1.5. 在 BIND DNS 服务器中配置区

流程

1. 在 /etc/named.conf 文件中添加区定义：

   zone "example.com" {
       type master;
       file "example.com.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   这些设置定义：

   • 此服务器作为 example.com 区域的主服务器 (类型 master)。
   • /var/named/example.com.zone 文件是区域文件。如果您设置了相对路径，如本例中所示，这个路径相对于您在 options 语句中的目录中创建的 directory 相对。
   • 任何主机都可以查询此区域。另外，还可指定 IP 范围或 BIND 访问控制列表 (ACL) 别名来限制访问。
   • 没有主机可以传输区域。仅在设置次要服务器并且仅为次要服务器的 IP 地址时才允许区域传送。

2. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

3. 使用以下内容创建 /var/named/example.com.zone 文件：

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
                     IN MX   10 mail.example.com.
   
   www               IN A    192.0.2.30
   www               IN AAAA 2001:db8:1::30
   ns1               IN A    192.0.2.1
   ns1               IN AAAA 2001:db8:1::1
   mail              IN A    192.0.2.20
   mail              IN AAAA 2001:db8:1::20

   这个区域文件：

   • 将资源记录的默认生存时间 (TTL) 值设置为 8 小时。如果没有时间后缀（例如没有使用 h 指定小时），BIND 会将该值解析为秒。
   • 包含所需的 SOA 资源记录，以及有关该区域的详细信息。
   • 将 ns1.example.com 设置为此区域的权威 DNS 服务器。要正常工作，区域需要至少一个域名服务器 (NS) 记录。但是，若要与 RFC 1912 兼容，您需要至少有两个域名服务器。
   • 将 mail.example.com 设置为 example.com 域的邮件交换器 (MX)。主机名前面的数字值是记录的优先级。较低值的条目具有更高的优先级。
   • 设置 www.example.com 的 IPv4 和 IPv6 地址、mail.example.com 和 ns1.example.com。

4. 在区域文件上设置安全权限，仅允许 named 组读取它：

   # chown root:named /var/named/example.com.zone
   # chmod 640 /var/named/example.com.zone

5. 验证 /var/named/example.com.zone 文件的语法：

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022070601
   OK

6. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 在 /etc/named.conf 文件中添加区定义：

   zone "2.0.192.in-addr.arpa" {
       type master;
       file "2.0.192.in-addr.arpa.zone";
       allow-query { any; };
       allow-transfer { none; };
   };

   这些设置定义：

   • 此服务器作为 2.0.192.in-addr.arpa 反向区域的主服务器(type master)。
   • /var/named/2.0.192.in-addr.arpa.zone 文件是区域文件。如果您设置了相对路径，如本例中所示，这个路径相对于您在 options 语句中的目录中创建的 directory 相对。
   • 任何主机都可以查询此区域。另外，还可指定 IP 范围或 BIND 访问控制列表 (ACL) 别名来限制访问。
   • 没有主机可以传输区域。仅在设置次要服务器并且仅为次要服务器的 IP 地址时才允许区域传送。

2. 验证 /etc/named.conf 文件的语法：

   # named-checkconf

   如果命令没有显示输出，则语法为正确的。

3. 使用以下内容创建 /var/named/2.0.192.in-addr.arpa.zone 文件：

   $TTL 8h
   @ IN SOA ns1.example.com. hostmaster.example.com. (
                             2022070601 ; serial number
                             1d         ; refresh period
                             3h         ; retry period
                             3d         ; expire time
                             3h )       ; minimum TTL
   
                     IN NS   ns1.example.com.
   
   1                 IN PTR  ns1.example.com.
   30                IN PTR  www.example.com.

   这个区域文件：

   • 将资源记录的默认生存时间 (TTL) 值设置为 8 小时。如果没有时间后缀（例如没有使用 h 指定小时），BIND 会将该值解析为秒。
   • 包含所需的 SOA 资源记录，以及有关该区域的详细信息。
   • 将 ns1.example.com 设置为此反向区域的权威 DNS 服务器。要正常工作，区域需要至少一个域名服务器 (NS) 记录。但是，若要与 RFC 1912 兼容，您需要至少有两个域名服务器。
   • 设置 192.0.2.1 和 192.0.2.30 地址的指针(PTR)记录。

4. 在区域文件上设置安全权限，仅允许 named 组读取它：

   # chown root:named /var/named/2.0.192.in-addr.arpa.zone
   # chmod 640 /var/named/2.0.192.in-addr.arpa.zone

5. 验证 /var/named/2.0.192.in-addr.arpa.zone 文件的语法：

   # named-checkzone 2.0.192.in-addr.arpa /var/named/2.0.192.in-addr.arpa.zone
   zone 2.0.192.in-addr.arpa/IN: loaded serial 2022070601
   OK

6. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 可选：识别 /etc/named.conf 文件中的区文件的路径：

   options {
       ...
       directory       "/var/named";
   }
   
   zone "example.com" {
       ...
       file "example.com.zone";
   };

   您可以在区域定义的 file 指令中找到到区域文件的路径。相对路径相对于 options 语句中的 directory 设置的相对路径。

2. 编辑区域文件：

   1. 进行必要的更改。

   2. 在 SOA 记录中递增序列号。

      重要

      如果序列号等于或低于先前值，次要服务器不会更新其区域的副本。

3. 验证区文件的语法：

   # named-checkzone example.com /var/named/example.com.zone
   zone example.com/IN: loaded serial 2022062802
   OK

4. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

流程

1. 编辑 /etc/named.conf 文件，并将 dnssec-policy default; 添加到您要启用 DNSSEC 的区域：

   zone "example.com" {
       ...
       dnssec-policy default;
   };

2. 重新载入 BIND：

   # systemctl reload named

   如果在 change-root 环境中运行 BIND，请使用 systemctl reload named-chroot 命令来重新加载该服务。

3. BIND 将公钥存储在 /var/named/K<zone_name>.+<algorithm>+<key_ID>.key 文件中。使用此文件显示区的公钥，格式为父区所需的格式：

   • DS 记录格式：

     # dnssec-dsfromkey /var/named/Kexample.com.+013+61141.key
     example.com. IN DS 61141 13 2 3E184188CF6D2521EDFDC3F07CFEE8D0195AACBD85E68BAE0620F638B4B1B027

   • DNSKEY 格式：

     # grep DNSKEY /var/named/Kexample.com.+013+61141.key
     example.com. 3600 IN DNSKEY 257 3 13 sjzT3jNEp120aSO4mPEHHSkReHUf7AABNnT8hNRTzD5cKMQSjDJin2I3 5CaKVcWO1pm+HltxUEt+X9dfp8OZkg==

4. 请求将区域的公钥添加到父区。请联系您的域供应商或 registry，以了解更多有关如何完成此操作的详细信息。

验证

1. 从启用了 DNSSEC 签名的区域查询您自己的 DNS 服务器：

   # dig +dnssec +short @localhost A www.example.com
   192.0.2.30
   A 13 3 28800 20220718081258 20220705120353 61141 example.com. e7Cfh6GuOBMAWsgsHSVTPh+JJSOI/Y6zctzIuqIU1JqEgOOAfL/Qz474 M0sgi54m1Kmnr2ANBKJN9uvOs5eXYw==

   本例假定 BIND 在同一主机上运行并响应 localhost 接口上的查询。

2. 在将公钥添加到父区并传播到其他服务器后，验证服务器是否将查询上的身份验证数据(ad)标记设置为已签名区域：

   #  dig @localhost example.com +dnssec
   ...
   ;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
   ...