기록's

• Ansible에서 common에서 초기 설정은 살고 있는 전제
• CentOS 7 64bit

BIND설치

/usr/libexec/setup-named-chroot.sh /var/named/chroot/ on

BIND chroot환경의 초기화

BIND의 자동 실행 설정

systemctl enable named-chroot.service

/etc/named.conf의 편집

vi /etc/named.conf

//
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//
// See the BIND Administrator's Reference Manual (ARM) for details about the
// configuration located in /usr/share/doc/bind-{version}/Bv9ARM.html


acl naver-networks-local {
    10.0.0.0/8;
    192.168.0.0/16;
};


options {
    listen-on port 53 { any; };
    listen-on-v6 port 53 { none; };
    directory   "/var/named";
    dump-file   "/var/named/data/cache_dump.db";
    statistics-file "/var/named/data/named_stats.txt";
    memstatistics-file "/var/named/data/named_mem_stats.txt";
    allow-query     { localhost; naver-networks-local; };
    allow-transfer  { localhost; naver-networks-local; };
    forwarders { 10.70.0.2; };
    /* forwarders { 118.238.201.33; 118.238.201.49; }; */
    /* forwarders { 8.8.8.8; 8.8.4.4; }; */
    forward only;


    /*
     - If you are building an AUTHORITATIVE DNS server, do NOT enable recursion.
     - If you are building a RECURSIVE (caching) DNS server, you need to enable
       recursion.
     - If your recursive DNS server has a public IP address, you MUST enable access
       control to limit queries to your legitimate users. Failing to do so will
       cause your server to become part of large scale DNS amplification
       attacks. Implementing BCP38 within your network would greatly
       reduce such attack surface
    */
    recursion yes;


    dnssec-enable no;
    dnssec-validation no;


    /* Path to ISC DLV key */
    bindkeys-file "/etc/named.iscdlv.key";


    managed-keys-directory "/var/named/dynamic";


    pid-file "/run/named/named.pid";
    session-keyfile "/run/named/session.key";
};


logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};


view "internal"
{
    match-clients       { localhost; cocone-networks-local; };
    match-destinations  { localhost; cocone-networks-local; };
    recursion yes;


    zone "." IN {
        type hint;
        file "named.ca";
    };


    include "/etc/named.rfc1912.zones";
    include "/etc/named.root.key";
};

BIND의 정지/기동 등의 조작

systemctl stop named-chroot.service
systemctl start named-chroot.service
systemctl reload named-chroot.service

환경설정

기동환경

 - IPv6 를 무효로 하다

    ㄴ /etc/sysconfig/named에 옵션 추가.

OPTIONS="-4"

 - named.conf에서 ipv6의 무효화. 아래의 항목을 설정한다.

listen-on-v6 port 53 { none; };

로그설정

출력 로그를 디폴트에서 변경하므로 로테이션 설정이 필요하다.

 - /etc/logrotate.d/named

/var/named/data/query.log
/var/named/data/default.log
/var/named/data/named_stats.txt
{
    daily
    rotate 7
    missingok
    create 0644 named named
    postrotate
        /sbin/service named reload  2> /dev/null > /dev/null || true
    endscript
}

기타 명령어

named.conf 구문 체크

named-checkconf 파일 이름

chroot 환경에서는 chroot의 디렉토리를 지정한다.

named-checkconf -t /var/named/chroot

rndc 명령어

영역 설정 새로 고침

- bind를 재기동하면 캐시 데이터가 클리어되므로 그것을 피하기 위해 존 정보의 갱신뿐이라면 해당 존만 다시 읽으면 된다.

rndc reload 존명

존명을 생략했을 경우는 모든 존 파일이 읽혀진다. 다만 읽히는 것은 Serial Number 가 변경 되었을 경우만..

service 명령으로 관리되고 있는 경우는 service에서 reload 해도 마찬가지.

영역 전송 즉시 실행

- 슬레이브 측에서 존 전송을 실행한다.

rndc refresh 존명

존명의 지정이 없는 경우는 모든 구역이 궁합이 된다. 다만 Serial Number 가 변경 되었을 경우만..

캐시 데이터 확인

 - 캐시로 보유하고 있는 데이터를 파일에 써서 확인한다.

rndc dumpdb

캐시 데이터는 /var/named/chroot/var/named/data/cache_dump.db 에 작성된다.

named.conf 파라미터 목록

dig 커맨드

bind-utils에 부속되어 있는 DNS에 질의하는 커맨드.

질의나 존 전송 확인 등을 할 수 있다.

 * Unix/Linux 계정의 호스트로부터 진행합니다. Windows의 경우는 nslookup을 사용합니다.

질의

기본 커맨드 구조

dig 질의명 [레코드 타입] [@네임서버명] [쿼리 옵션들] [dig 옵션]
순서는 상관 없습니다.
ex ) dig naver.com A @1.1.1.1 +dnssec +trace

+[no]tcp     : 질의시 TCP를 사용 / 디폴트는 사용하지 않음
+[no]recur   : 재 질의를 하지 않는다. 존의 설정을 확인 할 때 등 유용 / 디폴트 재질의 함
+[no]defname : /etc/resolv.conf 기본 도메인 이름을 추가함
+trace       : DNS 질의과정을 Root DNS로 부터 모두 표시 (Flow 확인)
+dnssec      : DNSSEC 검증 수행 (네임서버에 RRSIG이 붙는다)

-x IP 주소 : 역순으로 한다
-f 파일네임 : 배치모드에서 실행
-T time : 배치모드에서 실행 했을 때 초단위로 설정하여 질의
-p port : 질의서버의 포트를 지정​

링크 : Internet Systems Consortium | BIND

설치

yum에서 설치 가능.bind-chroot을 설치할 뿐 chroot환경에서 동작시킬 수 있다(기동시에/var/named/chroot에 파일이 이동한다). 

# yum install bind bind-chroot
# chkconfig named on

기초정보와 용어

DNS에 관한 기본 용어

W(주간) : 604800
D(일간) : 86400
H(시간) : 3600
M(분간) : 60
S(초)  : 1

기초정보

마스터 서버와 슬레이브 서버

용장성을 갖기 위해서 여러대의 DNS를 운용할 경우 각각 같은 존 데이터를 가지고 있을 필요가 있다.

이를 구현하기 위해서 존 데이터 원본을 1대의 서버에 두고(마스터 서버), 그것을 "존 전송"에 의해서 카피로 받은 서버(슬레이브 서버)를 설치한다.마스터 서버는 하나의 존에 대해서 1대만 나온다.슬레이브 서버에 제한은 없다.

또한 마스터 서버와 슬레이브 서버에 관한 아래의 해석은 착각입니다.

• 슬레이브 서버는 백업에서 마스터 서버에 장애가 있을 때만 이용된다
• 존 문의는 마스터 서버에 대해 이루어지며 실패 시 슬레이브 서버에 문의된다

정확한 것은,"문의는 마스터, 슬레이브에 관계 없이 이루어진다"이다.

마스터 서버와 슬레이브 서버의 차이는 전 지역 데이터를 가지고 있는지 카피를 가지고 있는지의 차이밖에 없다.
이 때문에 마스터 서버와 슬레이브 서버는 물리적으로 다른 위치에 설치되는 것이 바람직하다.