26 網域名稱系統 #

若要安裝 DNS 伺服器，請啟動 YaST 並選取軟體 › 軟體管理。選擇檢視 › 模式，然後選取DHCP 和 DNS 伺服器。請確認安裝個別套件，以完成此安裝程序。

或者，在指令行中使用以下指令︰

zypper in -t pattern dhcp_dns_server

使用 YaST DNS 模組可以設定區域網路的 DNS 伺服器。當您第一次啟動模組時，一個精靈會啟動，提示您指定有關伺服器管理的一些設定。完成此初步設定，即會產生基本的伺服器組態。使用進階模式可以處理更進階的組態任務，如設定 ACL、記錄、TSIG 金鑰和其他選項。

26.3.2 進階組態 #

 

啟動模組後，YaST 會開啟顯示數個組態選項的視窗。完成該視窗可讓 DNS 伺服器組態的基本功能就位運作︰

26.3.2.1 啟動 #

 

在啟動下，定義是應在系統開機時啟動 DNS 伺服器還是手動啟動。若要立即啟動 DNS 伺服器，請按一下立即啟動 DNS 伺服器。若要停止 DNS 伺服器，請按一下立即停止 DNS 伺服器。若要儲存目前的設定，請選取立即儲存設定並重新載入 DNS 伺服器。您可以使用在防火牆中開啟埠開啟防火牆中的 DNS 埠，並使用防火牆詳細資訊修改防火牆設定。

若選取LDAP 主動支援，區域檔案將由 LDAP 資料庫來管理。DNS 伺服器重新啟動或由系統提示重新載入其組態時，會選用寫入到 LDAP 資料庫的任何區域資料變更。

26.3.2.2 轉遞者 #

 

如果您的本地 DNS 伺服器無法答覆要求，它會嘗試將要求轉遞至轉遞者(若做此設定)。可手動將此轉遞者新增至轉遞者清單。如果轉遞者與撥號連接同樣不是靜態的，則 netconfig 會處理組態。如需 netconfig 的詳細資訊，請參閱 man 8 netconfig。

26.3.2.3 基本選項 #

 

在此區段中，可設定基本伺服器選項。從選項功能表中，選取所需項目，然後在相應的文字方塊中指定值。選取 新增 以包含新項目。

26.3.2.4 記錄 #

 

若要設定 DNS 伺服器應記錄的內容和記錄方式，請選取記錄。在記錄類型下，指定 DNS 伺服器應該寫入記錄資料的位置。選取系統記錄來使用全系統記錄，或選取檔案指定不同的檔案。如果使用後一種方式，還需另行指定名稱、最大檔案大小 (以 MB 為單位) 以及要儲存的記錄檔案版本數。

進一步選項可從其他記錄下存取。啟用記錄所有 DNS 查詢會記錄每個查詢，此選項會讓記錄檔變得非常大。所以，除了偵錯用途外，啟用此選項並不是理想的作法。若要記錄 DHCP 與 DNS 伺服器之間在區域更新期間的資料流量，請啟用記錄區域更新。若要記錄從主伺服器到從屬伺服器在區域傳輸期間的資料流量，請啟用記錄區域轉送。請參閱圖形 26.4 「DNS 伺服器︰記錄」。

圖 26.4︰ DNS 伺服器︰記錄 #

 

26.3.2.5 ACL #

 

使用此對話方塊可定義 ACL (存取控制清單) 以強制執行存取限制。在名稱下提供獨特名稱後，在值下指定 IP 位址 (有或沒有網路遮罩)，格式如下︰

{ 192.168.1/24; }

組態檔的語法要求位址以分號結尾，而且放置在大括號之間。

26.3.2.6 TSIG 金鑰 #

 

TSIG (交易簽章) 的主要目的是保護 DHCP 與 DNS 伺服器之間的通訊。在第 26.8 節 「安全交易」中有所描述。

若要產生 TSIG 金鑰，請在標籤為金鑰 ID的欄位中輸入特別的名稱，並指定用來儲存金鑰的檔案 (檔案名稱)。按一下產生確認您的選擇。

若要使用之前建立的金鑰，請將金鑰 ID欄位保留空白，並在檔案名稱下選取儲存金鑰的檔案。接著，以 新增 確認您的選項。

26.3.2.7 DNS 區域 (新增從屬區域) #

 

若要新增從屬區域，請選取DNS 區域，選擇從屬區域類型，指定新區域的名稱，並按一下新增。

在區域編輯器子對話方塊中，於主 DNS 伺服器 IP下指定從屬伺服器應從中提取資料的主伺服器。若要限制對伺服器的存取，可以從清單選取其中一個 ACL。

26.3.2.8 DNS 區域 (新增主要區域) #

 

若要新增主要區域，請選取DNS 區域，選擇主要區域類型，寫入新區域的名稱，然後按一下新增。新增主要區域時，也需要新增反向區域。例如，如果新增指向子網路 192.168.1.0/24 中主機的 example.com 區域，則也應該新增涵蓋該 IP 位址範圍的反向區域。根據定義，該區域應該命名為 1.168.192.in-addr.arpa。

26.3.2.9 DNS 區域 (編輯主要區域) #

 

若要編輯主要區域，請選取DNS 區域，然後從表中選取主要區域，並按一下編輯。對話方塊由幾個頁面組成︰基本 (第一個開啟的頁面)、NS 記錄、MX 記錄、SOA 以及記錄。

基本對話方塊 (如圖形 26.5 「DNS 伺服器︰區域編輯器 (基本)」所示)，可讓您定義動態 DNS 的設定以及到用戶端及從屬名稱伺服器之區域傳輸的存取選項。若要允許動態更新區域，請選取允許動態更新以及對應的 TSIG 金鑰。更新動作開始前，必須先定義金鑰。若要啟用區域傳輸，請選取對應的 ACL。必須先行定義 ACL。

在基本對話方塊中，選擇是否要啟用區域傳輸。使用列出的 ACL 來定義可以下載區域的人員。

圖 26.5︰ DNS 伺服器︰區域編輯器 (基本) #

 

區域編輯器 (NS 記錄)

NS 記錄對話方塊可讓您為指定的區域定義替代名稱伺服器。請確定您自己的名稱伺服器包含於清單中。若要新增記錄，請在要新增的名稱伺服器下輸入其名稱，然後使用新增確認動作。請參閱圖形 26.6 「DNS 伺服器︰區域編輯器 (NS 記錄)」。

圖 26.6︰ DNS 伺服器︰區域編輯器 (NS 記錄) #

 

區域編輯器 (MX 記錄)

若要新增目前區域的郵件伺服器到現有清單，請輸入對應的位址及優先順序值。完成後，選取新增確認該動作。請參閱圖形 26.7 「DNS 伺服器︰區域編輯器 (MX 記錄)」。

圖 26.7︰ DNS 伺服器︰區域編輯器 (MX 記錄) #

 

區域編輯器 (SOA)

此頁允許您建立 SOA (起始授權) 記錄。如需個別選項的說明，請參閱範例 26.6 「/var/lib/named/example.com.zone 檔案」。透過 LDAP 管理的動態區域，並不支援變更 SOA 記錄。

圖 26.8︰ DNS 伺服器︰區域編輯器 (SOA) #

 

區域編輯器 (記錄)

此對話方塊可管理名稱解析。在記錄金鑰中，輸入主機名稱，然後選取其類型。A類型表示主項目。此項目的值應為 IP 位址 (IPv4)。請為 IPv6 位址使用AAAA。CNAME 是別名。使用 NS 與 MX 類型，可取得NS 記錄與MX 記錄標籤提供之資訊的詳細或部分擴充記錄。這三個類型都可以解析成現有的 A 記錄。PTR 是供反向區域所使用。它的內容與 A 記錄相反，例如︰

hostname.example.com. IN A 192.168.0.1
1.0.168.192.in-addr.arpa IN PTR hostname.example.com.

26.3.2.9.1 新增反向區域 #

 

若要新增反向區域，請遵循以下程序︰

1. 啟動 YaST › DNS 伺服器 › DNS 區域。

2. 如果您尚未新增主要正向區域，現在請新增並對其進行編輯。

3. 在記錄索引標籤中，填入相應的記錄金鑰和值，然後使用新增來新增記錄，並使用確定來確認。如果 YaST 告知某個名稱伺服器的記錄不存在，請在 NS 記錄索引標籤中新增該記錄。

   

   圖 26.9︰ 為主要區域新增記錄 #

    

4. 回到 DNS 區域視窗，新增一個主要反向區域。

   

   圖 26.10︰ 新增反向區域 #

    

5. 編輯該反向區域，然後在記錄索引標籤中，您可以看到 PTR︰反向轉換記錄類型。新增相應的記錄金鑰和值，然後按一下新增並使用確定來確認。

   

   圖 26.11︰ 新增反向記錄 #

    

   視需要新增名稱伺服器記錄。

提示：編輯反向區域

新增正向區域後，返回到主功能表，然後選取要編輯的反向區域。在基本索引標籤中，啟用自動產生以下區域的記錄核取方塊，然後選取正向區域。這樣，反向區域中會自動更新正向區域的所有變更。

在 SUSE® Linux Enterprise Server 系統上，已預先設定名稱伺服器 BIND (Berkeley Internet Name Domain，柏克萊網際網路名稱網域)，因此在安裝後可以立即啟動此名稱伺服器，不會出現任何問題。一般而言，如果您能連接網際網路，並在 /etc/resolv.conf 中輸入了 127.0.0.1 做為 localhost 的名稱伺服器位址，則表示您已經有可以運作的名稱解析功能，因而無需知道提供者的 DNS。BIND 透過根名稱伺服器執行名稱解析，顯見處理程序較慢。一般而言，應該在 forwarders 下的組態檔 /etc/named.conf 中輸入提供者的 DNS 及其 IP 位址，以確保有效及安全的名稱解析。如果目前此辦法可行，名稱伺服器會當成純粹的「僅快取」名稱伺服器執行。只有在您設定了名稱伺服器自己的區域後，它才會成為真正的 DNS。/usr/share/doc/packages/bind/config 中提供了一個簡單範例。

提示：自動使用名稱伺服器資訊

在某些類型的網際網路連接或網路連接下，名稱伺服器資訊可自動根據目前的情況進行調整。若要實現此目的，請將 /etc/sysconfig/network/config 檔案中的 NETCONFIG_DNS_POLICY 變數設定為 auto。

不過，在相關機構為您指派正式的網域之前，切勿設定網域。即使您有自己的網域而且是由提供者管理，最好也不要使用，否則 BIND 不會轉遞此網域的要求。例如，此網域將無法存取提供者的網頁伺服器。

若要啟動名稱伺服器，請以 root 身分輸入指令 systemctl start named。使用 systemctl status named 來檢查 named (在呼叫名稱伺服器程序時) 是否已成功啟動。使用 host 或 dig 程式立即測試本地系統上的名稱伺服器，應該會傳回 localhost 做為預設伺服器，位址為 127.0.0.1。如果沒有傳回所需的結果，/etc/resolv.conf 可能包含不正確的名稱伺服器項目，或是檔案不存在。如果是第一次測試，請輸入 host 127.0.0.1，這通常都能成功。如果看到錯誤訊息，請使用 systemctl status named 檢查伺服器是否真的在執行。如果該名稱伺服器未啟動或者出現非預期的行為，請檢查 journalctl -e 的輸出。

若要使用提供者的名稱伺服器或網路上正在執行的名稱伺服器做為轉遞者，請在 forwarders 下的 options 區段中輸入對應的 IP 位址。範例 26.1 「named.conf 中的轉寄選項」中包含的位址只是範例。請根據您自己的設定調整這些項目。

options {
        directory "/var/lib/named";
        forwarders { 10.11.12.13; 10.11.12.14; };
        listen-on { 127.0.0.1; 192.168.1.116; };
        allow-query { 127/8; 192.168/16 };
        notify no;
};

options 項目後面跟著區域的項目︰localhost 以及 0.0.127.in-addr.arpa。在「.」之下的 type hint 項目應該永遠是存在的。對應的檔案無需修改，而且應該依其原狀運作。另外也請確定每個項目的末尾都有「;」，且大括號在正確的位置。變更組態檔 /etc/named.conf 或區域檔後，可使用 systemctl reload named 告知 BIND 重新讀取這些檔案。使用 systemctl restart named 停止並重新啟動名稱伺服器可達成相同的效果。任何時候都可透過輸入 systemctl stop named 來停止伺服器。

BIND 名稱伺服器本身的所有設定都儲存於檔案 /etc/named.conf 中。不過，要處理之網域的區域資料 (包括主機名稱、IP 位址等) 儲存於 /var/lib/named 目錄中各自的檔案中。詳細資訊會在稍後說明 。

/etc/named.conf 粗略分為兩個部分。其中一個是一般設定的 options 區段，另一個則是由個別網域的 zone 項目組成。logging 區段和 acl (存取控制清單) 項目是選擇性的。註解行的開頭是 # 符號或 //。在範例 26.2 「基本的 /etc/named.conf」 中顯示了最基本的 /etc/named.conf。

options {
        directory "/var/lib/named";
        forwarders { 10.0.0.1; };
        notify no;
};

zone "localhost" in {
       type master;
       file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
        type master;
        file "127.0.0.zone";
};

zone "." in {
        type hint;
        file "root.hint";
};

logging {
        category default { null; };
};

zone "example.com" in {
      type master;
      file "example.com.zone";
      notify no;
};

zone "example.net" in {
      type slave;
      file "slave/example.net.zone";
      masters { 10.0.0.1; }; 
};

需要兩種類型的區域檔案。一個會給主機名稱指定 IP 位址，另一個的作用恰恰相反︰為 IP 位址提供主機名稱。

提示：在區域檔案中使用點號 (英文句號)

. 在區域檔案中具有重要意義。如果指定的主機名稱末尾沒有句點 (.)，則會附加區域。使用完整網域名稱指定的完整主機名稱必須以句點結尾 (.)，這是為了避免再次向它新增網域。缺少 . 或其位置錯誤往往是造成名稱伺服器組態錯誤的原因所在。

第一個要考慮的情況是負責網域 example.com 的區域檔案 example.com.zone，如範例 26.6 「/var/lib/named/example.com.zone 檔案」中所示。

1.  $TTL 2D
2.  example.com. IN SOA      dns  root.example.com. ( 
3.               2003072441  ; serial
4.               1D          ; refresh
5.               2H          ; retry
6.               1W          ; expiry
7.               2D )        ; minimum
8.
9.               IN NS       dns 
10.              IN MX       10 mail
11.
12. gate         IN A        192.168.5.1 
13.              IN A        10.0.0.1 
14. dns          IN A        192.168.1.116 
15. mail         IN A        192.168.3.108 
16. jupiter      IN A        192.168.2.100
17. venus        IN A        192.168.2.101
18. saturn       IN A        192.168.2.102
19. mercury      IN A        192.168.2.103
20. ntp          IN CNAME    dns 
21. dns6         IN A6  0    2002:c0a8:174::

虛擬網域 in-addr.arpa 用來反向查詢 IP 位址到主機名稱。它會以反向標記法附加到位址的網路部分。因此 192.168 會解析為 168.192.in-addr.arpa。請參閱範例 26.7 「反向查詢」。

1.  $TTL 2D
2.  168.192.in-addr.arpa.   IN SOA dns.example.com. root.example.com. (
3.                          2003072441      ; serial
4.                          1D              ; refresh
5.                          2H              ; retry
6.                          1W              ; expiry
7.                          2D )            ; minimum
8.
9.                          IN NS           dns.example.com.
10.
11. 1.5                     IN PTR          gate.example.com. 
12. 100.3                   IN PTR          www.example.com. 
13. 253.2                   IN PTR          cups.example.com.

一般情況下，不同 BIND 版本之間的區域傳輸應該可以順利進行。

「動態更新」這個詞是指新增、變更或刪除主伺服器的區域檔案項目的作業。此機制於 RFC 2136 中有詳細描述。利用新增選擇性的 allow-update 或 update-policy 規則，可為每個區域項目個別設定動態更新。動態更新的區域不應該手動修改。

使用指令 nsupdate 將要更新的項目傳送到伺服器。如需此指令的完整語法，請查閱 nsupdate 的手冊頁 (man 8 nsupdate)。為了安全性的緣故，這類更新應該使用 TSIG 金鑰加以執行，如 第 26.8 節 「安全交易」 所述。

透過採用共享秘密金鑰 (也稱為 TSIG 金鑰) 的交易簽章 (TSIG)，可以實現安全交易。本節說明如何產生及使用這類金鑰。

不同伺服器之間的通訊，以及區域資料的動態更新，都需要安全交易。讓存取控制依靠金鑰比單純依靠 IP 位址要來得安全許多。

使用以下指令可產生 TSIG 金鑰 (有關詳細資訊，請參閱 man dnssec-keygen)︰

dnssec-keygen -a hmac-md5 -b 128 -n HOST host1-host2

這樣會建立兩個檔案，名稱類似如下︰

Khost1-host2.+157+34265.private Khost1-host2.+157+34265.key

金鑰本身 (如 ejIkuCyyGJwwuN3xAteKgg== 的字串) 在兩個檔案中都可找到。如果要用於交易，第二個檔案 (Khost1-host2.+157+34265.key) 必須傳輸到遠端主機，最好是以安全的方式傳輸 (例如，使用 scp)。在遠端伺服器上，金鑰必須包含於檔案 /etc/named.conf 內，才能開啟 host1 與 host2 之間的安全通訊︰

key host1-host2 {
 algorithm hmac-md5;
 secret "ejIkuCyyGJwwuN3xAteKgg==";
};

警告：/etc/named.conf 的檔案權限

請確定 /etc/named.conf 的許可權受到適當的限制。此檔案的預設值是 0640，擁有者為 root 及群組 named。另一種方法是，將金鑰移到具有特別限定許可權的其他檔案，然後將檔案從 /etc/named.conf 包含進來。若要包含外部檔案，請使用︰

include  "filename"

將檔案名稱取代為金鑰所在檔案的絕對路徑。

若要讓伺服器 host1 能夠使用 host2 (在此範例中位址為 10.1.2.3) 的金鑰，伺服器的 /etc/named.conf 必須包含以下規則︰

server 10.1.2.3 {
  keys { host1-host2. ;};
};

類比項目必須包含於 host2 的組態檔中。

針對為 IP 位址和位址範圍定義的任何 ACL (存取控制清單，切勿與檔案系統 ACL 混淆) 新增 TSIG 金鑰，以確保交易安全性。對應項目應該看起來如下︰

allow-update { key host1-host2. ;};

此主題在 update-policy 下的 BIND Administrator Reference Manual 中有詳細討論。

DNSSEC 或 DNS 安全性細述於 RFC 2535。DNSSEC 的可用工具在 BIND 手冊中有詳加討論。

與一或多個區域金鑰關聯的區域才是安全區域。這些金鑰是使用 dnssec-keygen 產生，如同主機金鑰一樣。目前是使用 DSA 加密演算法產生這些金鑰。產生的公用金鑰應該包含於套用 $INCLUDE 規則的對應區域檔案中。

使用 dnssec-signzone 指令，可以建立產生的金鑰集 (keyset- 檔案)，將金鑰集安全地傳送至父區域，並對其簽名。這樣便會在 /etc/named.conf 中產生每個區域要包含的檔案。

如需詳細資訊，請參閱安裝於 /usr/share/doc/packages/bind/arm 下的 bind-doc 套件中的 BIND Administrator Reference Manual (BIND 管理員參考手冊)。另外也請參閱手冊參考的 RFC 以及 BIND 隨附的手冊頁。/usr/share/doc/packages/bind/README.SUSE 中包含有關 SUSE Linux Enterprise Server 中 BIND 的最新資訊。