39 域名系统 #

要安装 DNS 服务器，请启动 YaST 并选择软件 ›  软件管理。选择视图 › 软件集，然后选择 DHCP 和 DNS 服务器。确认安装相关的包来完成安装进程。

或者，在命令行中使用以下命令：

> sudo zypper in -t pattern dhcp_dns_server

使用 YaST DNS 模块为本地网络配置 DNS 服务器。第一次启动此模块时，会启动向导，提示您做出一些有关服务器管理的决定。完成此初始设置后，将产生基本服务器配置。使用专家模式可处理更高级的配置任务，例如设置 ACL、日志记录、TSIG 密钥和其他选项。

39.3.2 专家配置 #

 

启动此模块后，YaST 将打开一个窗口，其中显示了多个配置选项。完成此窗口会生成具有基本功能的 DNS 服务器配置：

39.3.2.1 启动 #

 

在启动下，定义是要在引导系统时启动 DNS 服务器，还是手动启动 DNS 服务器。要立即启动 DNS 服务器，请单击立即启动 DNS 服务器。要停止 DNS 服务器，请单击立即停止 DNS 服务器。要保存当前设置，请选择保存设置并立即重新装载 DNS 服务器。您可以用打开防火墙中的端口打开防火墙中的 DNS 端口，并用防火墙细节修改防火墙设置。

通过选择 LDAP 支持处于活动状态，让 LDAP 数据库管理区域文件。当 DNS 服务器重启动或被提示重装载其配置时，它会挑选出写入到 LDAP 数据库的任何区域数据更改。

39.3.2.2 转发器 #

 

如果您的本地 DNS 服务器无法应答请求，则会尝试将请求转发给转发器（如果进行了这样的配置）。转发器可手动添加到转发器列表。如果在拨号连接中转发器不是静态的，则 netconfig 会处理配置。有关 netconfig 的更多信息，请参见 man 8 netconfig。

39.3.2.3 基本选项 #

 

在这一部分，设置基本的服务器选项。从选项菜单中选择所需的项，然后在相应文本框中指定值。选择添加包括新的条目。

39.3.2.4 日志记录 #

 

要设置 DNS 服务器应该记录的内容和记录方法，请选择日志记录。在日志类型下，指定 DNS 服务器将日志数据写入的位置。选择系统日志以使用系统范围的日志，或选择文件以指定另一个文件。对于后者，请额外指定名称、最大文件大小（以兆字节为单位）以及要储存的日志文件版本数。

在附加日志记录下可以使用其他一些选项。启用记录所有的 DNS 查询将记录每个查询，在这种情况下，日志文件可能会变得非常大。出于这个原因，如果不是为了调试，则最好不要启用此选项。要记录区域更新期间 DHCP 和 DNS 服务器之间的通讯数据，请启用记录区域更新。要记录从主服务器到次要服务器的区域传输期间的数据流量，请启用记录区域传输。请参见图 39.4 “DNS 服务器：日志记录”。

图 39.4︰ DNS 服务器：日志记录 #

 

39.3.2.5 ACL #

 

使用此对话框定义 ACL（访问控制列表）来强制执行访问限制。在名称下提供不同的名称后，在值下指定具有下列形式的 IP 地址（带有或不带有网络掩码）：

{ 192.168.1/24; }

配置文件的语法要求地址以分号结尾且放在花括号中。

39.3.2.6 TSIG 密钥 #

 

TSIG（事务签名）的主要用途是保护 DHCP 和 DNS 服务器间通讯的安全性。这些内容在第 39.8 节 “安全事务”中有所介绍。

要生成 TSIG 密钥，请在标为密钥 ID 的字段中输入一个唯一名称，并指定储存密钥的文件（文件名）。用生成确认选择。

要使用以前创建的密钥，请将密钥 ID 字段保留为空，并在文件名下选择储存这个密钥 ID 的文件。选择后，请用添加按钮进行确认。

39.3.2.7 DNS 区域（添加次要区域） #

 

要添加次要区域，请选择 DNS 区域，选择次要区域类型，输入新区域的名称，然后单击添加。

在主 DNS 服务器 IP 下的区域编辑器子对话框中，指定次要服务器应从中提取数据的主服务器。要限制对此服务器的访问，可从列表中选择一个 ACL。

39.3.2.8 DNS 区域（添加主要区域） #

 

要添加主要区域，请选择 DNS 区域，选择主要区域类型，输入新区域的名称，然后单击添加。添加主要区域时，还需要一个反向区域。例如，当添加区域 example.com（指向子集 192.168.1.0/24 中的主机）时，也应为包含的 IP 地址范围添加一个反时向区域。按照定义，应命名为 1.168.192.in-addr.arpa。

39.3.2.9 DNS 区域（编辑主要区域） #

 

要编辑主要区域，请选择 DNS 区域，从表中选择主要区域，然后单击编辑。该对话框包含几个页面：基本（第一个打开的页面）、NS 记录、MX 记录、SOA 和记录。

图 39.5 “DNS 服务器：区域编辑器（基本）”中显示的基本对话框用于定义动态 DNS 的设置，以及向客户端和次要名称服务器进行区域传输的访问选项。要允许动态更新区域，请选择允许动态更新及相应的 TSIG 密钥。必须在更新操作开始前定义密钥。要启用区域传送，请选择相应的 ACL。必须已经定义了 ACL。

在基本对话框中，选择是否启用区域传输。使用所列 ACL 来定义谁能够下载区域。

图 39.5︰ DNS 服务器：区域编辑器（基本） #

 

区域编辑器（NS 记录）

NS 记录对话框用于为指定的区域定义备用名称服务器。确保已将自己的名称服务器包括在列表中。要添加记录，请在要添加的名称服务器下输入其名称，然后用添加按钮确认。请参见图 39.6 “DNS 服务器：区域编辑器（NS 记录）”。

图 39.6︰ DNS 服务器：区域编辑器（NS 记录） #

 

区域编辑器（MX 记录）

要将当前区域的邮件服务器添加到现有的列表中，请输入相应的地址和优先级值。执行完此操作后，请选择添加进行确认。请参见图 39.7 “DNS 服务器：区域编辑器（MX 记录）”。

图 39.7︰ DNS 服务器：区域编辑器（MX 记录） #

 

区域编辑器 (SOA)

此页用于创建 SOA（起始授权机构）记录。有关各选项的描述，请参见例 39.6 “/var/lib/named/example.com.zone 文件”。通过 LDAP 管理的动态区域不支持更改 SOA 记录。

图 39.8︰ DNS 服务器：区域编辑器 (SOA) #

 

区域编辑器（记录）

此对话框用于管理名称解析。在记录密钥中，输入主机名并选择其类型。A 类型表示主项。此项的值应为一个 IP 地址 (IPv4)。对于 IPv6 地址，请使用 AAAA。CNAME 是别名。对于要根据 NS 记录和 MX 记录选项卡中提供的信息而扩展的详细或部分记录，应使用类型 NS 和 MX。这三种类型解析为现有的 A 记录。PTR 用于反向区域。它与 A 记录相反，例如：

hostname.example.com. IN A 192.168.0.1
1.0.168.192.in-addr.arpa IN PTR hostname.example.com.

39.3.2.9.1 添加反向区域 #

 

要添加反向区域，请遵循以下过程：

1. 启动 YaST › DNS 服务器 › DNS 区域。

2. 如果您尚未添加主要正向区域，请添加并进行编辑。

3. 在记录选项卡中，填写相应的记录键和值，然后单击添加来添加记录，并单击确定来确认。如果 YaST 告知不存在某个名称服务器的记录，请在 DNS 记录选项卡中添加该记录。

   

   图 39.9︰ 添加主要区域记录 #

    

4. 返回 DNS 区域窗口，添加一个反向主要区域。

   

   图 39.10︰ 添加反向区域 #

    

5. 编辑该反向区域，然后在记录选项卡中，您可以看到 PTR：反向转换记录类型。添加相应的记录键和值，然后单击添加并单击确定来确认。

   

   图 39.11︰ 添加反向记录 #

    

   根据需要添加名称服务器记录。

提示：编辑反向区域

添加正向区域后，返回到主菜单并选择该反向区域以进行编辑。在选项卡基础中激活复选框自动生成记录的区域，然后选择正向区域。这样，对正向区域的所有更改都会在反向区域中更新。

在 SUSE® Linux Enterprise Server 系统上，已预先配置名称服务器 BIND（Berkeley 互联网名称域），因此在安装后可以立即启动此名称服务器，而不会出现任何问题。一般而言，如果您已有互联网连接，并在 /var/run/netconfig/resolv.conf 中输入了 127.0.0.1 作为 localhost 的名称服务器地址，则表示您已经有正常工作的名称解析功能，因而无需知道提供商的 DNS。BIND 通过 root 名称服务器执行名称解析，这个过程非常慢。通常，应将提供商的 DNS 及其 IP 地址输入配置文件 /etc/named.conf 的 forwarders 下，以确保能进行有效而安全的名称解析。如果到目前为止是这种情况，则该名称服务器将作为仅用于缓存的纯名称服务器运行。只有在配置了该名称服务器自己的区域后，它才能成为正确的 DNS。在 /usr/share/doc/packages/bind/config 中可找到简单的示例。

提示：名称服务器信息的自动适配

根据互联网连接或网络连接的类型，名称服务器信息可以自动适应当前的情况。为此，请将 /etc/sysconfig/network/config 文件中的 NETCONFIG_DNS_POLICY 变量设置为 auto。

但是不要设置正式域，而是让负责机构指派给您。即使您有自己的域且提供商管理此域，也最好不要使用此域，因为如果使用此域，BIND 将不转发对此域的请求。例如，此域不能访问提供商的 Web 服务器。

要启动名称服务器，请以 root 身份输入命令 systemctl start named。使用 systemctl status named 检查 named（当调用名称服务器进程时）是否已成功启动。请用 host 或 dig 程序立即在本地系统上测试名称服务器，该测试应返回 localhost 作为默认服务器，地址为 127.0.0.1。如果未返回所需的结果，则表明 /var/run/netconfig/resolv.conf 可能包含不正确的名称服务器项或此文件不存在。如果是第一次测试，请输入 host 127.0.0.1，此命令应始终有效。如果收到错误消息，请使用 systemctl status named 查看服务器是否确实在运行。如果该名称服务器未启动或者出现意外的行为，请检查 journalctl -e 的输出。

要将提供商的名称服务器（或网络上正在运行的名称服务器）用作转发器，请在 options 部分的 forwarders 下输入相应的一个或多个 IP 地址。例 39.1 “named.conf 中的转发选项”中包含的地址仅用作示例。请根据您自己的设置调整这些项。

options {
        directory "/var/lib/named";
        forwarders { 10.11.12.13; 10.11.12.14; };
        listen-on { 127.0.0.1; 192.168.1.116; };
        allow-query { 127/8; 192.168/16 };
        notify no;
};

options 项后面跟着区域的项 localhost 和 0.0.127.in-addr.arpa。“.” 下的 type hint 项应始终存在。无需修改相应的文件，应照原样使用。还要确保每个项都以 “;” 结束，同时确保花括号位于正确的位置。更改配置文件 /etc/named.conf 或区域文件后，使用 systemctl reload named 来通知 BIND 重新读取这些文件。使用 systemctl restart named 停止然后重启动名称服务器也会获得相同的效果。您随时可以输入 systemctl stop named 来停止服务器。

BIND 名称服务器本身的所有设置都储存在文件 /etc/named.conf 中。但是，将要处理的域的区域数据（由主机名、IP 地址等组成）储存在目录 /var/lib/named 下单独的文件中。稍后将介绍其详细信息。

/etc/named.conf 大致分为两部分。一部分是存放常规设置的 options 部分，另一部分由各个域的 zone 项组成。logging 部分和 acl（访问控制列表）项是可选的。注释行以 # 符号或 // 开头。例 39.2 “基本的 /etc/named.conf”显示了一个最小的 /etc/named.conf。

options {
        directory "/var/lib/named";
        forwarders { 10.0.0.1; };
        notify no;
};

zone "localhost" in {
       type master;
       file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
        type master;
        file "127.0.0.zone";
};

zone "." in {
        type hint;
        file "root.hint";
};

logging {
        category default { null; };
};

zone "example.com" in {
      type master;
      file "example.com.zone";
      notify no;
};

zone "example.net" in {
      type secondary;
      file "secondary/example.net.zone";
      
      masters { 10.0.0.1; }; 
};

所需的区域文件有两种类型。一种类型将 IP 地址指派给主机名，另一种类型则正好相反：为 IP 地址提供主机名。

提示：在区域文件中使用点（英文句点）

“.”在区域文件中具有重要含义。如果指定的主机名末尾不含点 (.)，系统会追加区域。指定的完整主机名（包含完整域名）必须以点 (.) 结尾，以免在主机名中再次添加域。缺少“.”或将其放错位置可能是导致名称服务器配置错误的最常见的原因。

第一个要考虑的情况是负责域 example.com 的区域文件 example.com.zone，如例 39.6 “/var/lib/named/example.com.zone 文件”中所示。

$TTL 2D 1
example.com. IN SOA      dns  root.example.com. ( 2
             2003072441  ; serial 3
             1D          ; refresh 4
             2H          ; retry 5
             1W          ; expiry 6
             2D )        ; minimum 7

             IN NS       dns 8
             IN MX       10 mail dns 9
gate         IN A        192.168.5.1 10
             IN A        10.0.0.1
dns          IN A        192.168.1.116
mail         IN A        192.168.3.108
jupiter      IN A        192.168.2.100
venus        IN A        192.168.2.101
saturn       IN A        192.168.2.102
mercury      IN A        192.168.2.103
ntp          IN CNAME    dns 11
dns6         IN A6  0    2002:c0a8:174::

1	$TTL 定义默认存活时间，它适用于此文件中的所有项。在本例中，项在两天 (2 D) 内有效。
2	这是 SOA（Start Of Authority，起始授权机构）控制记录开始的位置： 最前面的 example.com 是要管理的域的名称。此域名以“.”结尾，因为如果不含点，可能会再次追加区域。或者，可以在这里输入 @，在这种情况下，可以从 /etc/named.conf 中的相应项中抽取区域。 IN SOA 之后是用作此区域主服务器的名称服务器的名称。此名称会从 dns 扩展为 dns.example.com，因为它没有以“.”结尾。 随后是负责此名称服务器的用户的电子邮件地址。因为 @ 符号本身具有特殊含义，所以在这里改为输入“.”。对于 root@example.com，该项必须视为 root.example.com.。必须在末尾包含“.”，以防添加区域。 ( 和 ) 之间包含的所有行组成 SOA 记录。
3	serial number 是一个 10 位数。每次更改此文件，都必须更改此编号。需要将这些更改通知给次要名称服务器（次要服务器）。为此，日期和运行编号常采用 10 位数字，格式为 YYYYMMDDNN，这已成为惯用格式（YYYY 表示年份，MM 表示月份，DD 表示日期。NN 是序列号，可在给定的日期多次更新）。
4	refresh rate 指定次要名称服务器校验区域 serial number 的时间间隔。在本例中，此时间间隔为一天。
5	retry rate 指定二级名称服务器在出现错误时尝试再次联系主服务器的时间间隔。这里的时间间隔是两小时。
6	expiration time 指定二级名称服务器在无法重新联系上主服务器时将在多长时间后丢弃缓存的数据。在本例中为一周。
7	SOA 记录中的最后一项指定 negative caching TTL，这是缓存来自其它服务器的未解析 DNS 查询结果的时间。
8	IN NS 指定负责此域的名称服务器。dns 会扩展为 dns.example.com，因为它没有以“.”结尾。可以有多个与此行类似的行，一行用于主名称服务器，其它每行分别用于每个辅助名称服务器。如果 /etc/named.conf 中未将 notify 设置为 no，则会将区域数据的更改通知给这里列出的所有名称服务器。
9	MX 记录指定接受、处理和转发域 example.com 的电子邮件的邮件服务器。在本例中，该邮件服务器是主机 mail.example.com。主机名称前面的数字是优先顺序值。如果有多个 MX 项，则优先选用值最小的邮件服务器。如果将邮件递送到此服务器失败，则会使用值第二小的项。
10	此行及其后面的行是实际地址记录，其中的一个或多个 IP 地址已指派到主机名。这里列出的名称不带“.”，因为这些名称没有包含域，所以系统会在所有这些名称后面添加 example.com。因为主机 gate 有两个网卡，所以为其指派两个 IP 地址。只要主机地址是传统地址 (IPv4)，就将使用 A 标记该记录。如果地址是 IPv6 地址，则使用 AAAA 标记此项。 注意：IPv6 语法 IPv6 记录与 IPv4 记录的语法稍有不同。由于可能进行碎片整理，所以需要在寻址前提供有关缺失位的信息。要使用所需的数字“}0”填写 IPv6 地址，请在地址中的正确位置添加两个冒号。 pluto AAAA 2345:00C1:CA11::1234:5678:9ABC:DEF0 pluto AAAA 2345:00D2:DA11::1234:5678:9ABC:DEF0
11	别名 ntp 可用于确定 dns（CNAME 是指规范名称）的地址。

伪域 in-addr.arpa 用于 IP 地址到主机名的反向查找。它被追加到采用反向表示法的地址的网络部分。因此，192.168 会解析为 168.192.in-addr.arpa。请参见例 39.7 “反向查找”。

$TTL 2D 1
168.192.in-addr.arpa.   IN SOA dns.example.com. root.example.com. ( 2
                        2003072441      ; serial
                        1D              ; refresh
                        2H              ; retry
                        1W              ; expiry
                        2D )            ; minimum

                        IN NS           dns.example.com. 3

1.5                     IN PTR          gate.example.com. 4
100.3                   IN PTR          www.example.com.
253.2                   IN PTR          cups.example.com.

通常，可以在 BIND 的不同版本间传输区域，不会产生任何问题。

动态更新一词是指添加、更改或删除主服务器区域文件中的项的操作。RFC 2136 中对此机制进行了描述。通过添加可选的 allow-update 或 update-policy 规则，可为每个区域项分别配置动态更新。不应手动编辑要动态更新的区域。

用命令 nsupdate 将要更新的项传送到服务器。有关此命令的精确语法，请查看关于 nsupdate 的手册页 (man 8 nsupdate)。出于安全原因，应使用 第 39.8 节 “安全事务” 中介绍的 TSIG 密钥执行此类更新。

借助于基于共享密钥（也称为 TSIG 密钥）的事务签名 (TSIG) 可以实现安全事务。本节介绍如何生成和使用此类密钥。

不同服务器间的通信和区域数据的动态更新需要安全事务。依靠密钥进行访问控制比只靠 IP 地址进行访问控制要安全得多。

使用下面的命令生成 TSIG 密钥（有关细节，请参见 man tsig-keygen）：

> sudo tsig-keygen -a hmac-md5 host1-host2 > host1-host2.key

这会创建名称为 host1-host2.key 的文件，其中的内容可能如下所示：

key "host1-host2" {                       |
    algorithm hmac-md5;
    secret "oHpBLgtcZso6wxnRTWdJMA==";
};

必须将此文件传输到远程主机，最好以安全方式传输（例如，使用 scp）。要在 host1 与 host2 之间启用安全通讯，本地和远程服务器上的 /etc/named.conf 文件中均须包含该密钥。

key host1-host2 {
 algorithm hmac-md5;
 secret "ejIkuCyyGJwwuN3xAteKgg==";
};

警告：etc/named.conf 的文件权限

确保正确限制了 /etc/named.conf 的权限。此文件的默认值是 0640，拥有者为 root 和组 named。或者，可以将密钥移到具有特殊限制权限的另一个文件中，然后将该文件包括在 /etc/named.conf 中。要包括外部文件，请使用：

include  "filename"

用带有密钥的文件的绝对路径替换 filename。

要使服务器 host1 能使用 host2（在本例中，其地址为 10.1.2.3）的密钥，服务器的 /etc/named.conf 必须包含下列规则：

server 10.1.2.3 {
  keys { host1-host2. ;};
};

必须将类似的项包括在 host2 的配置文件中。

向为 IP 地址和地址范围定义的任何 ACL（访问控制列表，请不要与文件系统的 ACL 混淆）添加 TSIG 密钥可以实现事务安全性。相应的项如下所示：

allow-update { key host1-host2. ;};

BIND 管理员参考手册的 update-policy 对此主题进行了详细介绍。

RFC 2535 中对 DNSSEC（或 DNS 安全性）进行了描述。BIND 手册中介绍了可用于 DNSSEC 的工具。

被认为是安全的区域必须有一个或多个与之关联的区域密钥。这些密钥是通过 dnssec-keygen 生成的，就像主机密钥一样。当前使用 DSA 加密算法来生成这些密钥。应通过 $INCLUDE 规则将生成的公共密钥包含到对应的区域文件中。

使用命令 dnssec-signzone，您可以创建生成的密钥集（keyset- 文件），将它们以安全方式传送到父区域并加以签名。这会生成要包含在 /etc/named.conf 中的针对每个区域的文件。

有关更多信息，请参见安装在 /usr/share/doc/packages/bind/arm 下的 bind-doc 软件包中的 BIND Administrator Reference Manual（BIND 管理员参考手册）。另外，请考虑参考该手册中所引用的 RFC 和 BIND 附带的手册页。/usr/share/doc/packages/bind/README.SUSE 包含有关 SUSE Linux Enterprise Server 中 BIND 的最新信息。