部署开源DNS服务器

部署开源DNS服务器详细指南

开源DNS服务器选型对比

推荐组合方案：

• 生产环境：BIND + Unbound（分层部署）
• 开发测试：dnsmasq
• 分布式架构：PowerDNS + MariaDB

BIND 9 部署实战（以CentOS为例）

环境准备

# 安装EPEL仓库
yum install epelrelease y
# 安装BIND及开发工具
yum install bind bindutils binddyndbldap y 
    gcc pcredevel openssldevel

配置文件结构

/etc/named/
├── named.conf          # 主配置文件
├── named.rfc1912.zones # 根 zone 文件
├── db.*                # 默认区域数据文件
└── keys.conf           # TSIG密钥配置

基础配置示例

// named.conf
options {
    directory "/var/named";
    listenon port 53 { any; };
    allowquery { localhost; 192.168.0.0/16; }
    recursion yes;
    forwarders { 8.8.8.8; 8.8.4.4; }
};
zone "example.com" IN {
    type master;
    file "db.example.com";
    allowupdate { key rndckey; };
};

区域文件配置

; db.example.com
$TTL 86400
@   IN SOA  ns1.example.com. admin.example.com. (
            2023100101 ; Serial
            3600       ; Refresh
            1800       ; Retry
            1209600    ; Expire
            86400 )    ; Minimum TTL
    IN NS      ns1.example.com.
    IN NS      ns2.example.com.
ns1 IN A       192.168.1.100
ns2 IN A       192.168.1.101
www IN A       192.168.1.100

安全防护强化方案

DNSSEC 配置示例：

// 添加以下配置到 named.conf
dnssecvalidation auto;
managedkeys {
    "$TOKEN.example.com" {
        algorithm hmacmd5;
        secret "base64encodedkey";
    };
};

高可用集群方案对比

推荐组合：Keepalived+BIND

# 安装Keepalived
yum install keepalived y
# 配置示例（keepalived.conf）
vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 100
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass 123456
    }
    virtual_ipaddress {
        192.168.1.254
    }
}

性能调优参数表

常见问题排查手册

问题1：systemd启动失败

症状：Job for named.service failed
排查步骤：

1. 检查/var/log/messages中的错误日志
2. 验证配置文件语法：namedcheckconf /etc/named.conf
3. 测试区域文件：namedcheckzone example.com db.example.com
4. 确认权限：chown named:named /etc/named/*

问题2：递归查询超时

症状：客户端无法解析外部域名
解决方案：

• 检查forwarders配置是否正确
• 测试上游DNS连通性：dig @8.8.8.8 www.google.com
• 调整options中的timeout参数（默认5秒）
• 开启调试模式：named d4查看详细日志

Q&A 相关问题解答

Q1：如何为BIND配置HTTPS远程管理？

A：需启用rndc的TLS加密：

1. 生成证书：openssl req new x509 nodes out /etc/named/rndc.crt keyout /etc/named/rndc.key
2. 修改named.conf添加：

   include "/etc/named/tls.key";
   include "/etc/named/tls.crt";

3. 创建tls.key和tls.crt文件：

   # tls.key
   <KeyFilePath>/etc/named/rndc.key</KeyFilePath>;
   # tls.crt
   <CertificateFilePath>/etc/named/rndc.crt</CertificateFilePath>;

4. 重启服务后即可通过https://server:8080管理

Q2：如何检测DNS服务器是否存在缓存投毒漏洞？

A：执行以下测试：

1. 使用dig查询随机子域名：dig @dnsserver +norec +dnssec axfrp.example.com
2. 检查返回结果是否包含非请求的数据（正常应只返回NXDOMAIN）
3. 验证named.conf中的transfer设置：

   # 正确配置示例
   zone "example.com" {
       allowtransfer { key masterkey; 192.168.1.0/24; };
   };