第 4 章 使用加密 DNS 保护系统 DNS 流量

先决条件

• 以 # 命令提示符开头的命令需要 sudo 提供的管理特权或 root 用户访问权限。有关如何配置 sudo 访问权限的详情，请参考 启用非特权用户，以运行某些命令。
• 您已从产品下载页面下载了最小安装引导 ISO 镜像。
• 如果您需要自定义 CA 捆绑包，那么您需要准备好了一个带有 %certificate 部分的 Kickstart 文件。
• lorax 软件包已安装。

验证

• 验证您的 eDNS 配置：

  $ dnsconfd status

  预期输出：

  Running cache service:
  unbound
  Resolving mode: exclusive
  Config present in service:
  {
      ".": [
          "dns+tls://198.51.100.143#dot.dns.example.com"
      ]
  }
  State of Dnsconfd:
  RUNNING
  Info about servers: [
      {
          "address": "198.51.100.143",
          "port": 853,
          "name": "dot.dns.example.com",
          "routing_domains": [
              "."
          ],
          "search_domains": [],
          "interface": null,
          "protocol": "dns+tls",
          "dnssec": true,
          "networks": [],
          "firewall_zone": null
      }
  ]

• 使用 nslookup 验证 DNS 服务器是否有响应：

  $ nslookup <domain_name>

  将 <domain_name> 替换为您要查询的域。

故障排除

• 在 unbound 中启用详细日志记录：

  # unbound-control verbosity 5

• 查看相关服务的日志：

  $ journalctl -xe -u <service_name>

  将 <service_name> 替换为 NetworkManager、dnsconfd 或 unbound。