安全 allow-transfer { 192.168.1.20; }; // 再次明確指定允許傳輸?shù)膹姆?wù)器優(yōu)先級(jí)高于options中的全局設(shè)置 }; zone 1.168.192.in-addr.arpa IN { // 定義反向解析區(qū)域?qū)?yīng) 192.168.1.0/24 網(wǎng)段 type master; file 192.168.1.arpa; allow-update { none; }; allow-transfer { 192.168.1.20; }; };配置要點(diǎn)解析allow-transfer這是安全的重中之重。它指定了哪些服務(wù)器被允許從本機(jī)進(jìn)行區(qū)域傳輸AXFR/IXFR。務(wù)必將其限制為你的從服務(wù)器IP。如果設(shè)置為any則任何主機(jī)都可以嘗試?yán)∧愕耐暾麉^(qū)域數(shù)據(jù)可能導(dǎo)致信息泄露或成為DNS放大攻擊的幫兇。controls段落這里我們將RNDC監(jiān)聽(tīng)限制在127.0.0.1這意味著只能在本機(jī)使用rndc命令。這是最安全的做法。如果需要遠(yuǎn)程管理則需要監(jiān)聽(tīng)管理IP并配合防火墻和allow列表做嚴(yán)格限制。區(qū)域定義中的allow-transfer這里指定的優(yōu)先級(jí)高于options中的全局設(shè)置。為每個(gè)區(qū)域單獨(dú)設(shè)置是一個(gè)好習(xí)慣。4.2 區(qū)域數(shù)據(jù)文件創(chuàng)建與資源記錄語(yǔ)法現(xiàn)在我們需要在/var/named/目錄下創(chuàng)建上面定義的兩個(gè)區(qū)域文件。注意文件的屬主和權(quán)限必須允許named用戶(hù)讀取。創(chuàng)建正向區(qū)域文件lab.local.zonesudo vim /var/named/lab.local.zone文件內(nèi)容如下$TTL 1D ; 默認(rèn)生存時(shí)間1天 IN SOA ns-master.lab.local. admin.lab.local. ( 2024070101 ; 序列號(hào) Serial 格式通常為YYYYMMDDNN每次更新必須增大 1H ; 刷新時(shí)間 Refresh 從服務(wù)器多久檢查一次主服務(wù)器 15M ; 重試時(shí)間 Retry 刷新失敗后多久重試 1W ; 過(guò)期時(shí)間 Expire 從服務(wù)器多久無(wú)法聯(lián)系主服務(wù)器則停止服務(wù) 3H ) ; 最小TTL Minimum TTL 否定緩存時(shí)間 ; 名稱(chēng)服務(wù)器記錄 (NS Records) IN NS ns-master.lab.local. IN NS ns-slave.lab.local. ; 地址記錄 (A Records) IN A 192.168.1.10 ; 將 lab.local 解析到主服務(wù)器IP ns-master IN A 192.168.1.10 ns-slave IN A 192.168.1.20 www IN A 192.168.1.100 ftp IN A 192.168.1.101 mail IN A 192.168.1.102 ; 別名記錄 (CNAME Record) web IN CNAME www關(guān)鍵記錄解釋SOA記錄起始授權(quán)機(jī)構(gòu)這是區(qū)域文件的靈魂。序列號(hào)Serial是主從同步的觸發(fā)器。從服務(wù)器會(huì)對(duì)比這個(gè)號(hào)碼如果主服務(wù)器的序列號(hào)更大就從主服務(wù)器拉取數(shù)據(jù)。每次手動(dòng)修改此文件后務(wù)必增大此序列號(hào)我習(xí)慣用YYYYMMDDNN格式比如2024070101表示2024年7月1日的第一次修改。NS記錄名稱(chēng)服務(wù)器聲明了這個(gè)區(qū)域的權(quán)威DNS服務(wù)器是哪幾臺(tái)。這里列出了主和從。A記錄地址記錄最基礎(chǔ)的域名到IP的映射。CNAME記錄規(guī)范名稱(chēng)別名記錄web.lab.local是www.lab.local的別名。創(chuàng)建反向區(qū)域文件192.168.1.arpasudo vim /var/named/192.168.1.arpa文件內(nèi)容如下$TTL 1D IN SOA ns-master.lab.local. admin.lab.local. ( 2024070101 ; 序列號(hào)必須與正向區(qū)域一致或同步更新 1H 15M 1W 3H ) ; NS記錄 IN NS ns-master.lab.local. IN NS ns-slave.lab.local. ; 指針記錄 (PTR Records) - 將IP反向解析為主機(jī)名 10 IN PTR ns-master.lab.local. 20 IN PTR ns-slave.lab.local. 100 IN PTR www.lab.local. 101 IN PTR ftp.lab.local. 102 IN PTR mail.lab.local.權(quán)限與屬主設(shè)置sudo chown root:named /var/named/lab.local.zone /var/named/192.168.1.arpa sudo chmod 640 /var/named/lab.local.zone /var/named/192.168.1.arpanamed用戶(hù)屬于named組chown root:named讓root擁有named組可讀。chmod 640表示文件所有者可讀寫(xiě)所屬組可讀其他人無(wú)權(quán)限。這是BIND區(qū)域文件的標(biāo)準(zhǔn)安全權(quán)限。4.3 配置語(yǔ)法檢查與服務(wù)啟動(dòng)在啟動(dòng)服務(wù)前務(wù)必進(jìn)行配置語(yǔ)法檢查這是一個(gè)非常重要的好習(xí)慣可以避免因配置錯(cuò)誤導(dǎo)致服務(wù)無(wú)法啟動(dòng)。# 檢查主配置文件語(yǔ)法 sudo named-checkconf /etc/named.conf # 檢查正向區(qū)域文件語(yǔ)法 sudo named-checkzone lab.local /var/named/lab.local.zone # 檢查反向區(qū)域文件語(yǔ)法 sudo named-checkzone 1.168.192.in-addr.arpa /var/named/192.168.1.arpa如果以上命令均無(wú)報(bào)錯(cuò)輸出OK則可以啟動(dòng)BIND服務(wù)并設(shè)置開(kāi)機(jī)自啟。sudo systemctl start named sudo systemctl enable named sudo systemctl status named # 查看狀態(tài)確認(rèn)是 active (running)首次啟動(dòng)排錯(cuò)心得如果status顯示失敗第一時(shí)間使用sudo journalctl -xe -u named查看詳細(xì)的系統(tǒng)日志。常見(jiàn)錯(cuò)誤包括配置文件語(yǔ)法錯(cuò)誤、區(qū)域文件路徑或權(quán)限錯(cuò)誤、端口被占用等。日志信息通常非常明確能直接定位問(wèn)題。5. 從服務(wù)器Slave配置詳解從服務(wù)器的配置相對(duì)簡(jiǎn)單它不需要手動(dòng)創(chuàng)建區(qū)域文件因?yàn)槲募?huì)從主服務(wù)器自動(dòng)同步過(guò)來(lái)。5.1 從服務(wù)器 named.conf 配置編輯從服務(wù)器的/etc/named.conf其options部分與主服務(wù)器類(lèi)似但allow-transfer通常設(shè)為none因?yàn)樗鳛閺姆?wù)器一般不需要再被其他服務(wù)器傳輸數(shù)據(jù)除非有更下級(jí)的從服務(wù)器。options { listen-on port 53 { 127.0.0.1; 192.168.1.20; }; listen-on-v6 port 53 { ::1; }; directory /var/named; allow-query { localhost; 192.168.1.0/24; }; allow-transfer { none; }; // 從服務(wù)器通常不允許二次傳輸 recursion yes; ... }; // RNDC配置如果需要在從服務(wù)器本地管理 controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { rndc-key; }; };關(guān)鍵區(qū)別在于區(qū)域定義zone lab.local IN { type slave; // 類(lèi)型為從服務(wù)器 file slaves/lab.local.zone; // 文件路徑注意是 slaves/ 目錄 masters { 192.168.1.10; }; // 指定主服務(wù)器的IP地址 }; zone 1.168.192.in-addr.arpa IN { type slave; file slaves/192.168.1.arpa; masters { 192.168.1.10; }; };重要細(xì)節(jié)type slave;明確指定此區(qū)域?yàn)閺膮^(qū)域。masters { 192.168.1.10; };指定主服務(wù)器的IP。可以列出多個(gè)主服務(wù)器IP用分號(hào)隔開(kāi)實(shí)現(xiàn)多主同步不常見(jiàn)。file slaves/lab.local.zone;這是最易出錯(cuò)的地方之一。從服務(wù)器的區(qū)域文件路徑必須位于/var/named/slaves/目錄或options中directory指定的目錄下的slaves子目錄下。BIND進(jìn)程named用戶(hù)需要有對(duì)這個(gè)目錄的寫(xiě)入權(quán)限。該目錄下的文件會(huì)在區(qū)域傳輸時(shí)由BIND自動(dòng)創(chuàng)建和更新管理員不應(yīng)手動(dòng)編輯它們。5.2 目錄權(quán)限與從服務(wù)器啟動(dòng)確保slaves目錄存在且權(quán)限正確。# 檢查目錄是否存在通常安裝bind時(shí)會(huì)自動(dòng)創(chuàng)建 ls -ld /var/named/slaves # 如果不存在則創(chuàng)建并設(shè)置正確的權(quán)限 sudo mkdir -p /var/named/slaves sudo chown named:named /var/named/slaves # 關(guān)鍵讓named用戶(hù)擁有寫(xiě)入權(quán) sudo chmod 770 /var/named/slaves然后同樣進(jìn)行語(yǔ)法檢查并啟動(dòng)服務(wù)。sudo named-checkconf /etc/named.conf sudo systemctl start named sudo systemctl enable named sudo systemctl status named啟動(dòng)后檢查/var/named/slaves/目錄應(yīng)該能看到從主服務(wù)器同步下來(lái)的區(qū)域文件lab.local.zone和192.168.1.arpa?？梢允褂胠s -la /var/named/slaves/查看。6. RNDC密鑰生成與高級(jí)配置雖然我們?cè)趎amed.conf中使用了系統(tǒng)可能自動(dòng)生成的rndc-key但為了更清晰地管理和實(shí)現(xiàn)遠(yuǎn)程控制我們手動(dòng)生成一個(gè)專(zhuān)用的密鑰對(duì)是更好的實(shí)踐。6.1 生成RNDC共享密鑰我們使用rndc-confgen工具來(lái)生成密鑰和配置片段。在主服務(wù)器上執(zhí)行sudo rndc-confgen -a -c /etc/rndc.key-a自動(dòng)生成密鑰并寫(xiě)入默認(rèn)文件/etc/rndc.key。-c指定輸出密鑰文件。執(zhí)行后會(huì)生成一個(gè)包含密鑰的/etc/rndc.key文件。查看其內(nèi)容sudo cat /etc/rndc.key你會(huì)看到類(lèi)似這樣的內(nèi)容key rndc-key { algorithm hmac-sha256; secret XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; };這個(gè)文件同時(shí)包含了密鑰名rndc-key、算法hmac-sha256和密鑰本身secret。6.2 配置BIND使用自定義密鑰現(xiàn)在我們需要修改主服務(wù)器的/etc/named.conf讓它使用我們剛生成的這個(gè)密鑰并允許從特定IP遠(yuǎn)程管理。首先確保/etc/rndc.key文件權(quán)限安全sudo chown root:named /etc/rndc.key sudo chmod 640 /etc/rndc.key然后編輯/etc/named.conf注釋掉或刪除之前controls段落中關(guān)于keys { rndc-key; }的引用如果之前是引用內(nèi)置密鑰并改為包含密鑰文件同時(shí)修改controls段落以允許遠(yuǎn)程管理假設(shè)管理機(jī)IP是192.168.1.100。// 在文件頂部或合適位置包含密鑰文件 include /etc/rndc.key; // 修改 controls 段落 controls { inet 192.168.1.10 port 953 // 監(jiān)聽(tīng)本機(jī)真實(shí)IP allow { 192.168.1.100; 127.0.0.1; } // 允許管理機(jī)和本機(jī)連接 keys { rndc-key; }; // 引用密鑰文件中定義的密鑰名 };安全強(qiáng)化在生產(chǎn)環(huán)境allow列表應(yīng)該盡可能小并且配合防火墻規(guī)則只允許受信任的管理網(wǎng)絡(luò)訪問(wèn)953端口。6.3 配置RNDC客戶(hù)端在管理機(jī)192.168.1.100上我們需要?jiǎng)?chuàng)建RNDC的客戶(hù)端配置文件/etc/rndc.conf如果不存在則創(chuàng)建內(nèi)容需要與服務(wù)器端的密鑰匹配。最簡(jiǎn)單的方式是將主服務(wù)器上/etc/rndc.key文件的內(nèi)容復(fù)制到管理機(jī)的/etc/rndc.conf中?；蛘呤謩?dòng)創(chuàng)建# 在管理機(jī)192.168.1.100上執(zhí)行 sudo vim /etc/rndc.conf內(nèi)容如下其中的secret必須與主服務(wù)器/etc/rndc.key中的完全一致key rndc-key { algorithm hmac-sha256; secret XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; }; options { default-key rndc-key; default-server 192.168.1.10; // 默認(rèn)連接的主服務(wù)器IP default-port 953; };同樣設(shè)置好權(quán)限sudo chmod 600 /etc/rndc.conf現(xiàn)在在管理機(jī)上你就可以遠(yuǎn)程控制主服務(wù)器的BIND服務(wù)了rndc -s 192.168.1.10 status # 查看主服務(wù)器BIND狀態(tài) rndc reload # 重載配置如果修改了named.conf或區(qū)域文件并增加了序列號(hào) rndc flush # 清空服務(wù)器緩存 rndc zonestatus lab.local # 查看lab.local區(qū)域的狀態(tài)實(shí)操心得rndc reload是一個(gè)非常常用的命令。當(dāng)你修改了named.conf主配置后使用reload可以平滑重載配置不會(huì)中斷正在進(jìn)行的查詢(xún)。但請(qǐng)注意修改區(qū)域文件后除了要增大序列號(hào)還需要執(zhí)行rndc reload zone_name例如rndc reload lab.local來(lái)重載特定區(qū)域或者直接rndc reload重載所有區(qū)域。7. 功能驗(yàn)證與深度排錯(cuò)指南配置完成后不能只看服務(wù)狀態(tài)是running就了事必須進(jìn)行全面的功能測(cè)試。7.1 基礎(chǔ)解析測(cè)試使用dig或nslookup工具進(jìn)行測(cè)試它們比古老的nslookup功能更強(qiáng)大輸出更清晰。在客戶(hù)端可以是同一網(wǎng)段內(nèi)任意機(jī)器測(cè)試正向解析# 查詢(xún) www.lab.local 的A記錄指定向主服務(wù)器192.168.1.10查詢(xún) dig 192.168.1.10 www.lab.local A # 查詢(xún) lab.local 的SOA記錄了解區(qū)域權(quán)威信息 dig 192.168.1.10 lab.local SOA # 查詢(xún) lab.local 的NS記錄看名稱(chēng)服務(wù)器列表是否正確 dig 192.168.1.10 lab.local NS在客戶(hù)端測(cè)試反向解析# 查詢(xún)IP 192.168.1.100 對(duì)應(yīng)的PTR記錄 dig 192.168.1.10 -x 192.168.1.100測(cè)試從服務(wù)器將上述命令中的192.168.1.10替換為192.168.1.20重復(fù)測(cè)試結(jié)果應(yīng)該完全一致。關(guān)鍵輸出解讀在dig命令輸出的ANSWER SECTION中應(yīng)該能看到正確的IP地址或主機(jī)名。在輸出的AUTHORITY SECTION中應(yīng)該能看到lab.local.的NS記錄指向ns-master.lab.local和ns-slave.lab.local并且后面跟著它們的A記錄這叫“膠水記錄”在附加段中。注意響應(yīng)時(shí)間Query time和狀態(tài)status: NOERROR。7.2 主從同步測(cè)試這是驗(yàn)證主從架構(gòu)是否成功的關(guān)鍵。檢查從服務(wù)器區(qū)域文件登錄從服務(wù)器查看/var/named/slaves/目錄下是否生成了區(qū)域文件并檢查其內(nèi)容是否與主服務(wù)器一致。sudo ls -la /var/named/slaves/ sudo cat /var/named/slaves/lab.local.zone | head -20重點(diǎn)看序列號(hào)是否與主服務(wù)器的lab.local.zone文件中的序列號(hào)一致。修改主服務(wù)器區(qū)域文件觸發(fā)同步登錄主服務(wù)器編輯/var/named/lab.local.zone添加一條新記錄例如test IN A 192.168.1.200務(wù)必增大SOA記錄中的序列號(hào)例如從2024070101改為2024070102。執(zhí)行sudo rndc reload lab.local通知BIND重載該區(qū)域。等待片刻取決于SOA記錄中Refresh時(shí)間我們?cè)O(shè)的是1小時(shí)但可以手動(dòng)觸發(fā)或等待NOTIFY消息然后在從服務(wù)器上使用dig 192.168.1.20 test.lab.local查詢(xún)或者直接查看從服務(wù)器的區(qū)域文件/var/named/slaves/lab.local.zone看新記錄test是否已經(jīng)出現(xiàn)。使用RNDC命令查看同步狀態(tài)# 在主服務(wù)器上查看區(qū)域傳輸狀態(tài) sudo rndc stats # 然后查看統(tǒng)計(jì)文件 /var/named/data/named_stats.txt尋找關(guān)于 zone transfer 的部分。 # 或者在從服務(wù)器上查看BIND日志 sudo journalctl -u named -f當(dāng)你重載主服務(wù)器區(qū)域后觀察從服務(wù)器的日志應(yīng)該能看到類(lèi)似transfer of lab.local/IN from 192.168.1.10#53: Transfer completed的成功消息。7.3 常見(jiàn)問(wèn)題與排查技巧實(shí)錄即使按照步驟操作也可能會(huì)遇到問(wèn)題。以下是我在多次搭建中總結(jié)的“排錯(cuò)地圖”問(wèn)題1從服務(wù)器slaves/目錄下沒(méi)有生成區(qū)域文件。檢查1防火墻。確保主服務(wù)器的防火墻允許從服務(wù)器IP訪問(wèn)TCP 53端口用于區(qū)域傳輸。sudo firewall-cmd --list-all查看確保有--add-servicedns或明確的--add-rich-rule允許從服務(wù)器IP。檢查2主服務(wù)器allow-transfer。確認(rèn)主服務(wù)器的named.conf中對(duì)應(yīng)區(qū)域的allow-transfer列表包含了從服務(wù)器的IP192.168.1.20。檢查3從服務(wù)器masters語(yǔ)法。確認(rèn)從服務(wù)器named.conf中區(qū)域定義的masters { 192.168.1.10; };語(yǔ)法正確IP無(wú)誤末尾有分號(hào)。檢查4目錄權(quán)限。再次確認(rèn)從服務(wù)器上/var/named/slaves/目錄的屬主和權(quán)限是named:named和770。檢查5查看日志。分別在主從服務(wù)器上運(yùn)行sudo journalctl -u named -f然后重啟從服務(wù)器的named服務(wù)sudo systemctl restart named觀察日志輸出的錯(cuò)誤信息。這是最直接的排錯(cuò)手段。問(wèn)題2RNDC命令連接被拒絕。檢查1controls段落配置。確認(rèn)named.conf中controls的inet地址和allow列表包含了你的管理機(jī)IP。如果是本地測(cè)試確保有127.0.0.1。檢查2密鑰一致性。確認(rèn)管理機(jī)/etc/rndc.conf或~/.rndc中的secret與主服務(wù)器/etc/rndc.key或named.conf中包含的密鑰完全一致包括密鑰名稱(chēng)。檢查3防火墻。確認(rèn)主服務(wù)器的953端口對(duì)管理機(jī)開(kāi)放。檢查4服務(wù)監(jiān)聽(tīng)。在主服務(wù)器上運(yùn)行sudo netstat -tlnp | grep :953看named進(jìn)程是否在監(jiān)聽(tīng)953端口。問(wèn)題3解析結(jié)果不正確或超時(shí)。檢查1客戶(hù)端DNS設(shè)置。確保測(cè)試客戶(hù)端的DNS服務(wù)器地址設(shè)置成了192.168.1.10或192.168.1.20而不是其他DNS。檢查2區(qū)域文件語(yǔ)法。用named-checkzone命令反復(fù)檢查區(qū)域文件確保沒(méi)有拼寫(xiě)錯(cuò)誤特別是記錄末尾的“.”。例如ns-master.lab.local.帶點(diǎn)和ns-master.lab.local不帶點(diǎn)意義完全不同。檢查3遞歸查詢(xún)。如果客戶(hù)端查詢(xún)外部域名如www.baidu.com失敗檢查options中recursion yes;是否設(shè)置以及allow-query是否包含了客戶(hù)端IP段。問(wèn)題4序列號(hào)已增大但從服務(wù)器不同步。檢查1NOTIFY機(jī)制。BIND主服務(wù)器在區(qū)域更新后會(huì)向該區(qū)域的NS記錄中列出的所有服務(wù)器除了自己發(fā)送NOTIFY消息。查看從服務(wù)器日志是否有收到NOTIFY。也可以在主服務(wù)器用rndc notify lab.local手動(dòng)觸發(fā)通知。檢查2手動(dòng)強(qiáng)制刷新。在從服務(wù)器上可以使用rndc refresh lab.local命令強(qiáng)制其立即向主服務(wù)器查詢(xún)SOA記錄并決定是否進(jìn)行區(qū)域傳輸。檢查3SOA參數(shù)。檢查SOA記錄中的Refresh時(shí)間。如果設(shè)置過(guò)長(zhǎng)如1D從服務(wù)器不會(huì)立即檢查。在測(cè)試時(shí)可以臨時(shí)改小如300秒測(cè)試完再改回。建立一個(gè)穩(wěn)定可靠的Linux DNS主從服務(wù)并集成RNDC管理是一個(gè)系統(tǒng)工程涉及網(wǎng)絡(luò)、安全、服務(wù)配置和排錯(cuò)多個(gè)層面。這套配置方案經(jīng)過(guò)了大量生產(chǎn)環(huán)境的檢驗(yàn)關(guān)鍵在于理解每個(gè)參數(shù)的意義并做好權(quán)限與訪問(wèn)控制。當(dāng)你看到兩臺(tái)服務(wù)器上的區(qū)域文件序列號(hào)保持一致并且能同時(shí)對(duì)外提供快速、準(zhǔn)確的解析服務(wù)時(shí)那種成就感是實(shí)實(shí)在在的。記住每次修改區(qū)域文件后“增大序列號(hào)”和“重載區(qū)域”是兩個(gè)必須執(zhí)行的動(dòng)作養(yǎng)成這個(gè)習(xí)慣能避免很多同步問(wèn)題。 Linux DNS主從架構(gòu)與RNDC遠(yuǎn)程管理實(shí)戰(zhàn)部署指南
1. 項(xiàng)目概述與核心價(jià)值最近在整理服務(wù)器運(yùn)維的筆記翻到了前兩年國(guó)賽里一個(gè)關(guān)于Linux DNS服務(wù)的經(jīng)典題目。題目要求是搭建一個(gè)具備主從同步功能并且集成了RNDC遠(yuǎn)程管理功能的DNS服務(wù)器集群。這個(gè)場(chǎng)景非常貼近生產(chǎn)環(huán)境很多中小企業(yè)的內(nèi)部域名解析或者是一些對(duì)解析穩(wěn)定性有要求的開(kāi)發(fā)測(cè)試環(huán)境都會(huì)用到類(lèi)似的架構(gòu)。它解決的不僅僅是“把域名變成IP”這么基礎(chǔ)的問(wèn)題更核心的是高可用和安全管理。主從架構(gòu)保證了即使主服務(wù)器宕機(jī)從服務(wù)器也能繼續(xù)提供解析服務(wù)避免了單點(diǎn)故障而RNDCRemote Name Daemon Control則讓管理員能夠在不直接登錄服務(wù)器、不重啟服務(wù)的情況下安全地重載配置、刷新緩存、查看狀態(tài)這對(duì)于維護(hù)的便捷性和安全性是質(zhì)的提升。如果你正在負(fù)責(zé)公司的IT基礎(chǔ)設(shè)施或者是一名運(yùn)維工程師、網(wǎng)絡(luò)管理員甚至是一個(gè)想深入學(xué)習(xí)Linux服務(wù)搭建的愛(ài)好者掌握這套組合拳都非常有必要。它不像一些純理論的配置每一步操作都有明確的產(chǎn)出和實(shí)際意義。接下來(lái)我就以一個(gè)實(shí)戰(zhàn)者的角度帶你從零開(kāi)始拆解這個(gè)“2022國(guó)賽21題”背后的完整實(shí)現(xiàn)我會(huì)補(bǔ)充大量原題簡(jiǎn)略描述中未提及的細(xì)節(jié)、原理和踩坑經(jīng)驗(yàn)讓你不僅能復(fù)現(xiàn)更能理解每一個(gè)配置項(xiàng)背后的“為什么”。2. 整體架構(gòu)設(shè)計(jì)與核心思路拆解在動(dòng)手敲命令之前我們必須先在大腦里把整個(gè)架構(gòu)的藍(lán)圖畫(huà)清楚。這道題的核心是構(gòu)建一個(gè)“一主一從”的DNS服務(wù)體系并讓主服務(wù)器具備遠(yuǎn)程控制能力。2.1 主從DNS的工作原理與選型考量DNS主從同步本質(zhì)上是一種基于區(qū)域Zone文件的復(fù)制。主服務(wù)器Master是區(qū)域數(shù)據(jù)的權(quán)威來(lái)源擁有可讀寫(xiě)的區(qū)域數(shù)據(jù)文件。從服務(wù)器Slave則定期或根據(jù)通知連接到主服務(wù)器拉取區(qū)域數(shù)據(jù)的副本這個(gè)過(guò)程稱(chēng)為“區(qū)域傳輸”Zone Transfer。一旦傳輸完成從服務(wù)器就擁有了該區(qū)域的只讀副本并可以獨(dú)立對(duì)外提供解析服務(wù)。為什么選擇BIND9在Linux世界實(shí)現(xiàn)DNS服務(wù)的軟件不止一個(gè)比如dnsmasq更輕量適合緩存和DHCP集成PowerDNS功能強(qiáng)大模塊化。但在這個(gè)場(chǎng)景下BIND (Berkeley Internet Name Domain)幾乎是唯一且最標(biāo)準(zhǔn)的選擇尤其是其9.x版本。原因有三第一它是互聯(lián)網(wǎng)上使用最廣泛、最老牌、文檔最全的DNS軟件其行為是事實(shí)上的標(biāo)準(zhǔn)第二它對(duì)主從同步和RNDC的支持最為成熟和穩(wěn)定第三各類(lèi)認(rèn)證考試如RHCE、國(guó)賽和絕大多數(shù)企業(yè)生產(chǎn)環(huán)境默認(rèn)的技術(shù)棧就是BIND。因此我們選用bind9這個(gè)軟件包。主從關(guān)系的邏輯 假設(shè)我們有一個(gè)內(nèi)部域lab.local。主服務(wù)器假設(shè)IP為192.168.1.10負(fù)責(zé)維護(hù)lab.local的區(qū)域文件。從服務(wù)器IP為192.168.1.20被配置為lab.local的從服務(wù)器。當(dāng)lab.local的區(qū)域數(shù)據(jù)在主服務(wù)器上更新后從服務(wù)器會(huì)自動(dòng)獲取更新。這樣客戶(hù)端無(wú)論向192.168.1.10還是192.168.1.20發(fā)起對(duì)lab.local下主機(jī)如www.lab.local的查詢(xún)都能得到一致的答案并且當(dāng)主服務(wù)器不可用時(shí)從服務(wù)器依然能提供解析。2.2 RNDC的核心價(jià)值與安全模型RNDC允許我們通過(guò)網(wǎng)絡(luò)向namedBIND的服務(wù)進(jìn)程發(fā)送管理命令。如果沒(méi)有RNDC你想讓BIND重新加載配置文件可能需要systemctl restart named但這會(huì)導(dǎo)致服務(wù)短暫中斷或者需要登錄服務(wù)器執(zhí)行rndc命令這要求命令在服務(wù)器本地執(zhí)行。RNDC通過(guò)一個(gè)共享密鑰進(jìn)行認(rèn)證。這個(gè)密鑰是一個(gè)對(duì)稱(chēng)密鑰同時(shí)存儲(chǔ)在RNDC的配置文件rndc.conf和BIND的配置文件named.conf中。當(dāng)你在本地或遠(yuǎn)程執(zhí)行rndc reload命令時(shí)命令會(huì)被加密并發(fā)送到BIND服務(wù)監(jiān)聽(tīng)的特定端口默認(rèn)953BIND使用相同的密鑰驗(yàn)證命令的合法性然后執(zhí)行相應(yīng)操作。安全考量這意味著密鑰的安全性至關(guān)重要。一旦密鑰泄露攻擊者就可能遠(yuǎn)程控制你的DNS服務(wù)例如清空緩存導(dǎo)致解析風(fēng)暴或重載惡意配置。因此密鑰文件的權(quán)限必須嚴(yán)格限制僅允許named用戶(hù)和root讀取并且RNDC通道應(yīng)盡可能限制監(jiān)聽(tīng)地址如只監(jiān)聽(tīng)127.0.0.1或管理網(wǎng)絡(luò)IP配合防火墻策略使用。3. 基礎(chǔ)環(huán)境準(zhǔn)備與軟件安裝我們假設(shè)在兩臺(tái)全新的CentOS 7或Rocky Linux 8服務(wù)器上操作。為什么選這兩個(gè)因?yàn)樗鼈兇砹水?dāng)前企業(yè)級(jí)Linux的主流其軟件包管理yum/dnf和系統(tǒng)服務(wù)管理systemd方式一致且穩(wěn)定。3.1 系統(tǒng)初始化與網(wǎng)絡(luò)配置首先確保兩臺(tái)服務(wù)器之間網(wǎng)絡(luò)互通并且主機(jī)名和靜態(tài)IP已正確設(shè)置。這步是后續(xù)所有配置能成功通信的基礎(chǔ)。在主服務(wù)器Master上# 設(shè)置主機(jī)名方便識(shí)別 hostnamectl set-hostname ns-master.lab.local # 配置靜態(tài)IP編輯網(wǎng)卡配置文件例如 /etc/sysconfig/network-scripts/ifcfg-ens33 # 需要確保IP地址如192.168.1.10、子網(wǎng)掩碼、網(wǎng)關(guān)正確并手動(dòng)指定DNS服務(wù)器為127.0.0.1指向自己或一個(gè)可靠的公共DNS如114.114.114.114用于初始軟件包安裝。 BOOTPROTOstatic IPADDR192.168.1.10 NETMASK255.255.255.0 GATEWAY192.168.1.1 DNS1127.0.0.1 # 重啟網(wǎng)絡(luò)服務(wù) systemctl restart network在從服務(wù)器Slave上執(zhí)行類(lèi)似操作設(shè)置主機(jī)名為ns-slave.lab.localIP為192.168.1.20。關(guān)鍵檢查點(diǎn)使用ping命令互測(cè)兩臺(tái)服務(wù)器的IP必須通。使用hostname命令確認(rèn)主機(jī)名已生效。檢查/etc/hosts文件不建議在這里做主機(jī)名解析我們即將搭建的DNS就是為了解決這個(gè)問(wèn)題的。保持hosts文件干凈。3.2 BIND9軟件包安裝與防火墻配置在兩臺(tái)服務(wù)器上分別安裝BIND9及相關(guān)工具。# 對(duì)于CentOS 7/Rocky Linux 8使用yum或dnf sudo yum install -y bind bind-utils # 或者 sudo dnf install -y bind bind-utilsbind是主程序包bind-utils提供了dignslookuprndc等我們急需的診斷和管理工具。安裝完成后需要配置防火墻開(kāi)放DNS服務(wù)端口。DNS查詢(xún)端口UDP 53 TCP 53用于區(qū)域傳輸?shù)却髷?shù)據(jù)量操作。RNDC管理端口TCP 953默認(rèn)。# 如果使用firewalld sudo firewall-cmd --permanent --add-servicedns # 這會(huì)同時(shí)開(kāi)放UDP/TCP 53 sudo firewall-cmd --permanent --add-port953/tcp sudo firewall-cmd --reload # 驗(yàn)證規(guī)則 sudo firewall-cmd --list-all注意事項(xiàng)在生產(chǎn)環(huán)境中對(duì)于RNDC端口953強(qiáng)烈建議使用--add-rich-rule限制只允許特定的管理IP地址訪問(wèn)而不是對(duì)所有IP開(kāi)放。例如sudo firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.100 port protocoltcp port953 accept。4. 主服務(wù)器Master深度配置主服務(wù)器的配置是核心它定義了權(quán)威區(qū)域并允許從服務(wù)器來(lái)同步數(shù)據(jù)。4.1 主配置文件 named.conf 詳解BIND的主配置文件通常是/etc/named.conf。我們先備份原文件然后進(jìn)行編輯。sudo cp /etc/named.conf /etc/named.conf.bak sudo vim /etc/named.conf以下是需要修改或添加的關(guān)鍵部分我會(huì)逐段解釋options { listen-on port 53 { 127.0.0.1; 192.168.1.10; }; // 監(jiān)聽(tīng)本地回環(huán)和本機(jī)IP listen-on-v6 port 53 { ::1; }; // IPv6根據(jù)需求配置 directory /var/named; // 工作目錄區(qū)域文件存放于此 dump-file /var/named/data/cache_dump.db; statistics-file /var/named/data/named_stats.txt; memstatistics-file /var/named/data/named_mem_stats.txt; recursing-file /var/named/data/named.recursing; secroots-file /var/named/data/named.secroots; allow-query { localhost; 192.168.1.0/24; }; // 允許查詢(xún)的客戶(hù)端網(wǎng)段 // --- 關(guān)鍵配置允許從服務(wù)器進(jìn)行區(qū)域傳輸 --- allow-transfer { 192.168.1.20; }; // 只允許IP為192.168.1.20的從服務(wù)器拉取區(qū)域數(shù)據(jù) // 也可以寫(xiě)成 { 192.168.1.20; localhost; } 方便本地測(cè)試 recursion yes; // 是否允許遞歸查詢(xún)。對(duì)于權(quán)威服務(wù)器可以設(shè)為no但為了方便內(nèi)網(wǎng)客戶(hù)端這里設(shè)為yes。 dnssec-enable yes; dnssec-validation yes; managed-keys-directory /var/named/dynamic; pid-file /run/named/named.pid; session-keyfile /run/named/session.key; }; logging { channel default_debug { file data/named.run; severity dynamic; }; }; // RNDC控制通道配置 // 這里使用一個(gè)獨(dú)立的密鑰文件 rndc.key通常由系統(tǒng)在安裝時(shí)或首次啟動(dòng)named時(shí)自動(dòng)生成在 /etc/rndc.key 或 /run/named/session.key // 我們采用更清晰的方式在 named.conf 中直接包含密鑰 controls { inet 127.0.0.1 port 953 // RNDC只監(jiān)聽(tīng)本地回環(huán)最安全 allow { 127.0.0.1; } // 只允許本機(jī)連接 keys { rndc-key; }; // 使用的密鑰名稱(chēng) }; // 引入主區(qū)域配置文件。這是一種好習(xí)慣將區(qū)域定義分離到單獨(dú)文件便于管理。 include /etc/named.rfc1912.zones; include /etc/named.root.key; // 在這里直接定義我們的權(quán)威區(qū)域也可以寫(xiě)在單獨(dú)文件里再include zone lab.local IN { // 定義正向解析區(qū)域 lab.local type master; // 類(lèi)型為主服務(wù)器 file lab.local.zone; // 區(qū)域數(shù)據(jù)文件位于 /var/named/ 目錄下 allow-update { none; }; // 不允許動(dòng)態(tài)更新保持簡(jiǎn)單安全 allow-transfer { 192.168.1.20; }; // 再次明確指定允許傳輸?shù)膹姆?wù)器優(yōu)先級(jí)高于options中的全局設(shè)置 }; zone 1.168.192.in-addr.arpa IN { // 定義反向解析區(qū)域?qū)?yīng) 192.168.1.0/24 網(wǎng)段 type master; file 192.168.1.arpa; allow-update { none; }; allow-transfer { 192.168.1.20; }; };配置要點(diǎn)解析allow-transfer這是安全的重中之重。它指定了哪些服務(wù)器被允許從本機(jī)進(jìn)行區(qū)域傳輸AXFR/IXFR。務(wù)必將其限制為你的從服務(wù)器IP。如果設(shè)置為any則任何主機(jī)都可以嘗試?yán)∧愕耐暾麉^(qū)域數(shù)據(jù)可能導(dǎo)致信息泄露或成為DNS放大攻擊的幫兇。controls段落這里我們將RNDC監(jiān)聽(tīng)限制在127.0.0.1這意味著只能在本機(jī)使用rndc命令。這是最安全的做法。如果需要遠(yuǎn)程管理則需要監(jiān)聽(tīng)管理IP并配合防火墻和allow列表做嚴(yán)格限制。區(qū)域定義中的allow-transfer這里指定的優(yōu)先級(jí)高于options中的全局設(shè)置。為每個(gè)區(qū)域單獨(dú)設(shè)置是一個(gè)好習(xí)慣。4.2 區(qū)域數(shù)據(jù)文件創(chuàng)建與資源記錄語(yǔ)法現(xiàn)在我們需要在/var/named/目錄下創(chuàng)建上面定義的兩個(gè)區(qū)域文件。注意文件的屬主和權(quán)限必須允許named用戶(hù)讀取。創(chuàng)建正向區(qū)域文件lab.local.zonesudo vim /var/named/lab.local.zone文件內(nèi)容如下$TTL 1D ; 默認(rèn)生存時(shí)間1天 IN SOA ns-master.lab.local. admin.lab.local. ( 2024070101 ; 序列號(hào) Serial 格式通常為YYYYMMDDNN每次更新必須增大 1H ; 刷新時(shí)間 Refresh 從服務(wù)器多久檢查一次主服務(wù)器 15M ; 重試時(shí)間 Retry 刷新失敗后多久重試 1W ; 過(guò)期時(shí)間 Expire 從服務(wù)器多久無(wú)法聯(lián)系主服務(wù)器則停止服務(wù) 3H ) ; 最小TTL Minimum TTL 否定緩存時(shí)間 ; 名稱(chēng)服務(wù)器記錄 (NS Records) IN NS ns-master.lab.local. IN NS ns-slave.lab.local. ; 地址記錄 (A Records) IN A 192.168.1.10 ; 將 lab.local 解析到主服務(wù)器IP ns-master IN A 192.168.1.10 ns-slave IN A 192.168.1.20 www IN A 192.168.1.100 ftp IN A 192.168.1.101 mail IN A 192.168.1.102 ; 別名記錄 (CNAME Record) web IN CNAME www關(guān)鍵記錄解釋SOA記錄起始授權(quán)機(jī)構(gòu)這是區(qū)域文件的靈魂。序列號(hào)Serial是主從同步的觸發(fā)器。從服務(wù)器會(huì)對(duì)比這個(gè)號(hào)碼如果主服務(wù)器的序列號(hào)更大就從主服務(wù)器拉取數(shù)據(jù)。每次手動(dòng)修改此文件后務(wù)必增大此序列號(hào)我習(xí)慣用YYYYMMDDNN格式比如2024070101表示2024年7月1日的第一次修改。NS記錄名稱(chēng)服務(wù)器聲明了這個(gè)區(qū)域的權(quán)威DNS服務(wù)器是哪幾臺(tái)。這里列出了主和從。A記錄地址記錄最基礎(chǔ)的域名到IP的映射。CNAME記錄規(guī)范名稱(chēng)別名記錄web.lab.local是www.lab.local的別名。創(chuàng)建反向區(qū)域文件192.168.1.arpasudo vim /var/named/192.168.1.arpa文件內(nèi)容如下$TTL 1D IN SOA ns-master.lab.local. admin.lab.local. ( 2024070101 ; 序列號(hào)必須與正向區(qū)域一致或同步更新 1H 15M 1W 3H ) ; NS記錄 IN NS ns-master.lab.local. IN NS ns-slave.lab.local. ; 指針記錄 (PTR Records) - 將IP反向解析為主機(jī)名 10 IN PTR ns-master.lab.local. 20 IN PTR ns-slave.lab.local. 100 IN PTR www.lab.local. 101 IN PTR ftp.lab.local. 102 IN PTR mail.lab.local.權(quán)限與屬主設(shè)置sudo chown root:named /var/named/lab.local.zone /var/named/192.168.1.arpa sudo chmod 640 /var/named/lab.local.zone /var/named/192.168.1.arpanamed用戶(hù)屬于named組chown root:named讓root擁有named組可讀。chmod 640表示文件所有者可讀寫(xiě)所屬組可讀其他人無(wú)權(quán)限。這是BIND區(qū)域文件的標(biāo)準(zhǔn)安全權(quán)限。4.3 配置語(yǔ)法檢查與服務(wù)啟動(dòng)在啟動(dòng)服務(wù)前務(wù)必進(jìn)行配置語(yǔ)法檢查這是一個(gè)非常重要的好習(xí)慣可以避免因配置錯(cuò)誤導(dǎo)致服務(wù)無(wú)法啟動(dòng)。# 檢查主配置文件語(yǔ)法 sudo named-checkconf /etc/named.conf # 檢查正向區(qū)域文件語(yǔ)法 sudo named-checkzone lab.local /var/named/lab.local.zone # 檢查反向區(qū)域文件語(yǔ)法 sudo named-checkzone 1.168.192.in-addr.arpa /var/named/192.168.1.arpa如果以上命令均無(wú)報(bào)錯(cuò)輸出OK則可以啟動(dòng)BIND服務(wù)并設(shè)置開(kāi)機(jī)自啟。sudo systemctl start named sudo systemctl enable named sudo systemctl status named # 查看狀態(tài)確認(rèn)是 active (running)首次啟動(dòng)排錯(cuò)心得如果status顯示失敗第一時(shí)間使用sudo journalctl -xe -u named查看詳細(xì)的系統(tǒng)日志。常見(jiàn)錯(cuò)誤包括配置文件語(yǔ)法錯(cuò)誤、區(qū)域文件路徑或權(quán)限錯(cuò)誤、端口被占用等。日志信息通常非常明確能直接定位問(wèn)題。5. 從服務(wù)器Slave配置詳解從服務(wù)器的配置相對(duì)簡(jiǎn)單它不需要手動(dòng)創(chuàng)建區(qū)域文件因?yàn)槲募?huì)從主服務(wù)器自動(dòng)同步過(guò)來(lái)。5.1 從服務(wù)器 named.conf 配置編輯從服務(wù)器的/etc/named.conf其options部分與主服務(wù)器類(lèi)似但allow-transfer通常設(shè)為none因?yàn)樗鳛閺姆?wù)器一般不需要再被其他服務(wù)器傳輸數(shù)據(jù)除非有更下級(jí)的從服務(wù)器。options { listen-on port 53 { 127.0.0.1; 192.168.1.20; }; listen-on-v6 port 53 { ::1; }; directory /var/named; allow-query { localhost; 192.168.1.0/24; }; allow-transfer { none; }; // 從服務(wù)器通常不允許二次傳輸 recursion yes; ... }; // RNDC配置如果需要在從服務(wù)器本地管理 controls { inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { rndc-key; }; };關(guān)鍵區(qū)別在于區(qū)域定義zone lab.local IN { type slave; // 類(lèi)型為從服務(wù)器 file slaves/lab.local.zone; // 文件路徑注意是 slaves/ 目錄 masters { 192.168.1.10; }; // 指定主服務(wù)器的IP地址 }; zone 1.168.192.in-addr.arpa IN { type slave; file slaves/192.168.1.arpa; masters { 192.168.1.10; }; };重要細(xì)節(jié)type slave;明確指定此區(qū)域?yàn)閺膮^(qū)域。masters { 192.168.1.10; };指定主服務(wù)器的IP。可以列出多個(gè)主服務(wù)器IP用分號(hào)隔開(kāi)實(shí)現(xiàn)多主同步不常見(jiàn)。file slaves/lab.local.zone;這是最易出錯(cuò)的地方之一。從服務(wù)器的區(qū)域文件路徑必須位于/var/named/slaves/目錄或options中directory指定的目錄下的slaves子目錄下。BIND進(jìn)程named用戶(hù)需要有對(duì)這個(gè)目錄的寫(xiě)入權(quán)限。該目錄下的文件會(huì)在區(qū)域傳輸時(shí)由BIND自動(dòng)創(chuàng)建和更新管理員不應(yīng)手動(dòng)編輯它們。5.2 目錄權(quán)限與從服務(wù)器啟動(dòng)確保slaves目錄存在且權(quán)限正確。# 檢查目錄是否存在通常安裝bind時(shí)會(huì)自動(dòng)創(chuàng)建 ls -ld /var/named/slaves # 如果不存在則創(chuàng)建并設(shè)置正確的權(quán)限 sudo mkdir -p /var/named/slaves sudo chown named:named /var/named/slaves # 關(guān)鍵讓named用戶(hù)擁有寫(xiě)入權(quán) sudo chmod 770 /var/named/slaves然后同樣進(jìn)行語(yǔ)法檢查并啟動(dòng)服務(wù)。sudo named-checkconf /etc/named.conf sudo systemctl start named sudo systemctl enable named sudo systemctl status named啟動(dòng)后檢查/var/named/slaves/目錄應(yīng)該能看到從主服務(wù)器同步下來(lái)的區(qū)域文件lab.local.zone和192.168.1.arpa?？梢允褂胠s -la /var/named/slaves/查看。6. RNDC密鑰生成與高級(jí)配置雖然我們?cè)趎amed.conf中使用了系統(tǒng)可能自動(dòng)生成的rndc-key但為了更清晰地管理和實(shí)現(xiàn)遠(yuǎn)程控制我們手動(dòng)生成一個(gè)專(zhuān)用的密鑰對(duì)是更好的實(shí)踐。6.1 生成RNDC共享密鑰我們使用rndc-confgen工具來(lái)生成密鑰和配置片段。在主服務(wù)器上執(zhí)行sudo rndc-confgen -a -c /etc/rndc.key-a自動(dòng)生成密鑰并寫(xiě)入默認(rèn)文件/etc/rndc.key。-c指定輸出密鑰文件。執(zhí)行后會(huì)生成一個(gè)包含密鑰的/etc/rndc.key文件。查看其內(nèi)容sudo cat /etc/rndc.key你會(huì)看到類(lèi)似這樣的內(nèi)容key rndc-key { algorithm hmac-sha256; secret XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; };這個(gè)文件同時(shí)包含了密鑰名rndc-key、算法hmac-sha256和密鑰本身secret。6.2 配置BIND使用自定義密鑰現(xiàn)在我們需要修改主服務(wù)器的/etc/named.conf讓它使用我們剛生成的這個(gè)密鑰并允許從特定IP遠(yuǎn)程管理。首先確保/etc/rndc.key文件權(quán)限安全sudo chown root:named /etc/rndc.key sudo chmod 640 /etc/rndc.key然后編輯/etc/named.conf注釋掉或刪除之前controls段落中關(guān)于keys { rndc-key; }的引用如果之前是引用內(nèi)置密鑰并改為包含密鑰文件同時(shí)修改controls段落以允許遠(yuǎn)程管理假設(shè)管理機(jī)IP是192.168.1.100。// 在文件頂部或合適位置包含密鑰文件 include /etc/rndc.key; // 修改 controls 段落 controls { inet 192.168.1.10 port 953 // 監(jiān)聽(tīng)本機(jī)真實(shí)IP allow { 192.168.1.100; 127.0.0.1; } // 允許管理機(jī)和本機(jī)連接 keys { rndc-key; }; // 引用密鑰文件中定義的密鑰名 };安全強(qiáng)化在生產(chǎn)環(huán)境allow列表應(yīng)該盡可能小并且配合防火墻規(guī)則只允許受信任的管理網(wǎng)絡(luò)訪問(wèn)953端口。6.3 配置RNDC客戶(hù)端在管理機(jī)192.168.1.100上我們需要?jiǎng)?chuàng)建RNDC的客戶(hù)端配置文件/etc/rndc.conf如果不存在則創(chuàng)建內(nèi)容需要與服務(wù)器端的密鑰匹配。最簡(jiǎn)單的方式是將主服務(wù)器上/etc/rndc.key文件的內(nèi)容復(fù)制到管理機(jī)的/etc/rndc.conf中?；蛘呤謩?dòng)創(chuàng)建# 在管理機(jī)192.168.1.100上執(zhí)行 sudo vim /etc/rndc.conf內(nèi)容如下其中的secret必須與主服務(wù)器/etc/rndc.key中的完全一致key rndc-key { algorithm hmac-sha256; secret XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; }; options { default-key rndc-key; default-server 192.168.1.10; // 默認(rèn)連接的主服務(wù)器IP default-port 953; };同樣設(shè)置好權(quán)限sudo chmod 600 /etc/rndc.conf現(xiàn)在在管理機(jī)上你就可以遠(yuǎn)程控制主服務(wù)器的BIND服務(wù)了rndc -s 192.168.1.10 status # 查看主服務(wù)器BIND狀態(tài) rndc reload # 重載配置如果修改了named.conf或區(qū)域文件并增加了序列號(hào) rndc flush # 清空服務(wù)器緩存 rndc zonestatus lab.local # 查看lab.local區(qū)域的狀態(tài)實(shí)操心得rndc reload是一個(gè)非常常用的命令。當(dāng)你修改了named.conf主配置后使用reload可以平滑重載配置不會(huì)中斷正在進(jìn)行的查詢(xún)。但請(qǐng)注意修改區(qū)域文件后除了要增大序列號(hào)還需要執(zhí)行rndc reload zone_name例如rndc reload lab.local來(lái)重載特定區(qū)域或者直接rndc reload重載所有區(qū)域。7. 功能驗(yàn)證與深度排錯(cuò)指南配置完成后不能只看服務(wù)狀態(tài)是running就了事必須進(jìn)行全面的功能測(cè)試。7.1 基礎(chǔ)解析測(cè)試使用dig或nslookup工具進(jìn)行測(cè)試它們比古老的nslookup功能更強(qiáng)大輸出更清晰。在客戶(hù)端可以是同一網(wǎng)段內(nèi)任意機(jī)器測(cè)試正向解析# 查詢(xún) www.lab.local 的A記錄指定向主服務(wù)器192.168.1.10查詢(xún) dig 192.168.1.10 www.lab.local A # 查詢(xún) lab.local 的SOA記錄了解區(qū)域權(quán)威信息 dig 192.168.1.10 lab.local SOA # 查詢(xún) lab.local 的NS記錄看名稱(chēng)服務(wù)器列表是否正確 dig 192.168.1.10 lab.local NS在客戶(hù)端測(cè)試反向解析# 查詢(xún)IP 192.168.1.100 對(duì)應(yīng)的PTR記錄 dig 192.168.1.10 -x 192.168.1.100測(cè)試從服務(wù)器將上述命令中的192.168.1.10替換為192.168.1.20重復(fù)測(cè)試結(jié)果應(yīng)該完全一致。關(guān)鍵輸出解讀在dig命令輸出的ANSWER SECTION中應(yīng)該能看到正確的IP地址或主機(jī)名。在輸出的AUTHORITY SECTION中應(yīng)該能看到lab.local.的NS記錄指向ns-master.lab.local和ns-slave.lab.local并且后面跟著它們的A記錄這叫“膠水記錄”在附加段中。注意響應(yīng)時(shí)間Query time和狀態(tài)status: NOERROR。7.2 主從同步測(cè)試這是驗(yàn)證主從架構(gòu)是否成功的關(guān)鍵。檢查從服務(wù)器區(qū)域文件登錄從服務(wù)器查看/var/named/slaves/目錄下是否生成了區(qū)域文件并檢查其內(nèi)容是否與主服務(wù)器一致。sudo ls -la /var/named/slaves/ sudo cat /var/named/slaves/lab.local.zone | head -20重點(diǎn)看序列號(hào)是否與主服務(wù)器的lab.local.zone文件中的序列號(hào)一致。修改主服務(wù)器區(qū)域文件觸發(fā)同步登錄主服務(wù)器編輯/var/named/lab.local.zone添加一條新記錄例如test IN A 192.168.1.200務(wù)必增大SOA記錄中的序列號(hào)例如從2024070101改為2024070102。執(zhí)行sudo rndc reload lab.local通知BIND重載該區(qū)域。等待片刻取決于SOA記錄中Refresh時(shí)間我們?cè)O(shè)的是1小時(shí)但可以手動(dòng)觸發(fā)或等待NOTIFY消息然后在從服務(wù)器上使用dig 192.168.1.20 test.lab.local查詢(xún)或者直接查看從服務(wù)器的區(qū)域文件/var/named/slaves/lab.local.zone看新記錄test是否已經(jīng)出現(xiàn)。使用RNDC命令查看同步狀態(tài)# 在主服務(wù)器上查看區(qū)域傳輸狀態(tài) sudo rndc stats # 然后查看統(tǒng)計(jì)文件 /var/named/data/named_stats.txt尋找關(guān)于 zone transfer 的部分。 # 或者在從服務(wù)器上查看BIND日志 sudo journalctl -u named -f當(dāng)你重載主服務(wù)器區(qū)域后觀察從服務(wù)器的日志應(yīng)該能看到類(lèi)似transfer of lab.local/IN from 192.168.1.10#53: Transfer completed的成功消息。7.3 常見(jiàn)問(wèn)題與排查技巧實(shí)錄即使按照步驟操作也可能會(huì)遇到問(wèn)題。以下是我在多次搭建中總結(jié)的“排錯(cuò)地圖”問(wèn)題1從服務(wù)器slaves/目錄下沒(méi)有生成區(qū)域文件。檢查1防火墻。確保主服務(wù)器的防火墻允許從服務(wù)器IP訪問(wèn)TCP 53端口用于區(qū)域傳輸。sudo firewall-cmd --list-all查看確保有--add-servicedns或明確的--add-rich-rule允許從服務(wù)器IP。檢查2主服務(wù)器allow-transfer。確認(rèn)主服務(wù)器的named.conf中對(duì)應(yīng)區(qū)域的allow-transfer列表包含了從服務(wù)器的IP192.168.1.20。檢查3從服務(wù)器masters語(yǔ)法。確認(rèn)從服務(wù)器named.conf中區(qū)域定義的masters { 192.168.1.10; };語(yǔ)法正確IP無(wú)誤末尾有分號(hào)。檢查4目錄權(quán)限。再次確認(rèn)從服務(wù)器上/var/named/slaves/目錄的屬主和權(quán)限是named:named和770。檢查5查看日志。分別在主從服務(wù)器上運(yùn)行sudo journalctl -u named -f然后重啟從服務(wù)器的named服務(wù)sudo systemctl restart named觀察日志輸出的錯(cuò)誤信息。這是最直接的排錯(cuò)手段。問(wèn)題2RNDC命令連接被拒絕。檢查1controls段落配置。確認(rèn)named.conf中controls的inet地址和allow列表包含了你的管理機(jī)IP。如果是本地測(cè)試確保有127.0.0.1。檢查2密鑰一致性。確認(rèn)管理機(jī)/etc/rndc.conf或~/.rndc中的secret與主服務(wù)器/etc/rndc.key或named.conf中包含的密鑰完全一致包括密鑰名稱(chēng)。檢查3防火墻。確認(rèn)主服務(wù)器的953端口對(duì)管理機(jī)開(kāi)放。檢查4服務(wù)監(jiān)聽(tīng)。在主服務(wù)器上運(yùn)行sudo netstat -tlnp | grep :953看named進(jìn)程是否在監(jiān)聽(tīng)953端口。問(wèn)題3解析結(jié)果不正確或超時(shí)。檢查1客戶(hù)端DNS設(shè)置。確保測(cè)試客戶(hù)端的DNS服務(wù)器地址設(shè)置成了192.168.1.10或192.168.1.20而不是其他DNS。檢查2區(qū)域文件語(yǔ)法。用named-checkzone命令反復(fù)檢查區(qū)域文件確保沒(méi)有拼寫(xiě)錯(cuò)誤特別是記錄末尾的“.”。例如ns-master.lab.local.帶點(diǎn)和ns-master.lab.local不帶點(diǎn)意義完全不同。檢查3遞歸查詢(xún)。如果客戶(hù)端查詢(xún)外部域名如www.baidu.com失敗檢查options中recursion yes;是否設(shè)置以及allow-query是否包含了客戶(hù)端IP段。問(wèn)題4序列號(hào)已增大但從服務(wù)器不同步。檢查1NOTIFY機(jī)制。BIND主服務(wù)器在區(qū)域更新后會(huì)向該區(qū)域的NS記錄中列出的所有服務(wù)器除了自己發(fā)送NOTIFY消息。查看從服務(wù)器日志是否有收到NOTIFY。也可以在主服務(wù)器用rndc notify lab.local手動(dòng)觸發(fā)通知。檢查2手動(dòng)強(qiáng)制刷新。在從服務(wù)器上可以使用rndc refresh lab.local命令強(qiáng)制其立即向主服務(wù)器查詢(xún)SOA記錄并決定是否進(jìn)行區(qū)域傳輸。檢查3SOA參數(shù)。檢查SOA記錄中的Refresh時(shí)間。如果設(shè)置過(guò)長(zhǎng)如1D從服務(wù)器不會(huì)立即檢查。在測(cè)試時(shí)可以臨時(shí)改小如300秒測(cè)試完再改回。建立一個(gè)穩(wěn)定可靠的Linux DNS主從服務(wù)并集成RNDC管理是一個(gè)系統(tǒng)工程涉及網(wǎng)絡(luò)、安全、服務(wù)配置和排錯(cuò)多個(gè)層面。這套配置方案經(jīng)過(guò)了大量生產(chǎn)環(huán)境的檢驗(yàn)關(guān)鍵在于理解每個(gè)參數(shù)的意義并做好權(quán)限與訪問(wèn)控制。當(dāng)你看到兩臺(tái)服務(wù)器上的區(qū)域文件序列號(hào)保持一致并且能同時(shí)對(duì)外提供快速、準(zhǔn)確的解析服務(wù)時(shí)那種成就感是實(shí)實(shí)在在的。記住每次修改區(qū)域文件后“增大序列號(hào)”和“重載區(qū)域”是兩個(gè)必須執(zhí)行的動(dòng)作養(yǎng)成這個(gè)習(xí)慣能避免很多同步問(wèn)題。