BIND（Berkeley Internet Name Domain，伯克利因特网名称域）服务是全球范围内使用最广泛、最安全可靠且高效的域名解析服务程序。DNS域名解析服务作为互联网基础设施服务，其责任之重可想而知，因此建议大家在生产环境中安装部署bind服务程序时加上chroot（俗称牢笼机制）扩展包，以便有效地限制bind服务程序仅能对自身的配置文件进行操作，以确保整个服务器的安全。

[root@linuxprobe ~]# yum install bind-chroot Loaded plugins: langpacks, product-id, subscription-manager ………………省略部分输出信息……………… Installing: bind-chroot x86_64 32:9.9.4-14.el7 rhel 81 k Installing for dependencies: bind x86_64 32:9.9.4-14.el7 rhel 1.8 M Transaction Summary

1. Install 1 Package (+1 Dependent package)
2. Total download size: 1.8 M
3. Installed size: 4.3 M
4. Is this ok [y/d/N]: y
5. Downloading packages:
6. --------------------------------------------------------------------------------
7. Total 28 MB/s | 1.8 MB 00:00
8. Running transaction check
9. Running transaction test
10. Transaction test succeeded
11. Running transaction
12. Installing : 32:bind-9.9.4-14.el7.x86_64 1/2
13. Installing : 32:bind-chroot-9.9.4-14.el7.x86_64 2/2
14. Verifying : 32:bind-9.9.4-14.el7.x86_64 1/2
15. Verifying : 32:bind-chroot-9.9.4-14.el7.x86_64 2/2
16. Installed:
17. bind-chroot.x86_64 32:9.9.4-14.el7
18. Dependency Installed:
19. bind.x86_64 32:9.9.4-14.el7
20. Complete!

bind服务程序的配置并不简单，因为要想为用户提供健全的DNS查询服务，要在本地保存相关的域名数据库，而如果把所有域名和IP地址的对应关系都写入到某个配置文件中，估计要有上千万条的参数，这样既不利于程序的执行效率，也不方便日后的修改和维护。因此在bind服务程序中有下面这三个比较关键的文件。

主配置文件（/etc/named.conf）：只有58行，而且在去除注释信息和空行之后，实际有效的参数仅有30行左右，这些参数用来定义bind服务程序的运行。

区域配置文件（/etc/named.rfc1912.zones）：用来保存域名和IP地址对应关系的所在位置。类似于图书的目录，对应着每个域和相应IP地址所在的具体位置，当需要查看或修改时，可根据这个位置找到相关文件。

数据配置文件目录（/var/named）：该目录用来保存域名和IP地址真实对应关系的数据配置文件。

在Linux系统中，bind服务程序的名称为named。首先需要在/etc目录中找到该服务程序的主配置文件，然后把第11行和第17行的地址均修改为any，分别表示服务器上的所有IP地址均可提供DNS域名解析服务，以及允许所有人对本服务器发送DNS查询请求。这两个地方一定要修改准确。

[root@linuxprobe ~]# vim /etc/named.conf

1 //

2 // named.conf

3 //

4 // Provided by Red Hat bind package to configure the ISC BIND named(8) DNS

5 // server as a caching only nameserver (as a localhost DNS resolver only).

6 //

7 // See /usr/share/doc/bind/sample/ for example named configuration files.

8 //

9

10 options {

11 listen-on port 53 { any; };

12 listen-on-v6 port 53 { ::1; };

13 directory "/var/named";

14 dump-file "/var/named/data/cache_dump.db";

15 statistics-file "/var/named/data/named_stats.txt";

16 memstatistics-file "/var/named/data/named_mem_stats.txt";

17 allow-query { any; };

18

19 / 

20 - If you are building an AUTHORITATIVE DNS server, do NOT enable re cursion. 1,1 Top

21 - If you are building a RECURSIVE (caching) DNS server, you need to enable

22 recursion.

23 - If your recursive DNS server has a public IP address, you MUST en able access

24 control to limit queries to your legitimate users. Failing to do so will

25 cause your server to become part of large scale DNS amplification

26 attacks. Implementing BCP38 within your network would greatly

27 reduce such attack surface

28 /

29 recursion yes;

30

31 dnssec-enable yes;

32 dnssec-validation yes;

33 dnssec-lookaside auto;

34

35 / Path to ISC DLV key */

36 bindkeys-file "/etc/named.iscdlv.key";

37

38 managed-keys-directory "/var/named/dynamic";

39

40 pid-file "/run/named/named.pid";

41 session-keyfile "/run/named/session.key";

42 };

43

44 logging {

45 channel default_debug {

46 file "data/named.run";

47 severity dynamic;

48 };

49 };

50

51 zone "." IN {

52 type hint;

53 file "named.ca";

54 };

55

56 include "/etc/named.rfc1912.zones";

57 include "/etc/named.root.key";

58

如前所述，bind服务程序的区域配置文件（/etc/named.rfc1912.zones）用来保存域名和IP地址对应关系的所在位置。在这个文件中，定义了域名与IP地址解析规则保存的文件位置以及服务类型等内容，而没有包含具体的域名、IP地址对应关系等信息。服务类型有三种，分别为hint（根区域）、master（主区域）、slave（辅助区域），其中常用的master和slave指的就是主服务器和从服务器。将域名解析为IP地址的正向解析参数和将IP地址解析为域名的反向解析参数分别如图13-3和图13-4所示。

图13-3 正向解析参数

图13-4 反向解析参数

下面的实验中会分别修改bind服务程序的主配置文件、区域配置文件与数据配置文件。如果在实验中遇到了bind服务程序启动失败的情况，而您认为这是由于参数写错而导致的，则可以执行named-checkconf命令和named-checkzone命令，分别检查主配置文件与数据配置文件中语法或参数的错误。