2. 构建DNS集群

DNS是什么

DNS（Domain Name System，域名系统），是互联网上存储域名和IP映射关系的一个分布式数据库，他负责把域名转换为IP地址，或IP转换为域名，工作于OSI应用层之上，DNS运行于UDP/TCP的53端口，其中，负责提供域名解析的为UDP协议的53端口，负责DNS服务器之间的区域传送采用TCP的53端口。

BIND

BIND（Berkeley Internet Name Domain）是DNS协议的开源实现。由两部分组成。

域名服务器（Name Server）：
提供域名解析服务。
解析器(Resolver):
负责发起查询和向调用他的应用返回IP地址或者别名等消息。

DNS服务器的分类

权威域名服务器
负责授权域下面的域名解析服务，由上级权威域名服务器使用NS记录进行授权。
按照授权的层级划分，最多127层：
1）根域
使用.表示，通常在浏览器输入时省略。负责对.com,.cn,.org等顶级域进行授权，全球13个逻辑根服务器。
2）顶级域
类似于.com,.cn,.org
3）二级域
sina.com,baidu.com,aliyun.com

主DNS：
每个区域名字服务器，保存着本区域的正式数据。
从DNS:
通过“区域传送”操作，通过主服务器上获取它的数据。

缓存域名服务器
通过依次查询根域-顶级域-二级域的方式来解析dns条目，同时根据DNS条目的TTL值进行缓存。
转发域名服务器
在接收查询请求时，不向根发起请求，而是转发到指定的上级DNS服务器，而且不进行任何缓存，仅转发。

权威应答：由直接负责的DNS服务器返回解析。
非权威应答：从缓存中读取记录来回答查询，可能数据已过期。

DNS查询类型

递归查询：

客户端解析器把请求发送给本地DNS服务器；
本地服务器代替客户端，向根域-顶级域-二级域查询，并把最终结果返回给用户。

迭代查询：

客户端向本地DNS发起查询；
本地DNS不直接去帮助客户端查询，而是发给客户端一个可以解析本次请求的DNS服务器的列表，再由客户端再次向这些列表中的DNS发起请求，从而查到结果。

DNS资源记录类型

资源记录的定义格式：

name      [TTL]     IN    RR_TYPE         value

注意：

TTL可以从全局继承；
@可用于引用当前区域的名字
相邻的两条记录其name相同时，后面的可省略；

SOA

Start Of Authority，这种record 放在zone file 一开始的地方，每一个zone只能有一个SOA，而且一定是记录中第一个“记录”，它描述这个zone负责的name server，version number…等资料，以及当slave server 要备份这个zone 时的一些参数。

例：

xiaohou.com.  86400  IN  SOA  xiaohou.com.  root.xiaohou.com.  (
            2017031901     ; serial
            2H             ; refresh
            10M            ; retry
            1W             ; expire
            1D             ; negative answer ttl
                        )

serial:序列号，作为主从更新的依据，主服务器数据库内容发生变化时，其版本号递增；
refresh：从服务器每多久到主服务器检查序列号更新状况；
retry：从服务器从主服务器请求同步解析库失败时，间隔多久再次尝试连接；
expire：过期时长，从服务器始终联系不到主服务器时，多久之后放弃从主服务器同步数据；停止提供服务；
negative answer ttl：否定答案的缓存时长，客户端缓存的时间，设定过长会导致无法立即生效，设定过短导致客户端频繁请求

NS

name server，用来指定操作的DNS服务器名称，需注意的是不可以用IP地址表示。

例：

xiaohou.com.     86400     IN     NS      ns1.xiaohou.com.
xiaohou.com.     86400     IN     NS      ns2.xiaohou.com.

MX

mail exchanger，设定区域中邮件服务器（SMTP）的主机。每一个值前面由一个数字，是该主机邮件传递时的优先次序，此值越低表示有越高的邮件处理优先权，取值范围0-99。

例：

xiaohou.com.      IN     MX  10      ns1.xiaohou.com.
                  IN     MX  20      ns2.xiaohou.com.

A

address，将域名解析到IPv4的IP地址。

例：

www.xiaohou.com.        IN     A    10.0.7.100

AAAA

将域名解析到IPv6的IP位址。

例：

www.xiaohou.com. 86400 IN AAAA 3ffe: :bbb:93:5

PTR

pointer，将IP地址转换成主机的FQDN。

例：

100.7.0.10.in-addr.arpa.      IN  PTR    www.xiaohou.com.

CNAME

canonical name，别名

例：

  blog.xiaohou.com.      IN      CNAME  www.xiaohou.com.

配置DNS服务器（BIND）

环境

IP地址	操作系统	主机名
10.0.7.1	Centos7	主DNS服务器
10.0.7.2	Centos7	从DNS服务器
10.0.7.3	Centos7	子域服务器

程序包：

bind-libs：被bind和bind-utils包中的程序共同用到的库文件；
bind-utils：bind客户端程序集，例如dig, host, nslookup等；
bind：提供的dns server程序、以及几个常用的测试程序；
bind-chroot：选装，让named运行于jail模式下；

rndc：remote name domain controller，默认与bind安装再同一主机，且只能通过127.0.0.1来连接named进程，提供辅助管理功能，服务监听于tcp的953端口。

主节点（10.0.7.1）

安装bind

yum -y install bind-libs bind-utils bind bind-chroot

配置/etc/named.conf

options {
    listen-on port 53 { any; };
    directory     "/var/named";
    dump-file     "data/cache_dump.db";
    zone-statistics yes;
    statistics-file "data/named_stats.txt";
    memstatistics-file "data/named_mem_stats.txt";
    allow-query     { any; };
    //recursion:
    //作为授权域名服务器 no，作为一个递归DNS服务器 yes;
    recursion yes;
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
    empty-zones-enable no;
};

logging {
//错误日志
  channel error_log {
    file "data/error_log" versions 10 size 10m;
    severity warning;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
//查询日志
  channel query_log {
    file "data/query_log" versions 10 size 100m;
    severity info;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  category default {
    error_log;
  };
  category queries {
    query_log;
  };
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

配置/etc/named.rfc1912.zones

//正向解析
zone "xiaohou.com" IN {
        type master;
        file "xiaohou.com.zone";
        allow-update { none; };
        };
//反向解析
zone "7.0.10.in-addr.arpa" IN {
    type master;
    file "10.0.7.arpa.zone";
    allow-update { none; };
};

配置正向区域/var/named/xiaohou.com.zone

$TTL 86400
;资源记录简写时补全的后缀,如果不指定默认为zone中定义的
$ORIGIN xiaohou.com.
@   IN  SOA     ns1.xiaohou.com. root.xiaohou.com. (
        2017031901  ;Serial
        3600        ;Refresh
        1800        ;Retry
        604800      ;Expire
        86400       ;Minimum TTL
)
        IN  NS      ns1.xiaohou.com.
        IN  NS      ns2.xiaohou.com.
        IN  MX  10  mx1
        IN  MX  20  mx2
ns1     IN  A   10.0.7.1
ns2     IN  A   10.0.7.2
@       IN  A   10.0.7.1
www     IN  A   10.0.7.2
mx1     IN  A   10.0.7.3
mx2     IN  A   10.0.7.4

配置反向区域/var/named/10.0.7.arpa.zone

$TTL 1D
@       IN SOA  ns1.xiaohou.com.  root.xiaohou.com. (
                    11      ; serial
                    1H      ; refresh
                    5M      ; retry
                    3M      ; expire
                    10H )   ; minimum
          IN NS   ns1.xiaohou.com.
          IN NS   ns2.xiaohou.com.
1         IN PTR  ns1.xiaohou.com.
2         IN PTR  ns2.xiaohou.com.
3         IN PTR  mx1.xiaohou.com.
4         IN PTR  mx2.xiaohou.com.

启动

systemctl start named
systemctl enable named

如果需要使用chroot启动

/usr/libexec/setup-named-chroot.sh  /var/named/chroot/ on
systemctl stop named
systemctl disable named
systemctl start named-chroot
systemctl enable named-chroot

从节点（10.0.7.2）

安装bind

yum -y install bind-libs bind-utils bind bind-chroot

配置/etc/named.conf

options {
    listen-on port 53 { any; };
    directory     "/var/named";
    dump-file     "data/cache_dump.db";
    statistics-file "data/named_stats.txt";
    memstatistics-file "data/named_mem_stats.txt";
    allow-query     { any; };
    //recursion:
    //作为授权域名服务器 no，作为一个递归DNS服务器 yes;
    recursion yes;
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
    empty-zones-enable no;
};

logging {
  channel error_log {
    file "data/error_log" versions 10 size 10m;
    severity warning;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  channel query_log {
    file "data/query_log" versions 10 size 100m;
    severity info;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  category default {
    error_log;
  };
  category queries {
    query_log;
  };
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

配置/etc/named.rfc1912.zones

zone "xiaohou.com" IN {
        type slave;
        masters { 10.0.7.1; };
        file "slaves/xiaohou.com.zone";
        };
zone "7.0.10.in-addr.arpa" IN {
        type slave;
        masters { 10.0.7.1; };
        file "slaves/10.0.7.arpa.zone";
};

启动

systemctl start named
systemctl enable named

如果需要使用chroot启动

/usr/libexec/setup-named-chroot.sh  /var/named/chroot/ on
systemctl stop named
systemctl disable named
systemctl start named-chroot
systemctl enable named-chroot

子域授权

子域授权，是DNS的分布式的一种实现。在原有的zone上划出一个子域，并给新DNS服务器管理。如果有客户端请求解析在此区域中的域名，则只要找新的子DNS服务器，以便减轻主DNS的压力。

配置主服务器

首先在主域服务器添加子域：

vim /var/named/xiaohou.com.zone

$TTL 86400
$ORIGIN xiaohou.com.
@   IN  SOA     ns1.xiaohou.com. root.xiaohou.com. (
        2017031902  ;Serial
        3600        ;Refresh
        1800        ;Retry
        604800      ;Expire
        86400       ;Minimum TTL
)
        IN  NS      ns1.xiaohou.com.
        IN  NS      ns2.xiaohou.com.
        IN  MX  10  mx1
        IN  MX  20  mx2
ns1     IN  A   10.0.7.1
ns2     IN  A   10.0.7.2
@       IN  A   10.0.7.1
www     IN  A   10.0.7.2
mx1     IN  A   10.0.7.3
mx2     IN  A   10.0.7.4

blog     IN  NS      ns1.blog
ns1.blog IN  A       10.0.7.3

记得修改版本号，保证从服务器获取更新；

重新载入配置

rndc reload

配置子域服务器（10.0.7.3）

安装bind

yum -y install bind-libs bind-utils bind bind-chroot

配置/etc/named.conf

options {
    listen-on port 53 { any; };
    directory     "/var/named";
    dump-file     "data/cache_dump.db";
    statistics-file "data/named_stats.txt";
    memstatistics-file "data/named_mem_stats.txt";
    allow-query     { any; };
    //recursion:
    //作为授权域名服务器 no，作为一个递归DNS服务器 yes;
    recursion yes;
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
    empty-zones-enable no;
};

logging {
  channel error_log {
    file "data/error_log" versions 10 size 10m;
    severity warning;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  channel query_log {
    file "data/query_log" versions 10 size 100m;
    severity info;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  category default {
    error_log;
  };
  category queries {
    query_log;
  };
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

配置/etc/named.rfc1912.zones

zone "blog.xiaohou.com" IN {
        type master;
        file "blog.xiaohou.com.zone";
        allow-update { none; };
        };

配置/var/named/blog.xiaohou.com.zone

$TTL 1D
$ORIGIN blog.xiaohou.com.
@   IN  SOA     ns1.blog.xiaohou.com. root.blog.xiaohou.com. (
        2017031901  ;Serial
        1H          ;Refresh
        10M         ;Retry
        3D          ;Expire
        1D          ;Minimum TTL
)

          IN  NS    ns1
          IN  NS    ns2
ns1       IN  A   10.0.7.3
ns2       IN  A   10.0.7.4
@         IN  A   10.0.7.5
www       IN  A   10.0.7.6
mx1       IN  A   10.0.7.7
mx2       IN  A   10.0.7.8

启动

/usr/libexec/setup-named-chroot.sh  /var/named/chroot/ on
systemctl stop named
systemctl disable named
systemctl start named-chroot
systemctl enable named-chroot

DNS转发

区域转发：

配置在zone段，仅转发对某特定区域的解析请求；

zone  "ZONE_NAME"  IN {
       type  forward;
       forward  first;
       forwarders { 223.5.5.5;223.6.6.6; };
};

forward选项：

first：首先转发；转发器不响应时，自行去迭代查询；
only：只转发；

全局转发：
配置在options段，针对凡本地没有通过zone定义的区域查询请求，通通转给某转发器；

vim /etc/named.conf

options {
     forward  only;
     forwarders  { SERVER_IP; };
};

全局转发（10.0.7.1）

vim /etc/named.conf
options {
        forward  first;
        forwarders  { 223.5.5.5;223.6.6.6; };
};

区域转发（10.0.7.3）

vim /etc/named.rfc1912.zones

zone  "xiaohou.com"  IN {
       type  forward;
       forward  only;
       forwarders { 10.0.7.1; };
};

访问控制ACL

把一个或多个地址归并为一个集合，并通过一个统一的名称调用；

acl acl_name {
     ip;
     net/perlen;
}

四个内置的acl：

none：没有一个主机
any：任意主机
local：本机
localnet：本机的IP同掩码运算后得到的地址

注意：只能先定义，后使用，通常放置在配置文件最前面

访问控制的指令：

allow-query{}：允许查询的主机
allow-transfer{}：允许区域传送
allow-recursion{}：通常定义在全局options段，允许递归的主机
allow-update{}：允许更新区域库的内容，大多数情况为none

配置acl实现访问控制，区域传送只允许slaves定义的主机，所有主机的查询操作都不被允许。

配置主服务器10.0.7.1

vim /etc/named.conf
acl slaves {
     10.0.7.2;
};

vim /etc/named.rfc1912.zones
zone "xiaohou.com" IN {
        type master;
        file "xiaohou.com.zone";
        allow-query { none; };
        allow-transfer { slaves; };
        allow-update { none; };
        };

配置允许递归的主机

vim /etc/named.conf
options {
        recursion yes;
        allow-recursion { 10.0.7.0/24; };
};

视图view

我们一般常用视图拿来构建智能DNS，一个bind服务器可以定义多个view，每个view中可以定义一个或多个zone，每个view用来匹配一组客户端。

view实现智能DNS：
多个view内可能需要对同一区域进行解析，但使用不同通的区域解析文件；

注意： view依据的来源地址并不是客户端的最终地址，而是客户端上配置的DNS节点的地址，如果上海联通的用户配置了北京电信的DNS，那么可能就会被调度到电信节点

用法：

view view_name {
      match-clients { };
}

注意：
一旦启用了view，所有的zone都只能定义在view中；
仅在允许递归请求的客户端所在的view中定义根区域；
客户端请求到达时，自上而下对符合view的客户端列表进行匹配；

配置10.0.7.1主服务器，named.conf

vim  /etc/named.conf
acl slaves {
     10.0.7.2;
};
acl shanghai {
     10.0.7.2;
};
acl beijing {
     10.0.7.3;
};
acl office {
     10.0.0.0/16;
};
options {
    listen-on port 53 { any; };
    directory     "/var/named";
    dump-file     "data/cache_dump.db";
    statistics-file "data/named_stats.txt";
    memstatistics-file "data/named_mem_stats.txt";
    allow-query     { any; };
        //作为授权域名服务器 no;
        //作为一个递归DNS服务器 yes;
    recursion yes;
        allow-recursion { office; };
    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
        empty-zones-enable no;
        forwarders  { 223.5.5.5;223.6.6.6; };
};

logging {
  channel error_log {
    file "data/error_log" versions 10 size 10m;
    severity warning;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  channel query_log {
    file "data/query_log" versions 10 size 100m;
    severity info;
    print-category yes;
    print-severity yes;
    print-time yes;
  };
  category default {
    error_log;
  };
  category queries {
    query_log;
  };
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";

配置10.0.7.1主服务器，named.rfc1912.zones

vim /etc/named.rfc1912.zones
view  shanghai {
      match-clients { shanghai; };
      zone "xiaohou.com" {
          type master;
          file "sh.xiaohou.com.zone";
      };
};

view  beijing {
      match-clients { beijing; };
      zone "xiaohou.com" {
           type master;
           file "bj.xiaohou.com.zone";
      };
};

view  office {
      match-clients { office; };
      zone "localhost.localdomain" IN {
         type master;
      file "named.localhost";
      allow-update { none; };
      };

      zone "localhost" IN {
            type master;
       file "named.localhost";
       allow-update { none; };
      };

     zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
     type master;
    file "named.loopback";
    allow-update { none; };
     };

    zone "1.0.0.127.in-addr.arpa" IN {
       type master;
       file "named.loopback";
       allow-update { none; };
    };

    zone "0.in-addr.arpa" IN {
       type master;
       file "named.empty";
       allow-update { none; };
    };
    zone "xiaohou.com" IN {
        type master;
        file "xiaohou.com.zone";
        allow-update { none; };
        allow-transfer { slaves; };
        allow-query { any; };
    };
    zone "7.0.10.in-addr.arpa" IN {
    type master;
    file "10.0.7.arpa.zone";
    allow-update { none; };
    };
};

区域配置文件，sh.xiaohou.com.zone

vim  /var/named/sh.xiaohou.com.zone
$TTL 86400
$ORIGIN xiaohou.com.
@   IN  SOA     ns1.xiaohou.com. root.xiaohou.com. (
        2017031902  ;Serial
        3600        ;Refresh
        1800        ;Retry
        604800      ;Expire
        86400       ;Minimum TTL
)
        IN  NS      ns1.xiaohou.com.
        IN  NS      ns2.xiaohou.com.
        IN  MX  10  mx1
        IN  MX  20  mx2
ns1     IN  A   10.0.7.1
ns2     IN  A   10.0.7.2
@       IN  A   10.0.7.1
www     IN  A   10.0.7.2
mx1     IN  A   10.0.7.3
mx2     IN  A   10.0.7.4

blog     IN  NS      ns1.blog
ns1.blog IN  A       10.0.7.3

区域配置文件

vim /var/named/bj.xiaohou.com.zone
$TTL 86400
$ORIGIN xiaohou.com.
@   IN  SOA     ns1.xiaohou.com. root.xiaohou.com. (
        2017031902  ;Serial
        3600        ;Refresh
        1800        ;Retry
        604800      ;Expire
        86400       ;Minimum TTL
)
        IN  NS      ns1.xiaohou.com.
        IN  NS      ns2.xiaohou.com.
        IN  MX  10  mx1
        IN  MX  20  mx2
ns1     IN  A   10.0.7.1
ns2     IN  A   10.0.7.2
@       IN  A   172.16.1.17
www     IN  A   172.16.1.18
mx1     IN  A   172.16.1.19
mx2     IN  A   172.16.1.20

blog     IN  NS      ns1.blog
ns1.blog IN  A       10.0.7.3

如何分析用户是移动还是联通，北京还是上海？
答：我们可以使用纯真IP数据库进行解析。

DNS客户端工具使用

dig

用法

 dig [-t type] [@server] [domain] +[no]trace

示例：

dig -t A @10.0.7.1 www.xiaohou.com
dig -t NS @10.0.7.1 www.xiaohou.com
#跟踪解析过程
dig -t A @10.0.7.1 www.biadu.com +trace
#反向解析
dig -x 10.0.7.3 @10.0.7.1
模拟完全区域传送：
dig -t axfr @10.0.7.2 xiaohou.com

rndc

rndc监听于tcp的953端口，用于管理员对dns服务器进行控制

[root@node2 ~]# rndc status
#服务器和软件的版本
version: 9.9.4-RedHat-9.9.4-38.el7_3.2 <id:8f9657aa>
#cpu数量
CPUs found: 2
#工作线程数
worker threads: 2
#upd监听的端口个数
UDP listeners per interface: 2
#zone的个数
number of zones: 8
#debug的级别
debug level: 0
#区域传送
xfers running: 0
xfers deferred: 0
#soa的查询情况
soa queries in progress: 0
#查询日志是否启用
query logging is ON
#递归的客户端
recursive clients: 0/0/1000
#tcp 客户端
tcp clients: 0/100
#服务是否正常
server is up and running


其他选项
reload                             重新装入配置文件和区域
reload zone [class [view]]         重新装入单个区域
refresh zone [class [view]]        安排区域的立即维护
reconfig               仅重新装入配置文件和新区域
stats                  将服务器统计信息写入统计文件中
querylog               切换查询日志
dumpdb                 将高速缓存转储到转储文件 (named_dump.db)
stop                   将暂挂更新保存到主文件并停止服务器
halt                   停止服务器，但不保存暂挂更新
trace                  将调试级别增加一级
trace level            更改调试级别
notrace                将调试级别设置为 0
flush                  刷新服务器的所有高速缓存
flush [view]           为某一视图刷新服务器的高速缓存
status                 显示服务器的状态
restart                重新启动服务器（尚未实现）

bind压测工具

wget ftp://ftp.isc.org/isc/bind9/9.11.0-P3/bind-9.11.0-P3.tar.gz
tar xf bind-9.11.0-P3.tar.gz
cd bind-9.11.0-P3/contrib/queryperf/
./configure && make

编写测试文件

vim  testdns.txt
www.baidu.com A
www.qq.com A
www.xiaohou.com A
www.sina.com A
www.youku.com A
www.aliyun.com A

测试结果

[root@node1 queryperf]# ./queryperf -d testdns.txt  -s 10.0.7.1

DNS Query Performance Testing Tool
Version: $Id: queryperf.c,v 1.12 2007/09/05 07:36:04 marka Exp $

[Status] Processing input data
[Status] Sending queries (beginning with 10.0.7.1)
[Timeout] Query timed out: msg id 1
[Timeout] Query timed out: msg id 4
[Timeout] Query timed out: msg id 5
[Timeout] Query timed out: msg id 6
[Status] Testing complete

Statistics:

  Parse input file:     once
  Ended due to:         reaching end of file

  Queries sent:         6 queries
  Queries completed:    6 queries
  Queries lost:         0 queries
  Queries delayed(?):   0 queries

  RTT max:             4.270617 sec
  RTT min:              0.067555 sec
  RTT average:          2.169086 sec
  RTT std deviation:    2.101550 sec
  RTT out of range:     0 queries

  Percentage completed: 100.00%
  Percentage lost:        0.00%

  Started at:           Tue Mar 21 23:56:27 2017
  Finished at:          Tue Mar 21 23:56:32 2017
  Ran for:              5.000125 seconds

  Queries per second:   1.199970 qps

其他详细的配置可以查看:Bind9 管理员参考手册

DNS监控

系统监控：
CPU，内存，网络IO等监控
named进程监控：
判断named进程是否正常运行
解析服务监控：
使用dig命令进行解析，监控

2. 构建DNS集群

DNS是什么

BIND

DNS服务器的分类

DNS查询类型

DNS资源记录类型

SOA

NS

MX

A

AAAA

PTR

CNAME

配置DNS服务器（BIND）

主节点 （10.0.7.1）

从节点 （10.0.7.2）

子域授权

配置主服务器

配置子域服务器（10.0.7.3）

DNS转发

全局转发（10.0.7.1）

区域转发（10.0.7.3）

访问控制ACL

视图view

DNS客户端工具使用

dig

rndc

bind压测工具

DNS监控

主节点（10.0.7.1）

从节点（10.0.7.2）