48小时系统班试听入口

Linux运维解析之Linux环境下搭建主从DNS服务器

发布作者:新盟教育 发布日期:2021-12-13 浏览人数:15648人

更多学习资料/文档可加群:539961408

Linux-14集.png




一. bind简介

Linux中通常使用bind来实现DNS服务器的架设,bind软件由isc(isc.org)维护。

在yum仓库中可以找到软件,配置好yum源,直接使用命令yum install bind就可以安装。监听窗口为53。

bind的主要配置文件为/etc/named.conf,此文件主要用于配置区域,并指定区域数据库文件名称。区域数据库文件通常保存于/var/named/目录下,用于定义区域的资源类型。



二.架设主DNS服务器

实例操作:以域名zym.com为例配置一个DNS服务器,实现正向解析。

配置一台ip为172.18.24.17/16的主机作为DNS服务器。

为了实验能成功进行,我们把selinux和防火墙先关闭:

[root@centos7~ ]#setenforce 0    #设置selinux为permissvie
[root@centos7~ ]#systemctl stop firewalld   #关闭防火墙
[root@centos7~ ]#ss -ntl         #查看53号端口是否打开,监听本机的IP


修改主配置文件:

[root@centos7~ ]#vim /etc/named.conf
options {
listen-on port 53 { 127.0.0.1;localhost;}; #监听本地所有的IP
allow-query     { any;};    #所有的客户端都可以查询区域数据库,实现解析 
}


定义用户自定义域:

[root@centos7~ ]#vim /etc/named.rfc1912.zones  #用户自定域,也可以把域写在/etc/named.conf文件中
zone "zym.com" IN {     #添加zym.com域
        type master;    #指定类型为主                                            
        file "Cloud Level";   #指定区域数据库文件名                                    
};


写解析数据库文件:

[root@centos7~ ]#vim /var/naemd/zym.com.zone
$TTL 1D
@   2D  IN  SOA  dns1 admin.magedu.com. (       
      200005    ; serial  #版本号,版本号可以任意数值,位数不能超过10个
      1D        ; refresh #更新间隔时间,1D表示一天
      1H        ; retry   #同步数据失败后,再次尝试同步间隔时间。1H表示1小时
      1W        ; expire #一直不能同步数据,此间隔时间后从服务器不再提供解析服务
      3H )      ; minimum  #错误请求间隔时间,此时间内不再重启查询,直接将结果返回给客户端
               NS             dns1          #指明服务器名称
dns1    2D IN  A              172.18.24.17  #服务器IP
www            CNAME              web       #指明www为web的别名 
web            A              172.18.24.26  #域名对应的IP
zym.com.       A              172.18.24.27        
[root@centgos7 named]# ll Cloud Level 
-rw-r----- 1 root root 296 Sep 22 05:49 Cloud Level 
#只有所有者和所属组有读的权限,这里所有主和所属组都是root用户,其他用户没有读的权限,故需要下面的一步修改,让named有读解析数据文件的权限
[root@centos7~ ]#chgrp named /var/named/zym.com.zon  
#很重要的一步,把zym.com.zon解析数据文件的属组改为named,这是DNS服务创建的一个用户,用于方便调用DNS服务,这里把属组改成named,named就有权限为客户端读取解析数据,达到查询解析的目的


主配置文件语法检查:

[root@centos7~ ]#named-checkconf  #检查配置文件中的语法/etc/named.conf /etc/named.rfc1912.zones
[root@centos7~ ]#named-checkzone zym.com /var/named/zym.com.zone #解析库文件语法检查
[root@centos7~ ]#rndc reload     #加载DNS配置文件



测试主DNS服务器能否解析:

用IP为172.18.24.6/16的主机测试IP为172.18.24.17的DNS主服务器能否正常解析域名。

保证两台主机能正常通信。

在IP为172.18.24.6/16的主机上用yum安装bind-utils包,安装此包中有dig命令的,dig命令这里不详细讲解了,有兴趣的同学可以看我另外一篇关于DNS的博客,里面有详解讲解dig的用法。


[root@centos7~ ]#dig ZYM @172.18.24.17  #在指定ip为172.18.24.17的主机上查询域名为www.zym.com的ip地址
[root@centos7~ ]#dig zym.com @172.18.24.17  #在指定ip为172.18.24.17的主机上查询域名为zym.com的ip地址,这里







如果有朋友需要自学,或者没有很好的学习途径,那么可以看一下这个视频:

Linux运维高级云计算-红帽RHCE实战课程合集-点击观看

这是一个零基础入门的教程,对于刚开始接触Linux运维的同学还是很友好的,希望对你有帮助。







三.架设从DNS服务器

准备:

  • 一台IP为172.18.24.7/24的主机,并且能与IP为172.18.24.17/16主DNS服务器、IP为172.18.24.6/测试主机通信。

  • 为了保证实验顺利进行,我们先把selinux和防火墙关闭,第二步架设主DNS服务器有写,这里不再赘述。

同理修改主配置文件:

[root@centos7~ ]#vim /etc/named.conf
options {
    listen-on port 53 { localhost;};   #监听本地所有的IP
    allow-query       { any;};         #所有的客户端都可以查询区域数据库,实现解析 
}


定义用户自定义域:

[root@centos7~ ]#vim /etc/named.rfc1912.zones  #用户自定域,也可以把域写在/etc/named.conf文件中
zone "zym.com" IN {           #添加zym.com域
        type slave;               #指定类型为从服务器
        masters {172.18.24.17;};   #指定从当前从服务器对应的主服务器IP地址
        file  "slaves/zym.com.slave.zone";  #指定从解析数据库文件名


这里我们就不需要在自己写解析数据文件了,我们要实现主从DNS服务器,那么数据就必须要同步,接下来,我们就开始同步解析数据文件:

[root@localhost ~]#cd /etc/named/slaves 
[root@localhost slaves]#ls
[root@localhost slaves]#rndc reload   #从主服务器同步解析数据到从服务器上
server reload successful
[root@localhost slaves]# ls
zym.com.slave.zone
#注意:区域数据库文件zym.com.slave.zone在centos6是明文,而在centos7是密文


在IP为172.18.24.6/主机上测试两台主机能否正常解析。

测试主DNS服务器能否正常解析:


测试主DNS服务器能否正常解析:


从上面两个图可以清楚的看到,主从服务器都能正常解析。



四.实现容错

原理:

搭建主从服务器,除了减轻负载,还有一个更重要的作用,实现容错。

容错,顾名思义,就是允许出现错误,出现问题后仍然对外能够提供服务,实现思想是,一台服务器坏了,另外一台能正常工作,对外提供服务。

实验过程分析:

我们这里模拟真实环境,dig测试不再指定用哪个服务器来解析域名,那么我们需要修改测试主机上的网卡配置,指定DNS主从服务器:

[root@CentOS6 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE="eth0"
IPADDR=172.18.24.6
PREFIX=16
DNS1=172.18.24.17    #主
DNS2=172.18.24.7     #从
BOOTPROTO=static
GATEWAY=172.18.0.1
[root@CentOS6 ~]#dig ZYM



现在我们把主服务器上的ip为172.18.24.17的网卡down掉,模拟主机服务器出问题:

[root@CentOS7 ~]#ifconfig ens37 down




再次在测试主机上测试:

测试成功。

说明:在执行 dig zym.com 命令后,明显可以感觉停顿了一两秒时间才显示出结果,比down掉网卡前慢了些许。

因为我们配置网卡的时候,把主服务器的IP放在了从服务器IP的前面。

当执行解析命令后,主机首先会到主服务器上去查询,结果主服务器网卡坏掉了,不能提供服务。然后主机会到从服务器去查询,从服务器正常工作,解析出域名,返回给主机,显示出结果。



五.安全加强

利用dig命令可以直接抓取的服务器上的解析数据的所有解析记录,而且是明文,现在存在很大的危险漏洞。

先把第四步禁掉的网卡启用起来,然后抓取主服务器上的解析纪录:

[root@CentOS7 ~]#ifconfig ens37 up


在测试主机抓取:

[root@CentOS6 ~]#dig -t axfr zym.com @172.18.24.17



在主DNS服务器上安全加强:

[root@CentOS7 ~]#vim /etc/named.conf
options{
allow-transfer  {172.18.24.7;};  #在options中加入此行,表示只允许172.18.24.7这个IP查询解析数据,我们知道172.18.24.7是从服务器的IP,所以一般设置的都是从服务器才有权限查询解析数据
};


再次测试:


虽然我们在主服务上设置了安全策略,但是外部主机还是可以照样抓取从服务器上的解析纪录,同样存在安全漏洞:


从服务器上安全加强:

[root@CentOS7 ~]#vim /etc/named.conf 
options{
     allow-transfer  {none;};  #从服务器一般没有谁需要同步解析纪录,所以我们这里设置为none
 };

测试:


测试成功。

注意:这里我们只是设置了同步解析数据纪录的记录,并没有限制查询,外部的主机都是可以在主从DNS服务器查询域名的,因为DNS本身就是对外提供查询服务的。

总结:这里我们是实验环境,为了方便实验把防火墙和selinux都关闭了。

但是在生产中环境中,可不能随便把防火墙强关闭,需要提前设置防火墙策略,有安全要求较高的话,还需要设置selinux策略,然后搭建服务。

同时我们应该知道,无论是实验环境还是真实生产环境,原理都是相通的。主从DNS服务器不仅能均衡负载,还可以实现容错,在生产中广泛使用。

最后,如果有朋友需要自学,或者没有很好的学习途径,那么可以看一下这个视频:


Linux运维高级云计算-红帽RHCE实战课程合集-点击观看


这是一个零基础入门的教程,对于刚开始接触Linux运维的同学还是很友好的,希望对你有帮助。




叶sir-中视频-85集.jpg