1.5. BIND DNS 서버의 영역 구성

절차

1. /etc/named.conf 파일에 영역 정의를 추가합니다.

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   이러한 설정은 다음을 정의합니다.

   • 이 서버는 example.com 영역의 기본 서버(마스터 유형)로 구성됩니다.
   • /var/named/example.com.zone 파일은 영역 파일입니다. 이 예에서와 같이 상대 경로를 설정하면 이 경로는 options 문의 디렉터리에 설정한 디렉터리를 기준으로 합니다.
   • 모든 호스트는 이 영역을 쿼리할 수 있습니다. 또는 IP 범위 또는 BIND ACL(액세스 제어 목록) nickname을 지정하여 액세스를 제한합니다.
   • 호스트를 통해 영역을 전송할 수 없습니다. 보조 서버를 설정하고 보조 서버의 IP 주소에 대해서만 영역 전송을 허용합니다.

2. /etc/named.conf 파일의 구문을 확인합니다.

   # named-checkconf

   명령이 출력을 표시하지 않으면 구문이 올바른지.

3. /var/named/example.com.zone 파일을 생성합니다(예: 다음 콘텐츠를 포함).

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   이 영역 파일:

   • 리소스 레코드의 기본 TTL(Time-to-live) 값을 8시간으로 설정합니다. h for hour과 같은 시간 접미사가 없으면 BIND에서 값을 초로 해석합니다.
   • 영역에 대한 세부 정보와 필수 SOA 리소스 레코드가 포함되어 있습니다.
   • ns1.example.com 을 이 영역에 대한 권한 있는 DNS 서버로 설정합니다. 작동하려면 영역에 하나 이상의 이름 서버(NS) 레코드가 필요합니다. 그러나 RFC 1912를 준수하려면 두 개 이상의 이름 서버가 필요합니다.
   • mail.example.com 을 example.com 도메인의 메일 교환기(MX)로 설정합니다. 호스트 이름 앞에 있는 숫자 값은 레코드의 우선 순위입니다. 더 낮은 값이 있는 항목은 우선 순위가 높습니다.
   • www.example.com,mail.example.com, ns1.example.com 의 IPv4 및 IPv6 주소를 설정합니다.

4. 명명 된 그룹만 읽을 수 있도록 영역 파일에서 보안 권한을 설정합니다.

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

5. /var/named/example.com.zone 파일의 구문을 확인합니다.

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

6. BIND를 다시 로드합니다.

   # systemctl reload named

   변경 루트 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. /etc/named.conf 파일에 영역 정의를 추가합니다.

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   이러한 설정은 다음을 정의합니다.

   • 이 서버는 2.0.192.in-addr.arpa 역방향 영역의 기본 서버(마스터)로 구성됩니다.
   • /var/named/2.0.192.in-addr.arpa.zone 파일은 영역 파일입니다. 이 예에서와 같이 상대 경로를 설정하면 이 경로는 options 문의 디렉터리에 설정한 디렉터리를 기준으로 합니다.
   • 모든 호스트는 이 영역을 쿼리할 수 있습니다. 또는 IP 범위 또는 BIND ACL(액세스 제어 목록) nickname을 지정하여 액세스를 제한합니다.
   • 호스트를 통해 영역을 전송할 수 없습니다. 보조 서버를 설정하고 보조 서버의 IP 주소에 대해서만 영역 전송을 허용합니다.

2. /etc/named.conf 파일의 구문을 확인합니다.

   # named-checkconf

   명령이 출력을 표시하지 않으면 구문이 올바른지.

3. 예를 들어 다음 콘텐츠를 사용하여 /var/named/2.0.192.in-addr.arpa.zone 파일을 생성합니다.

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   이 영역 파일:

   • 리소스 레코드의 기본 TTL(Time-to-live) 값을 8시간으로 설정합니다. h for hour과 같은 시간 접미사가 없으면 BIND에서 값을 초로 해석합니다.
   • 영역에 대한 세부 정보와 필수 SOA 리소스 레코드가 포함되어 있습니다.
   • ns1.example.com 을 이 역방향 영역에 대한 권한 있는 DNS 서버로 설정합니다. 작동하려면 영역에 하나 이상의 이름 서버(NS) 레코드가 필요합니다. 그러나 RFC 1912를 준수하려면 두 개 이상의 이름 서버가 필요합니다.
   • 192.0. 2.1 및 19 2.0.2.30 주소에 대한 포인터(PTR) 레코드를 설정합니다.

4. 명명 된 그룹만 읽을 수 있도록 영역 파일에서 보안 권한을 설정합니다.

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

5. /var/named/2.0.192.in-addr.arpa.zone 파일의 구문을 확인합니다.

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone
   zone 2.0.192.in-addr.arpa/IN: loaded serial 2022070601
   OK

6. BIND를 다시 로드합니다.

   # systemctl reload named

   변경 루트 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. 선택 사항: /etc/named.conf 파일에서 영역 파일의 경로를 식별합니다.

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   영역 정의의 file 문에서 영역 파일 의 경로를 찾습니다. 상대 경로는 options 문의 디렉터리에 설정된 디렉터리를 기준으로 합니다.

2. 영역 파일을 편집합니다.

   1. 필요한 변경을 수행합니다.

   2. 권한 시작(SOA) 레코드의 일련 번호를 늘립니다.

      중요

      일련 번호가 이전 값과 같거나 낮은 경우 보조 서버는 영역의 사본을 업데이트하지 않습니다.

3. 영역 파일의 구문을 확인합니다.

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022062802
   OK

4. BIND를 다시 로드합니다.

   # systemctl reload named

   변경 루트 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

절차

1. /etc/named.conf 파일을 편집하고 DNSSEC를 활성화할 영역에 dnssec-policy default; 를 추가합니다.

   zone "example.com" {
       ...
       dnssec-policy default;
   };

2. BIND를 다시 로드합니다.

   # systemctl reload named

   변경 루트 환경에서 BIND를 실행하는 경우 systemctl reload named-chroot 명령을 사용하여 서비스를 다시 로드합니다.

3. BIND에서는 공개 키를 /var/named/K <zone_name > .+ <algorithm> + <key_ID > .key 파일에 저장합니다. 이 파일을 사용하여 영역의 공개 키를 상위 영역에 필요한 형식으로 표시합니다.

   • DS 레코드 형식:

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key
     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 형식:

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key
     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. 영역의 공개 키를 상위 영역에 추가하도록 요청합니다. 이를 수행하는 방법에 대한 자세한 내용은 도메인 공급자 또는 레지스트리에 문의하십시오.

검증

1. DNSSEC 서명을 활성화한 영역에서 레코드에 대한 자체 DNS 서버를 쿼리합니다.

   # dig +dnssec +short @localhost A www.example.com
   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   이 예에서는 BIND가 동일한 호스트에서 실행되고 localhost 인터페이스의 쿼리에 응답하는 것으로 가정합니다.

2. 공개 키가 상위 영역에 추가되고 다른 서버로 전파된 후 서버가 서명된 영역에 대한 쿼리에 인증된 데이터(ad) 플래그를 설정하는지 확인합니다.

   #  dig @localhost example.com +dnssec
   ...
   ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...