分类导航

路由器|交换机|网络协议|网络知识|

电脑菜鸟 - 网络技术 - 网络知识 - 内网主从智能 DNS 从此不再烦恼

内网主从智能 DNS 从此不再烦恼

2022-11-03 23:02运维开发故事小姜 网络知识

随着云原生时代的快速发展，各行各业纷纷进军k8s，短短两三年，招聘上面就要求“至少有一年k8s实战经验”。以至于好多传统的、行业初期用的人非常多的一些技术被飞快的甩在后头。

内网主从智能 DNS 从此不再烦恼

大家好，我是小姜。

写在前面

随着云原生时代的快速发展，各行各业纷纷进军k8s，短短两三年，招聘上面就要求“至少有一年k8s实战经验”。以至于好多传统的、行业初期用的人非常多的一些技术被飞快的甩在后头。亦或者说技术更新迭代层出不穷，老技术会被很快代替，新技术会备受宠爱。而在域名解析领域，大家最熟悉的常用的云解析DNSPod、Godaddy、CloudFlare、阿里云的域名解析等，当然还有dnsmasq、powerdns以及在k8s中用的coreDNS。但是今天我这里就聊聊bind9。

可能目前的中小型公司都不会使用bind9，而且网上你去搜索，大多都是直接使用named服务，不会使用named-chroot。而且更少的是使用acl+view的。要么排版不够好，新手可能看懵逼，配置错误。要么就是没有说的很详细的。当然也有，可能我没有好好花时间搜索或者搜索能力有限。这里我就记录一下bind9使用chroot以及使用acl+view试图实现智能DNS过程。

环境说明

CentOS Linux release 8.4.2105

BIND Version：9.11.26

总网段：172.16.128.0/17

bind9主从所在网段：172.16.0.0/24

Host IP Role
named-srv1 172.16.0.55 named master
named-srv2 172.16.0.56 named slave

bind9 master节点部署

  1. /bin/chattr-i/etc/fstab/etc/passwd/etc/group/etc/shadow/etc/sudoers/etc/services
  3. dnf-yinstallbind-chrootbind-utils
  5. #我要启用chroot，并且需要更改named的目录到/data/named/chroot
  6. #因此需要拷贝文件
  7. mkdir-p/data/named
  8. cp-ar/var/named/*/data/named/
  10. #创建存放日志的目录
  11. mkdir-p/data/named/chroot/data/log/named/
  13. ###在bindchroot的目录中创建相关文件
  14. touch/data/named/chroot/var/named/data/cache_dump.db
  15. touch/data/named/chroot/var/named/data/named_stats.txt
  16. touch/data/named/chroot/var/named/data/named_mem_stats.txt
  17. touch/data/named/chroot/var/named/data/named.run
  18. mkdir/data/named/chroot/var/named/dynamic
  19. touch/data/named/chroot/var/named/dynamic/managed-keys.bind
  21. #到linux系统的/data/目录下，更改named目录的属主和数组为named
  22. cd/data/
  23. chownnamed.named-Rnamed

编辑主named.conf文件

  1. $cat/data/named/chroot/etc/named.conf
  3. acltelecom{
  4. 172.17.10.0/24;
  5. };
  7. aclunicom{
  8. 172.17.20.0/24;
  9. };
  11. aclmobile{
  12. 172.17.30.0/24;
  13. };
  15. options{
  16. listen-onport53{127.0.0.1;172.16.0.55;};
  17. directory"/var/named";
  18. dump-file"/data/named/data/cache_dump.db";
  19. statistics-file"/data/named/data/named_stats.txt";
  20. memstatistics-file"/data/named/data/named_mem_stats.txt";
  21. //允许查询的主机；白名单
  22. allow-query{any;};
  23. allow-query-cache{any;};
  24. //我这里买的是阿里云的ECS服务器，因此这里使用阿里的DNS
  25. forwarders{223.5.5.5;223.6.6.6;};
  26. recursive-clients200000;
  27. check-namesmasterwarn;
  28. max-cache-ttl60;
  29. max-ncache-ttl0;
  31. //recursionyes;
  32. //dnssec-enableyes;
  33. //dnssec-validationyes;
  34. //managed-keys-directory"/var/named/dynamic";
  35. pid-file"/run/named/named.pid";
  36. //session-keyfile"/run/named/session.key";
  38. };
  40. logging{
  41. channelquery_log{
  42. file"/data/log/named/query.log"versions10size300m;
  43. severityinfo;
  44. print-categoryyes;
  45. print-timeyes;
  46. print-severityyes;
  47. };
  48. channelclient_log{
  49. file"/data/log/named/client.log"versions3size200m;
  50. severityinfo;
  51. print-categoryyes;
  52. print-timeyes;
  53. print-severityyes;
  54. };
  55. channelconfig{
  56. file"/data/log/named/config.log"versions3size100m;
  57. severityinfo;
  58. print-categoryyes;
  59. print-timeyes;
  60. print-severityyes;
  61. };
  62. channeldefault_log{
  63. file"/data/log/named/default.log"versions3size100m;
  64. severitydebug;
  65. print-categoryyes;
  66. print-timeyes;
  67. print-severityyes;
  68. };
  69. channelgeneral_log{
  70. file"/data/log/named/general.log"versions3size200m;
  71. severitydebug;
  72. print-categoryyes;
  73. print-timeyes;
  74. print-severityyes;
  75. };
  76. categoryqueries{
  77. query_log;
  78. };
  79. categoryclient{
  80. client_log;
  81. };
  82. categorygeneral{
  83. general_log;
  84. };
  85. categoryconfig{
  86. config;
  87. };
  88. categorydefault{
  89. default_log;
  90. };
  91. };
  93. viewtelcom_view{
  94. match-clients{telcom;};
  95. match-destinations{any;};
  96. recursionyes;
  97. include"/etc/named-telcome.zones";
  98. };
  100. viewunicom_view{
  101. match-clients{unicom;};
  102. match-destinations{any;};
  103. recursionyes;
  104. include"/etc/named-unicome.zones";
  105. };
  107. viewmobile_view{
  108. match-clients{any;};
  109. match-destinations{any;};
  110. recursionyes;
  111. include"/etc/named-mobile.zones";
  112. };

注意：需要提醒大家的是：第一，启用了named-chroot服务以后，就必须关闭named服务，两者取其一。第二，如果启用了named-chroot，那么目录就都是相对目录，都是相对于/var/named/chroot而言的。

使用acl+view

上面已经定义好了三个acl和三个view。一般来说我们的acl都会放在最开头，也就是options的前面，也建议这样放。

接下来就需要生成三个view下面的include包含进来的区域文件了。这里只演示正向解析区域，一般内网bind9很少需要反向解析。

生成区域文件

  1. $vi/var/named/chroot/etc/named-telcome.zones
  2. zone"ayunw.cn"IN{
  3. typemaster;
  4. file"ayunw.cn.zone";
  5. allow-update{none;};
  6. masterfile-formattext;
  7. allow-transfer{172.16.0.56;};
  8. };
  10. $vi/var/named/chroot/etc/named-unicom.zones
  11. zone"iyunw.cn"IN{
  12. typemaster;
  13. file"iyunw.cn.zone";
  14. allow-update{none;};
  15. masterfile-formattext;
  16. allow-transfer{172.16.0.56;};
  17. };
  19. $vi/var/named/chroot/etc/named-mobile.zones
  20. zone"allenjol.cn"IN{
  21. typemaster;
  22. file"allenjol.cn.zone";
  23. allow-update{none;};
  24. masterfile-formattext;
  25. allow-transfer{172.16.0.56;};
  26. };

生成区域解析库文件

  1. $cd/var/named/chroot/var
  3. $viayunw.cn.zone
  4. $TTL86400
  5. @INSOAayunw.cn.root.iyunw.cn.(
  6. 202111011;serial(d.adams)
  7. 1H;refresh
  8. 15M;retry
  9. 1W;expiry
  10. 1D);minimum
  12. INNSns1.ayunw.cn.
  13. INNSns2.ayunw.cn.
  15. ns1INA172.16.0.55
  16. ns2INA172.16.0.56
  17. wwwINA172.16.0.58
  21. $viiyunw.cn.zone
  22. $TTL86400
  23. @INSOAiyunw.cn.root.iyunw.cn.(
  24. 202111011;serial(d.adams)
  25. 1H;refresh
  26. 15M;retry
  27. 1W;expiry
  28. 1D);minimum
  30. INNSns1.iyunw.cn.
  31. INNSns2.iyunw.cn.
  33. ns1INA172.16.0.55
  34. ns2INA172.16.0.56
  35. webINA172.16.0.59
  37. $viallenjol.cn.zone
  38. $TTL86400
  39. @INSOAallenjol.cn.root.allenjol.cn.(
  40. 202111011;serial(d.adams)
  41. 1H;refresh
  42. 15M;retry
  43. 1W;expiry
  44. 1D);minimum
  46. INNSns1.allenjol.cn.
  47. INNSns2.allenjol.cn.
  49. ns1INA172.16.0.55
  50. ns2INA172.16.0.56
  51. allenINA172.16.0.60

启动服务并设置开机自启

  1. /usr/libexec/setup-named-chroot.sh/var/named/chrooton
  2. systemctlstopnamed
  3. systemctldisablenamed
  4. systemctlstartnamed-chroot
  5. systemctlenablenamed-chroot

bind9 slave节点部署

  1. /bin/chattr-i/etc/fstab/etc/passwd/etc/group/etc/shadow/etc/sudoers/etc/services
  3. dnf-yinstallbind-chrootbind-utils
  5. #我要启用chroot，并且需要更改named的目录到/data/named/chroot
  6. #因此需要拷贝文件
  7. mkdir-p/data/named
  8. cp-ar/var/named/*/data/named/
  11. #创建存放日志的目录
  12. mkdir-p/data/named/chroot/data/log/named/
  14. ###在bindchroot的目录中创建相关文件
  15. touch/data/named/chroot/var/named/data/cache_dump.db
  16. touch/data/named/chroot/var/named/data/named_stats.txt
  17. touch/data/named/chroot/var/named/data/named_mem_stats.txt
  18. touch/data/named/chroot/var/named/data/named.run
  19. mkdir/data/named/chroot/var/named/dynamic
  20. touch/data/named/chroot/var/named/dynamic/managed-keys.bind
  22. #到linux系统的/data/目录下，更改named目录的属主和数组为named
  23. cd/data/
  24. chownnamed.named-Rnamed

编辑从named.conf文件

  1. $cat/data/named/chroot/etc/named.conf
  2. $cat/data/named/chroot/etc/named.conf
  4. acltelecom{
  5. 172.17.10.0/24;
  6. };
  8. aclunicom{
  9. 172.17.20.0/24;
  10. };
  12. aclmobile{
  13. 172.17.30.0/24;
  14. };
  16. options{
  17. listen-onport53{127.0.0.1;172.16.0.55;};
  18. directory"/var/named";
  19. dump-file"/data/named/data/cache_dump.db";
  20. statistics-file"/data/named/data/named_stats.txt";
  21. memstatistics-file"/data/named/data/named_mem_stats.txt";
  22. //允许查询的主机；白名单
  23. allow-query{any;};
  24. allow-query-cache{any;};
  25. //我这里买的是阿里云的ECS服务器，因此这里使用阿里的DNS
  26. forwarders{223.5.5.5;223.6.6.6;};
  27. recursive-clients200000;
  28. check-namesmasterwarn;
  29. max-cache-ttl60;
  30. max-ncache-ttl0;
  32. //recursionyes;
  33. //dnssec-enableyes;
  34. //dnssec-validationyes;
  35. //managed-keys-directory"/var/named/dynamic";
  36. pid-file"/run/named/named.pid";
  37. //session-keyfile"/run/named/session.key";
  39. };
  41. logging{
  42. channelquery_log{
  43. file"/data/log/named/query.log"versions10size300m;
  44. severityinfo;
  45. print-categoryyes;
  46. print-timeyes;
  47. print-severityyes;
  48. };
  49. channelclient_log{
  50. file"/data/log/named/client.log"versions3size200m;
  51. severityinfo;
  52. print-categoryyes;
  53. print-timeyes;
  54. print-severityyes;
  55. };
  56. channelconfig{
  57. file"/data/log/named/config.log"versions3size100m;
  58. severityinfo;
  59. print-categoryyes;
  60. print-timeyes;
  61. print-severityyes;
  62. };
  63. channeldefault_log{
  64. file"/data/log/named/default.log"versions3size100m;
  65. severitydebug;
  66. print-categoryyes;
  67. print-timeyes;
  68. print-severityyes;
  69. };
  70. channelgeneral_log{
  71. file"/data/log/named/general.log"versions3size200m;
  72. severitydebug;
  73. print-categoryyes;
  74. print-timeyes;
  75. print-severityyes;
  76. };
  77. categoryqueries{
  78. query_log;
  79. };
  80. categoryclient{
  81. client_log;
  82. };
  83. categorygeneral{
  84. general_log;
  85. };
  86. categoryconfig{
  87. config;
  88. };
  89. categorydefault{
  90. default_log;
  91. };
  92. };
  94. viewtelcom_view{
  95. match-clients{telcom;};
  96. match-destinations{any};
  97. recursionyes;
  98. include"/etc/named-telcome.zones";
  99. };
  101. viewunicom_view{
  102. match-clients{unicom;};
  103. match-destinations{any;};
  104. recursionyes;
  105. include"/etc/named-unicome.zones";
  106. };
  108. viewmobile_view{
  109. match-clients{any;};
  110. match-destinations{any;};
  111. recursionyes;
  112. include"/etc/named-mobile.zones";
  113. };

生成区域文件

  1. $vi/var/named/chroot/etc/named-telcome.zones
  2. zone"ayunw.cn"IN{
  3. typemaster;
  4. file"ayunw.cn.zone";
  5. allow-update{none;};
  6. masterfile-formattext;
  7. allow-transfer{172.16.0.56;};
  8. };
  10. $vi/var/named/chroot/etc/named-unicom.zones
  11. zone"iyunw.cn"IN{
  12. typemaster;
  13. file"iyunw.cn.zone";
  14. allow-update{none;};
  15. masterfile-formattext;
  16. allow-transfer{172.16.0.56;};
  17. };
  19. $vi/var/named/chroot/etc/named-mobile.zones
  20. zone"allenjol.cn"IN{
  21. typemaster;
  22. file"allenjol.cn.zone";
  23. allow-update{none;};
  24. masterfile-formattext;
  25. allow-transfer{172.16.0.56;};
  26. };

启动服务并设置开机自启

  1. /usr/libexec/setup-named-chroot.sh/var/named/chrooton
  2. systemctlstopnamed
  3. systemctldisablenamed
  4. systemctlstartnamed-chroot
  5. systemctlenablenamed-chroot

注意：从节点无需创建区域解析库文件，当主节点重启named-chroot服务的时候会自动同步解析库文件到从节点

测试解析

找了三台机器，内网ip分别为：172.16.10.1、172.16.20.1、172.16.30.1，分别解析www.ayunw.cn、web.iyunw.cn以及allen.allenjol.cn，都是能正常解析的。

  1. $dig-tAwww.ayunw.cn
  2. ;<<>>DiG9.11.26-RedHat-9.11.26-4.el8_4<<>>-tAallen.ptcloud.t.home
  3. ;;globaloptions:+cmd
  4. ;;Gotanswer:
  5. ;;->>HEADER<<-opcode:QUERY,status:NOERROR,id:40756
  6. ;;flags:qraardra;QUERY:1,ANSWER:1,AUTHORITY:2,ADDITIONAL:3
  8. ;;OPTPSEUDOSECTION:
  9. ;EDNS:version:0,flags:;udp:1232
  10. ;COOKIE:e48c8996a6469b8d51d96afb61775ef045fa019e7ef2c4d6(good)
  11. ;;QUESTIONSECTION:
  12. ;www.ayunw.cn.INA
  14. ;;ANSWERSECTION:
  15. www.ayunw.cn.86400INA172.16.0.58
  17. ;;AUTHORITYSECTION:
  18. ayunw.cn.86400INNSns2.ayunw.cn.
  19. ayunw.cn.86400INNSns1.ayunw.cn.
  21. ;;ADDITIONALSECTION:
  22. ns1.ayunw.cn.86400INA172.16.0.55
  23. ns2.ayunw.cn.86400INA172.16.0.56
  25. ;;Querytime:0msec
  26. ;;SERVER:172.16.0.55#53(172.16.0.55)
  27. ;;WHEN:TueOct2609:50:40CST2021
  28. ;;MSGSIZErcvd:161
  29. $dig-tAweb.iyunw.cn
  31. ;<<>>DiG9.11.26-RedHat-9.11.26-4.el8_4<<>>-tAallen.ptcloud.t.home
  32. ;;globaloptions:+cmd
  33. ;;Gotanswer:
  34. ;;->>HEADER<<-opcode:QUERY,status:NOERROR,id:40756
  35. ;;flags:qraardra;QUERY:1,ANSWER:1,AUTHORITY:2,ADDITIONAL:3
  37. ;;OPTPSEUDOSECTION:
  38. ;EDNS:version:0,flags:;udp:1232
  39. ;COOKIE:e48c8996a6469b8d51d96afb61775ef045fa019e7ef2c4d6(good)
  40. ;;QUESTIONSECTION:
  41. ;web.iyunw.cn.INA
  43. ;;ANSWERSECTION:
  44. web.iyunw.cn.86400INA172.16.0.59
  46. ;;AUTHORITYSECTION:
  47. iyunw.cn.86400INNSns2.iyunw.cn.
  48. iyunw.cn.86400INNSns1.iyunw.cn.
  50. ;;ADDITIONALSECTION:
  51. ns1.iyunw.cn.86400INA172.16.0.55
  52. ns2.iyunw.cn.86400INA172.16.0.56
  54. ;;Querytime:0msec
  55. ;;SERVER:172.16.0.55#53(172.16.0.55)
  56. ;;WHEN:TueOct2609:50:40CST2021
  57. ;;MSGSIZErcvd:161
  58. $dig-tAallen.allenjol.cn
  60. ;<<>>DiG9.11.26-RedHat-9.11.26-4.el8_4<<>>-tAallen.ptcloud.t.home
  61. ;;globaloptions:+cmd
  62. ;;Gotanswer:
  63. ;;->>HEADER<<-opcode:QUERY,status:NOERROR,id:40756
  64. ;;flags:qraardra;QUERY:1,ANSWER:1,AUTHORITY:2,ADDITIONAL:3
  66. ;;OPTPSEUDOSECTION:
  67. ;EDNS:version:0,flags:;udp:1232
  68. ;COOKIE:e48c8996a6469b8d51d96afb61775ef045fa019e7ef2c4d6(good)
  69. ;;QUESTIONSECTION:
  70. ;allen.allenjol.cn.INA
  72. ;;ANSWERSECTION:
  73. allen.allenjol.cn.86400INA172.16.0.60
  75. ;;AUTHORITYSECTION:
  76. allenjol.cn.86400INNSns2.allenjol.cn.
  77. allenjol.cn.86400INNSns1.allenjol.cn.
  79. ;;ADDITIONALSECTION:
  80. ns1.allenjol.cn.86400INA172.16.0.55
  81. ns2.allenjol.cn.86400INA172.16.0.56
  83. ;;Querytime:0msec
  84. ;;SERVER:172.16.0.55#53(172.16.0.55)
  85. ;;WHEN:TueOct2609:50:40CST2021
  86. ;;MSGSIZErcvd:161

如果你有足够的机器，那么你换一台不在172.16.10.0/24、172.16.20.0/24、172.16.30.0/24这三个网段的机器，然后去任意解析 这三个zone文件中的域名，你会发现最终都是没有正常的A记录返回的。

或者如果你用172.16.10.1去解析web.iyunw.cn或者是allen.allenjol.cn，那么就无法正常解析了。这就是acl+view实现的智能DNS的效果。

原文链接：https://mp.weixin.qq.com/s/DqxcTfccHyhalSW_uTvI3g

延伸 · 阅读

精彩推荐
最近更新
编辑推荐
阅读排行
热门标签
© 2022-2023 电脑菜鸟 粤ICP备2022125586号-2