管理网络基础架构服务

流程

1. 安装 bind 和 bind-utils 软件包：

   # dnf install bind bind-utils

2. 如果要在 change-root 环境中运行 BIND，请安装 bind-chroot 软件包：

   # dnf install bind-chroot

   请注意，在 SELinux 处于 enforcing 模式（默认设置）的主机上运行 BIND 更为安全。

3. 编辑 /etc/named.conf 文件，并在 options 语句中进行以下更改：

   1. 更新 listen-on 和 listen-on-v6 语句，以指定 BIND 应该侦听的 IPv4 和 IPv6 接口：

      listen-on port 53 { 127.0.0.1; 192.0.2.1; };
      listen-on-v6 port 53 { ::1; 2001:db8:1::1; };

   2. 更新 allow-query 语句，以配置哪些 IP 地址和范围客户端可以查询此 DNS 服务器：

      allow-query { localhost; 192.0.2.0/24; 2001:db8:1::/64; };

   3. 添加 allow-recursion 语句，以定义 BIND 接受递归查询的 IP 地址和范围：

      allow-recursion { localhost; 192.0.2.0/24; 2001:db8:1::/64; };

      警告

      不要在服务器的公共 IP 地址中递归。否则，服务器可能会成为大规模 DNS 扩大攻击的一部分。

   4. 默认情况下，BIND 通过将从根服务器递归查询到权威 DNS 服务器来解析查询。但是，您可以将 BIND 配置为将查询转发到其他 DNS 服务器，如您的供应商之一。在这种情况下，添加一个带有 BIND 应该转发查询的 DNS 服务器的 IP 地址列表的 forwarders 语句：

      forwarders { 198.51.100.1; 203.0.113.5; };

      作为回退行为，如果转发器服务器没有响应，BIND 会以递归方式解析查询。要禁用此行为，请添加 forward only; 语句。

4. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

5. 更新 firewalld 规则，以允许传入的 DNS 流量：

   # firewall-cmd --permanent --add-service=dns
   # firewall-cmd --reload

6. 启动并启用 BIND：

   # systemctl enable --now named

   如果要在 change-root 环境中运行 BIND，请使用 systemctl enable --now named-chroot 命令启用并启动该服务。

验证

1. 使用新设置 DNS 服务器解析域：

   # dig @localhost www.example.org

   ...
   __www.example.org.__    __86400__    IN    A    __198.51.100.34__
   
   ;; Query time: __917 msec__
   ...

   本例假定 BIND 在同一主机上运行并响应 localhost 接口上的查询。

   在第一次查询记录后，BIND 会将条目添加到其缓存中。

2. 从最后一步中重复查询：

   # dig @localhost www.example.org

   __www.example.org.__    __85332__    IN    A    __198.51.100.34__
   
   ;; Query time: __1 msec__
   ...

   由于缓存的条目，进一步对相同记录的请求会更快，直到条目过期为止。

   详情请查看您系统上的 named.conf (5) 手册页和 /usr/share/doc/bind/sample/etc/named.conf 文件。

流程

1. 编辑 /etc/named.conf 文件，并在 logging 语句中添加 category 和 channel 短语，例如：

   logging {
       ...
   
       category notify { zone_transfer_log; };
       category xfer-in { zone_transfer_log; };
       category xfer-out { zone_transfer_log; };
       channel zone_transfer_log {
           file "/var/named/log/transfer.log" versions 10 size 50m;
           print-time yes;
           print-category yes;
           print-severity yes;
           severity info;
        };
   
        ...
   };

   在本示例配置中

   • BIND 将与区域传送相关的消息记录到 /var/named/log/transfer.log。
   • BIND 创建最多 10 个日志文件版本，并在它们达到 50 MB 时轮转它们。
   • category 定义了 BIND 向哪些频道发送类别信息。
   • channel 定义了日志消息的目的地，包括版本数量、最大文件大小以及 BIND 应记录到频道的严重性等级。其他设置，如启用事件的时间戳、类别和严重性，但可用于调试目的。

2. 如果不存在，请创建日志目录，并为该目录上的指定用户授予写入权限：

   # mkdir /var/named/log/
   # chown named:named /var/named/log/
   # chmod 700 /var/named/log/

3. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

4. 重启 BIND：

   # systemctl restart named

   如果在 change-root 环境中运行 BIND，请使用 systemctl restart named-chroot 命令来重启该服务。

流程

1. 编辑 /etc/named.conf 文件并进行以下更改：

   1. 将 acl 语句添加到文件中。例如，要为 127.0.0.1、192.0.2.0/24 和 2001:db8:1::/64 创建名为 internal-networks 的 ACL，请输入：

      acl internal-networks { 127.0.0.1; 192.0.2.0/24; 2001:db8:1::/64; };
      acl dmz-networks { 198.51.100.0/24; 2001:db8:2::/64; };

   2. 在支持它们的语句中使用 ACL 的别名，例如：

      allow-query { internal-networks; dmz-networks; };
      allow-recursion { internal-networks; };

2. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

3. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 在 /etc/named.conf 文件的 options 块中启用 dnstap 和 target 文件：

   options
   {
   # ...
   dnstap { all; }; # Configure filter
   dnstap-output file "/var/named/data/dnstap.bin" versions 2;
   # ...
   };
   # end of options

2. 将 dnstap 过滤器添加到 /etc/named.conf 文件中的 dnstap 块，以指定您要日志的 DNS 流量类型。您可以使用以下过滤器：

   • auth ：权威区域响应或回答。
   • 客户端 ：内部客户端查询或回答。
   • forwarder: 转发查询或来自它的响应。
   • 解析器 ：迭代解析查询或响应。
   • 更新 ：动态区域更新请求。
   • All ：来自上述选项中的任何一个。

   • query 或 response ：如果您没有指定查询或 响应 关键字，dns tap 记录。

     注意

     dnstap 过滤器有几个以分号(;)分开的定义，语法如下： dnstap {(all | auth | client | forwarder | resolver | update)[(query | response)]; …​ };

3. 通过添加额外的参数来更改 dnstap-output 选项，以自定义记录的数据包中 dnstap 工具的行为：

   • size （无限 | <size>）：当其大小达到指定限制时，启用对 dnstap 文件的自动滚动。
   • 版本 （无限 | <integer>）：指定要保留自动滚动的文件数量。

   • 后缀 （递增 | 时间戳）：选择推出文件的命名约定。默认情况下，从 .0 开始递增。但是，您可以通过设置时间戳值来使用 UNIX 时间戳。

     以下示例仅请求 auth 响应、客户端 查询以及动态 更新 的查询和响应：

     Example:
     
     dnstap {auth response; client query; update;};

4. 要应用您的更改，请重启 named 服务：

   # systemctl restart named.service

5. 为活跃日志配置定期推出部署：

   # sudoedit /etc/cron.daily/dnstap

   #!/bin/sh
   rndc dnstap -roll 3
   mv /var/named/data/dnstap.bin.1 /var/log/named/dnstap/dnstap-$(date -I).bin
   
   # use dnstap-read to analyze saved logs
   sudo chmod a+x /etc/cron.daily/dnstap

   • Cron 调度程序只在一天运行一次用户编辑的脚本的内容。
   • 值为 3 的 roll 选项指定 dnstap 最多可以创建三个备份日志文件。
   • 值 3 覆盖 dnstap-output 变量的 version 参数。这个值将备份日志文件的数量限制为 3。此外，此选项会将二进制日志文件移到另一个目录中，并将它重命名为。它永远不会达到 .2 后缀，即使三个备份日志文件已存在。
   • 如果根据大小限制自动滚动二进制日志，您可以跳过这一步。

6. 使用 dnstap-read 工具以人类可读的格式读取和打印输出日志，如 YAML 文件：

   # dnstap-read -p /var/named/data/dnstap.bin

流程

1. 在 /etc/named.conf 文件中添加区定义：

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   这些设置定义：

   • 此服务器是 example.com 区域的主服务器(类型为 master)。
   • /var/named/example.com.zone 文件是区域文件。如果您设置了相对路径，如本例中所示，这个路径相对于您在 options 语句中的目录中创建的 directory 相对。
   • 任何主机都可以查询此区域。但是，您可以指定 IP 范围或 BIND 访问控制列表(ACL)别名来限制访问。
   • 没有主机可以传输区域。仅在设置次要服务器并且仅为次要服务器的 IP 地址时才允许区域传送。

2. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

3. 使用以下内容创建 /var/named/example.com.zone 文件：

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   这个区域文件：

   • 将资源记录的默认生存时间 (TTL) 值设置为 8 小时。如果没有时间后缀（例如没有使用 h 指定小时），BIND 会将该值解析为秒。
   • 具有所需的授权起始(SOA)资源记录，以及有关该区域的详细信息。
   • 将 ns1.example.com 设置为此区域的权威 DNS 服务器。要正常工作，区域需要至少一个域名服务器 (NS) 记录。但是，若要与 RFC 1912 兼容，您需要至少有两个域名服务器。
   • 将 mail.example.com 设置为 example.com 域的邮件交换器 (MX)。主机名前面的数字值是记录的优先级。较低值的条目具有更高的优先级。
   • 设置 www.example.com 的 IPv4 和 IPv6 地址、mail.example.com 和 ns1.example.com。

4. 在区域文件上设置安全权限，仅允许 named 组读取它：

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

5. 验证 /var/named/example.com.zone 文件的语法：

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

6. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 在 /etc/named.conf 文件中添加区定义：

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   这些设置定义：

   • 此服务器是 2.0.192.in-addr.arpa 反向区域的主服务器(类型 master)。
   • /var/named/2.0.192.in-addr.arpa.zone 文件是区域文件。如果您设置了相对路径，如本例中所示，这个路径相对于您在 options 语句中的目录中创建的 directory 相对。
   • 任何主机都可以查询此区域。但是，您可以指定 IP 范围或 BIND 访问控制列表(ACL)别名来限制访问。
   • 没有主机可以传输区域。仅在设置次要服务器并且仅为次要服务器的 IP 地址时才允许区域传送。

2. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

3. 使用以下内容创建 /var/named/2.0.192.in-addr.arpa.zone 文件：

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   这个区域文件：

   • 将资源记录的默认生存时间 (TTL) 值设置为 8 小时。如果没有时间后缀（例如没有使用 h 指定小时），BIND 会将该值解析为秒。
   • 具有所需的授权起始(SOA)资源记录，以及有关该区域的详细信息。
   • 将 ns1.example.com 设置为此反向区域的权威 DNS 服务器。要正常工作，区域需要至少一个域名服务器 (NS) 记录。但是，若要与 RFC 1912 兼容，您需要至少有两个域名服务器。
   • 设置 192.0.2.1 和 192.0.2.30 地址的指针(PTR)记录。

4. 在区域文件上设置安全权限，仅允许 named 组读取它：

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

5. 验证 /var/named/2.0.192.in-addr.arpa.zone 文件的语法：

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone

   zone __2.0.192.in-addr.arpa/IN__: loaded serial __2022070601__
   OK

6. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 可选：识别 /etc/named.conf 文件中的区文件的路径：

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   您可以在区域定义的 file 指令中找到到区域文件的路径。相对路径相对于 options 语句中的 directory 设置的相对路径。

2. 编辑区域文件：

   1. 进行必要的更改。

   2. 在 SOA 记录中递增序列号。

      重要

      如果序列号等于或小于前一个值，则次要服务器不会更新其区域的副本。

3. 验证区文件的语法：

   # named-checkzone example.com /var/named/example.com.zone

   zone __example.com/IN__: loaded serial __2022062802__
   OK

4. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 在 /etc/named.conf 文件中添加 dnssec-policy default; 和 inline-signing yes;，以便为区启用 DNSSEC ：

   zone "example.com" {
       ...
       dnssec-policy default;
       inline-signing yes;
   };

2. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

3. BIND 将公钥存储在 /var/named/K<zone_name>.+<algorithm>+<key_ID>.key 文件中。使用此文件显示区的公钥，格式为父区所需的格式：

   • DS 记录格式：

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key

     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 格式：

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key

     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. 请求将区域的公钥添加到父区。联系您的域供应商或 registry 以了解更多有关如何执行此操作的详细信息。

验证

1. 从启用了 DNSSEC 签名的区域查询您自己的 DNS 服务器：

   # dig +dnssec +short @localhost A www.example.com

   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   本例假定 BIND 在同一主机上运行并响应 localhost 接口上的查询。

2. 在服务器将公钥添加到父区并将其传播到其他服务器后，验证服务器是否将查询上的身份验证数据(ad)标记设置为已签名区：

   # dig @localhost example.com +dnssec

   ...
   ;; flags: qr rd ra **ad**; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...

流程

1. 在现有主服务器中：

   1. 生成共享密钥并将其附加到 /etc/named.conf 文件中：

      # tsig-keygen example-transfer-key | tee -a /etc/named.conf

      key "__example-transfer-key__" {
              algorithm hmac-sha256;
              secret "__q7ANbnyliDMuvWgnKOxMLi313JGcTZB5ydMW5CyUGXQ=__";
      };

      输出附加到 /etc/named.conf 文件。

      您稍后会在次要服务器上需要此输出。

   2. 在 allow-transfer 语句中，在 /etc/named.conf 文件中配置区，以要求密钥进行传输：

      zone "example.com" {
          ...
          allow-transfer { key example-transfer-key; };
      };

      定义服务器必须具有 example-transfer-key 语句中指定的密钥来传输区域。但是，您可以在 allow-transfer 语句中使用 BIND 访问控制列表(ACL)别名。

   3. 配置区以显示二级服务器 IP 地址：

      zone "example.com" {
          ...
          also-notify { 192.0.2.2; 2001:db8:1::2; };
      };

      默认情况下，在更新区后，BIND 会通知在这个区中具有名称服务器(NS)记录的所有名称服务器。如果您不计划将次要服务器的 NS 记录添加到区，您可以配置 BIND 通知这个服务器。为此，请将这个次要服务器的 IP 地址添加 also-notify 声明到区：

   4. 验证 /etc/named.conf 文件的语法：

      # named-checkconf

      如果命令没有显示输出，则语法为正确的。

   5. 重新载入 BIND：

      # systemctl reload named

      如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

2. 在未来的次要服务器中：

   1. 将共享密钥块添加到 /etc/named.conf （与主服务器相同）：

      key "example-transfer-key" {
              algorithm hmac-sha256;
              secret "q7ANbnyliDMuvWgnKOxMLi313JGcTZB5ydMW5CyUGXQ=";
      };

      1. 在 /etc/named.conf 文件中添加 second zone 定义：

         zone "example.com" {
             type slave;
             file "slaves/example.com.zone";
             allow-query { any; };
             allow-transfer { none; };
             masters {
               192.0.2.1 key example-transfer-key;
               2001:db8:1::1 key example-transfer-key;
             };
         };

         • 此服务器是 example.com 区域的次要服务器 (type slave)。
         • /var/named/slaves/example.com.zone 文件是区域文件。如果您设置了相对路径，如本例中所示，这个路径相对于您在 options 语句中的目录中创建的 directory 相对。要隔离此服务器从属的区域文件，您可以将它们存储在 /var/named/slaves/ 目录中。
         • 任何主机都可以查询此区域。但是，您可以指定 IP 范围或 ACL 别名来限制访问。
         • 没有主机可以从该服务器传输区域。
         • 此区域的主服务器的 IP 地址是 192.0.2.1 和 2001:db8:1::2。但是，您可以指定 ACL 别名。此次要服务器将使用名为 example-transfer-key 的键向主服务器进行身份验证。

   2. 验证 /etc/named.conf 文件的语法：

      # named-checkconf

   3. 重新载入 BIND：

      # systemctl reload named

      如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

3. 可选： 将新次要服务器的 NS 记录添加到主服务器上的区域文件中。

流程

1. 编辑 /etc/named.conf 文件，将 response-policy 定义添加到 options 语句中：

   options {
       ...
   
       response-policy {
           zone "rpz.local";
       };
   
       ...
   }

   您可以在 response-policy 的 zone 语句中为 RPZ 设置自定义名称。但是，在下一步中，您必须在区定义中使用相同的名称。

2. 为您在最后一步中设置的 RPZ 添加 区定义 ：

   zone "rpz.local" {
       type master;
       file "rpz.local";
       allow-query { localhost; 192.0.2.0/24; 2001:db8:1::/64; };
       allow-transfer { none; };
   };

   • 此服务器是名为 rpz.local 的 RPZ 的主服务器 (type master)。
   • /var/named/rpz.local 文件是区域文件。在本例中，如果您设置了相对路径，此路径相对于您在 options 语句中的 directory 中设置的目录。
   • allow-query 中定义的任何主机都可以查询此 RPZ。但是，指定 IP 范围或 BIND 访问控制列表(ACL)别名来限制访问。
   • 没有主机可以传输区域。仅在设置次要服务器并且仅为次要服务器的 IP 地址时才允许区域传送。

3. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

4. 使用以下内容创建 /var/named/rpz.local 文件：

   $TTL 10m
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1h         ; refresh period
                             1m         ; retry period
                             3d         ; expire time
                             1m )       ; minimum TTL
   
                    IN NS    ns1.example.com.
   
   example.org      IN CNAME .
   pass:[].example.org IN CNAME .example.net IN CNAME rpz-drop.pass:[].example.net    IN CNAME rpz-drop.

   这个区域文件：

   • 将资源记录的默认生存时间 (TTL) 值设置为 10 分钟。如果没有时间后缀（例如没有使用 h 指定小时），BIND 会将该值解析为秒。
   • 具有所需的 SOA 资源记录，以及有关该区域的详细信息。
   • 将 ns1.example.com 设置为此区域的权威 DNS 服务器。要正常工作，区域需要至少一个域名服务器 (NS) 记录。但是，若要与 RFC 1912 兼容，您需要至少有两个域名服务器。
   • 将查询的 NXDOMAIN 错误返回给该域中的 example.org 和主机。
   • 将查询丢弃至此域中的 example.net 和主机。

5. 验证 /var/named/rpz.local 文件的语法：

   # named-checkzone rpz.local /var/named/rpz.local

   zone __rpz.local/IN__: loaded serial __2022070601__
   OK

6. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

验证

1. 尝试解析将 RPZ 配置为返回 NXDOMAIN 错误的 example.org 域中的主机：

   # dig @localhost www.example.org

   ...
   ;; ->>HEADER<<- opcode: QUERY, status: **NXDOMAIN**, id: 30286
   ...

   本例假定 BIND 在同一主机上运行并响应 localhost 接口上的查询。

2. 尝试解析 RPZ 配置为丢弃查询的 example.net 域中的主机：

   # dig @localhost www.example.net

   ...
   ;; connection timed out; no servers could be reached
   ...

流程

1. 安装 unbound 软件包：

   # dnf install unbound

2. 编辑 /etc/unbound/unbound.conf 文件，并在 server 子句中进行以下更改：

   1. 添加 interface 参数来配置 unbound 服务侦听查询的 IP 地址，例如：

      interface: 127.0.0.1
      interface: 192.0.2.1
      interface: 2001:db8:1::1

      使用这些设置时，unbound 仅侦听指定的 IPv4 和 IPv6 地址。

      将接口限制到特定接口，可防止客户端从未经授权的网络（如互联网）向这个 DNS 服务器发送查询。

   2. 添加 access-control 参数，以配置客户端可以从哪些子网查询 DNS 服务，例如：

      access-control: 127.0.0.0/8 allow
      access-control: 192.0.2.0/24 allow
      access-control: 2001:db8:1::/64 allow

3. 创建用于远程管理 unbound 服务的私钥和证书：

   # systemctl restart unbound-keygen

   注意

   如果您跳过这一步，在下一步中验证配置将会报告缺少的文件。如果文件丢失，unbound 服务自动创建这些文件。

4. 验证配置文件：

   # unbound-checkconf

   unbound-checkconf: no errors in /etc/unbound/unbound.conf

5. 更新 firewalld 规则，以允许传入的 DNS 流量：

   # firewall-cmd --permanent --add-service=dns
   # firewall-cmd --reload

6. 启用并启动 unbound 服务：

   # systemctl enable --now unbound

验证

1. 查询在 localhost 接口上侦听的 unbound DNS 服务器以解析域：

   # dig @localhost www.example.com

   ...
   __www.example.com.__    __86400__    IN    A    __198.51.100.34__
   
   ;; Query time: __330 msec__
   ...

   在第一次查询记录后，unbound 会将条目添加到其缓存中。

2. 重复最后一个查询：

   # dig @localhost www.example.com

   ...
   __www.example.com.__    __85332__    IN    A    __198.51.100.34__
   
   ;; Query time: __1 msec__
   ...

   由于对条目进行了缓存，进一步对相同记录的请求会非常快，直到条目过期为止。

   详情请查看您系统上的 unbound.conf (5) 手册页。

步骤

1. 如果要配置 IPv4 网络：

   1. 编辑 /etc/kea/kea-dhcp4.conf 文件，并使用以下配置：

      {
        "Dhcp4": {
          // Global settings that apply to all subnets unless overridden.
          "valid-lifetime": 86400,
          "option-data": [
            {
              "name": "domain-name",
      	"data": "example.com"
            },
            {
              "name": "domain-name-servers",
      	"data": "192.0.2.53"
            }
          ],
      
          "interfaces-config": {
            "interfaces": [ "enp1s0" ]
          },
      
          "subnet4": [
            // A definition of a subnet that is directly connected to the server
            {
              "id": 1,
              "subnet": "192.0.2.0/24",
              "pools": [
                { "pool": "192.0.2.20  - 192.0.2.100" },
                { "pool": "192.0.2.150 - 192.0.2.200" }
              ],
              "option-data": [
                { "name": "routers", "data": "192.0.2.1" }
              ],
            },
      
            // A definition of a remote subnet served through a DHCP relay
            {
              "id": 2,
              "subnet": "198.51.100.0/24",
              "pools": [
                { "pool": "198.51.100.20 - 198.51.100.100" }
              ],
      	// Allowed DHCP relay agents
      	"relay": {
                "ip-addresses": [ "198.51.100.5" ]
              },
              "option-data": [
                { "name": "routers", "data": "198.51.100.1" },
      	  { "name": "domain-name-servers", "data": "198.51.100.53" }
              ]
            }
          ]
        }
      }

      这个示例将 Kea 配置为提供两个子网：一个直接连接到服务器，一个远程配置为使用 DHCP 转发代理。

      interfaces

      定义 Kea 侦听 DHCP 请求的网络接口。如果子网没有直接连接到服务器，请列出接口，使子网能够通过这些接口访问。

      id

      如果定义了多个子网，请为子网定义唯一的整数。

      子网

      以无类别域间路由(CIDR)格式定义子网。

      池

      定义 IP 地址范围，以便 Kea 可以为客户端分配地址。

      option-data

      定义发送到客户端的 DHCP 选项，如默认网关和 DNS 服务器。按子网选项设置覆盖全局设置。

      relay

      定义 DHCP 转发代理的 IP 地址。虽然此设置对于远程子网是可选的，但它提高了将转发请求限制为可信代理的安全性。不要将此参数用于直接连接的子网。

   2. 验证配置文件的语法：

      # kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 更新 firewalld 规则，以允许传入的 DHCPv4 流量：

      # firewall-cmd --permanent --add-service=dhcp
      # firewall-cmd --reload

   4. 启用并启动服务：

      # systemctl enable --now kea-dhcp4

2. 如果要配置 IPv6 网络：

   1. 编辑 /etc/kea/kea-dhcp6.conf 文件，并使用以下配置：

      {
        "Dhcp6": {
          // Global settings that apply to all subnets unless overridden.
          "valid-lifetime": 86400,
          "option-data": [
            {
              "name": "domain-name",
      	"data": "example.com"
            },
            {
              "name": "dns-servers",
      	"data": "2001:db8:0:1::53"
            }
          ],
      
          "interfaces-config": {
            "interfaces": [ "enp1s0" ]
          },
      
          "subnet6": [
            // A definition of a subnet that is directly connected to the server
            {
              "id": 1,
              "subnet": "2001:db8:0:1::/64",
              "pools": [
                { "pool": "2001:db8:0:1::1000 - 2001:db8:0:1::2000" },
                { "pool": "2001:db8:0:1::4000 - 2001:db8:0:1::5000" }
              ],
            },
      
            // A definition of a remote subnet served through a DHCP relay
            {
              "id": 2,
              "subnet": "2001:db8:0:2::/64",
              "pools": [
                { "pool": "2001:db8:0:2::1000 - 2001:db8:0:2::2000" }
              ],
      	// Allowed DHCP relay agents
      	"relay": {
                "ip-addresses": [ "2001:db8:0:2::5" ]
              },
              "option-data": [
      	  { "name": "dns-servers", "data": "2001:db8:0:1::53" }
              ]
            }
          ]
        }
      }

      这个示例将 Kea 配置为提供两个子网：一个直接连接到服务器，一个远程配置为使用 DHCP 转发代理。

   2. 验证配置文件的语法：

      # kea-dhcp6 -t /etc/kea/kea-dhcp6.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 更新 firewalld 规则，以允许传入的 DHCPv6 流量：

      # firewall-cmd --permanent --add-service=dhcpv6
      # firewall-cmd --reload

   4. 启用并启动服务：

      # systemctl enable --now kea-dhcp6

验证

1. 在客户端上配置使用 DHCP 的网络连接。详情请参阅 使用 nmcli配置以太网连接。
2. 将客户端连接到网络。

3. 检查客户端是否从 DHCP 服务器收到 IP 地址：

   # ip address show <interface>

   2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 52:54:00:17:b8:b6 brd ff:ff:ff:ff:ff:ff
       inet 192.0.2.20/24 brd 192.0.2.255 scope global noprefixroute enp1s0
          valid_lft forever preferred_lft forever
       inet6 2001:db8:1::1000/64 scope global noprefixroute
          valid_lft forever preferred_lft forever

步骤

1. 要配置 IPv4 网络，请编辑 /etc/kea/kea-dhcp4.conf 文件：

   1. 将 loggers 配置添加到 Dhcp4 参数：

      {
        "Dhcp4": {
          ...,
          "loggers":[
            {
              "name":"kea-dhcp4",
              "output-options":[
                 {
                  "output":"kea-dhcp4.log",
                  "maxsize":104857600,
                  "maxver":5
                 }
              ],
              "severity":"INFO",
            }
          ],
          ...

      示例中指定的设置有：

      name

      定义 日志记录器 设置应用到的二进制名称。

      output

      在 /var/lib/kea/ 目录中设置日志文件名称。

      maxsize

      在 Kea 轮转日志文件前设置日志文件的最大大小。默认值为 10240000 字节。

      maxver

      设置 Kea 将保留的最大轮转版本数量。请注意，maxsize 值小于 204800 字节会禁用轮转。

      严重性

      指定记录的消息类别。您可以设置以下值之一： NONE、FATAL、ERROR、WARN、INFO 和 DEBUG。Kea 仅记录配置的严重性及更高等级的信息。

   2. 验证配置文件的语法：

      # kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 重启 kea-dhcp4 服务：

      # systemctl restart kea-dhcp4

2. 要配置 IPv6 网络，请编辑 /etc/kea/kea-dhcp6.conf 文件：

   1. 将 loggers 配置添加到 Dhcp6 参数：

      {
        "Dhcp6": {
          ...,
          "loggers":[
            {
              "name":"kea-dhcp6",
              "output-options":[
                 {
                  "output":"kea-dhcp6.log",
                  "maxsize":104857600,
                  "maxver":5
                 }
              ],
              "severity":"INFO",
            }
          ],
          ...

   2. 验证配置文件的语法：

      # kea-dhcp6 -t /etc/kea/kea-dhcp6.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 重启 kea-dhcp6 服务：

      # systemctl restart kea-dhcp6

步骤

1. 如果要配置 IPv4 网络：

   1. 编辑 /etc/kea/kea-dhcp4.conf 文件，并在 subnet4 参数中添加保留：

      {
        "Dhcp4": {
          "subnet4": [
            {
              "subnet": "192.0.2.0/24",
      	...,
              "reservations": [
                {
                  "hw-address": "52:54:00:72:2f:6e",
                  "ip-address": "192.0.2.130"
                }
              ],
      	...

      这个示例将 Kea 配置为始终将 192.0.2.130 IP 地址分配给 MAC 地址为 52:54:00:72:2f:6e 的主机。

      如需了解更多示例，请参阅 kea-doc 软件包提供的 /usr/share/doc/kea/examples/kea4/reservations.json 文件。

   2. 验证配置文件的语法：

      # kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 重启 kea-dhcp4 服务：

      # systemctl restart kea-dhcp4

2. 如果要配置 IPv6 网络：

   1. 编辑 /etc/kea/kea-dhcp6.conf 文件，并在 subnet6 参数中添加保留：

      {
        "Dhcp6": {
          "subnet6": [
            {
              "subnet": "2001:db8:0:1::/64",
        ...,
              "reservations": [
                {
                  "hw-address": "52:54:00:72:2f:6e",
                  "ip-address": "2001:db8:0:1::99"
                }
              ];
        ...

      这个示例将 Kea 配置为始终将 2001:db8:0:1::99 IP 地址分配给 MAC 地址为 52:54:00:72:2f:6e 的主机。

      如需了解更多示例，请参阅 kea-doc 软件包提供的 /usr/share/doc/kea/examples/kea6/reservations.json 文件。

   2. 验证配置文件的语法：

      # kea-dhcp6 -t /etc/kea/kea-dhcp6.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   3. 重启 kea-dhcp6 服务：

      # systemctl restart kea-dhcp6

步骤

1. 要配置 IPv4 网络，请编辑 /etc/kea/kea-dhcp4.conf 文件

   1. 将客户端类添加到 Dhcp4 参数中：

      {
        "Dhcp4": {
          ...
          "client-classes": [
            {
                "name": "VoIP-Phones",
                "test": "substring(pkt4.mac, 0, 3) == 0x525400"
            },
            {
                "name": "Others",
                "test": "not member('VoIP-Phones')"
            }
          ],
          ...

      在本例中，以 52:54:00 开头的 MAC 地址的设备与 VoIP-Phones 客户端类匹配。Others 客户端类包含与规则不匹配的设备。

   2. 为 池 定义分配客户端类：

      {
        "Dhcp4": {
          "subnet4": [
            {
              "subnet": "192.0.2.0/24",
      	"pools": [
                {
                  "pool": "192.0.2.20  - 192.0.2.100",
                  "client-class": "Others"
                },
                {
                  "pool": "192.0.2.150 - 192.0.2.200",
                  "client-class": "VoIP-Phones"
                }
              ],
              ...

      根据主机匹配的客户端类，Kea 从对应的池中分配 IP 地址。

   3. 验证配置文件的语法：

      # kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   4. 重启 kea-dhcp4 服务：

      # systemctl restart kea-dhcp4

2. 要配置 IPv6 网络，请编辑 /etc/kea/kea-dhcp6.conf 文件：

   1. 将客户端类添加到 Dhcp6 参数中：

      {
        "Dhcp6": {
          ...
          "client-classes": [
            {
                "name": "VoIP-Phones",
                "test": "option[16].exists and (substring(option[16].hex, 0, 8) == '00000009')",
            },
            {
                "name": "Others",
                "test": "not member('VoIP-Phones')"
            }
          ],
          ...

      在本例中，发送 DHCPv6 供应商类选项（选项 16）的设备，十六进制值以 00000009 开头，与 VoIP-Phones 客户端类匹配。Others 客户端类包含与规则不匹配的设备。

   2. 为 池 定义分配客户端类：

      {
        "Dhcp6": {
          "subnet6": [
            {
              "subnet": "2001:db8:0:1::/64",
      	"pools": [
                {
                  "pool": "2001:db8:0:1::1000 - 2001:db8:0:1::2000",
                  "client-class": "Others"
                },
                {
                  "pool": "2001:db8:0:1::4000 - 2001:db8:0:1::5000",
                  "client-class": "VoIP-Phones"
                }
              ],
              ...

      根据主机匹配的客户端类，Kea 从对应的池中分配 IP。

   3. 验证配置文件的语法：

      # kea-dhcp6 -t /etc/kea/kea-dhcp6.conf

      如果命令返回 Syntax 检查失败，请修复报告中显示的错误。

   4. 重启 kea-dhcp6 服务：

      # systemctl restart kea-dhcp6

步骤

1. 安装 radvd 软件包：

   # dnf install radvd

2. 编辑 /etc/radvd.conf 文件，以使用以下参数配置 radvd ：

   interface enp1s0
   {
     AdvSendAdvert on;
     AdvManagedFlag on;
     AdvOtherConfigFlag on;
   
     prefix 2001:db8:0:1::/64 {
     };
   };

   • 在 enp1s0 接口上为 2001:db8:0:1::/64 子网发送路由器公告消息。
   • AdvManagedFlag on 标志定义客户端应该从 DHCP 服务器接收 IP 地址。
   • AdvOtherConfigFlag 标志定义客户端也应该从 DHCP 服务器接收非地址信息。

3. 启用 radvd 以在系统引导时自动启动：

   # systemctl enable --now radvd

   详情请查看系统中的 radvd.conf (5) 手册页和 /usr/share/doc/radvd/radvd.conf.example 文件。