为公司搭建一套可以解析IPv6的DNS服务器

在早期红帽系Linux发行版本中，采用bind做为DNS服务软件包，而在RedHat7或CentOS7版本及之后的版本中则改用unbound了，配置方法也有很大的差异。

unbound在安全性上要比bind高，并且unbound可以缓存DNS查询结果，减少对外部DNS服务器的依赖，可以验证DNS响应的真实性，以防止DNS欺骗攻击。

因IPv4地址越来越少，很多企业被迫开始转向使用IPv6，但大部分企业内网还是使用ipv4，或者同时使用ipv6，很少只使用ipv6的。

下面我们一起学习一下如何搭建一个企业级的DNS服务器。

1. 安装环境

操作系统：centos7.6

计算机名：dnsserver.newcloud.top

IP地址：192.168.211.101

关闭SELinux和防火墙；

配置阿里YUM源：

curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo
curl -o /etc/yum.repos.d/epel.repo https://mirrors.aliyun.com/repo/epel-7.repo

规划两个域名和IPv6地址，用于测试，如：

2. 安装配置unbound

2.1 安装unbound

yum install unbound -y

2.2 修改主配置文件

配置文件：/etc/unbound/unbound.conf

vim /etc/unbound/unbound.conf

(1)修改监听地址

在所有IP地址上启用DNS服务，特别是DNS服务器需要对外提供服务的。

将：# interface: 0.0.0.0
改为：interface: 0.0.0.0

直接将该行前面的#号去除即可。

(2)修改允许使用DNS的客户端

将：# access-control: 0.0.0.0/0 refuse
改为：access-control: 0.0.0.0/0 allow

意思是允许所有网段来访问DNS服务，默认是只有同网段才可以访问。

(3)修改调用DNS服务的用户

将：username: "unbound"
改为：username: ""

将值修改为空，表示不设置，默认只有unbound用户可以调用DNS服务。不设置值则表示所有用户。因为网络中的用户比较多，且不可能全部为unbound用户，所以修改为空值。

(4) 开启日志功能

将：# logfile: ""
改为：logfile: "/var/log/unbound.log"

2.3 修改数据文件

该配置文件定义需要解析的域名或IP地址相关的信息，这里给newcloud.top域创建一个数据文件：

touch /etc/unbound/local.d/newcloud.top.conf

在文件中增加以下内容：

local-zone:"newcloud.top." static
local-data:"newcloud.top. 86400 IN SOA ns.newcloud.top. root.newcloud.top. 120000 86400 3600 10800 86400"

#定义服务器记录
#定义域内DNS服务器
local-data:"newcloud.top. IN NS ns.newcloud.top."
#定义域内mail服务器
local-data:"newcloud.top. IN MX 5 mail.newcloud.top."
#如果域内有2台mail服务器则需要加上优先级，值越小优先级越高
local-data:"newcloud.top. IN MX 10 mail.newcloud.top."
local-data:"newcloud.top. IN MX 20 smtp.newcloud.top."

#定义正向主机记录，先按服务器记录做主机解析记录，然后再做其他主机记录
#第一步最好设置域名，即解析example.com这个域
local-data:"newcloud.top. IN A 192.168.211.101"
#接下来是DNS主机记录
local-data:"ns.newcloud.top. IN A 192.168.211.101"
#然后邮件服务器
local-data:"mail.newcloud.top. IN A 192.168.211.101"
local-data:"stmp.newcloud.top. IN A 192.168.211.101"
#之后就可以配置其他主机了
local-data:"dnsserver.newcloud.top. IN A 192.168.211.101"
local-data:"www.newcloud.top. IN A 192.168.211.101"
#配置IPv6正向解析
local-data:"nginx.newcloud.top. IN AAAA FCDE::1"
local-data:"ftp.newcloud.top. IN AAAA FCDE::2"

#定义反向主机记录
#第一个最好设置DNS服务器
local-data-ptr:"192.168.211.101 ns.newcloud.top."
#接下来是maile
local-data-ptr:"192.168.211.101 mail.newcloud.top."
local-data-ptr:"192.168.211.101 stmp.newcloud.top."
#然后设置其他主机，按正向顺序配置即可
local-data-ptr:"192.168.211.101 dnsserver.newcloud.top."
local-data-ptr:"192.168.211.101 www.newcloud.top."
#配置IPv6反向解析
local-data-ptr:"FCDE::1 nginx.newcloud.top."
local-data-ptr:"FCDE::2 ftp.newcloud.top."

参数说明：

local-zone     #定义zone，newcloud.top为zone名，需要写全，static表示静态
local-data      #对zone参数的一些描述
IN SOA          #表示主DNS服务器为ns.newcloud.top
root.newcloud.top #出现问题给它发邮件
120000     #serial，更新次数，与master及slave是否同步有关！一般而言，如果这个数值变大了，slave 才会同步更新，当 Slave 的 serial小于Master时，那么update才会动作，如果只有一台DNS服务器，此值意义不大。如果设置此值，不能设置太小。一般要求6位数以上，一定要比slave设置的值要大，如果低于slave，则slave不会更新配置。
86400       #refresh，定义出 slave 多久会主动的检查 serial 的值，以便主动的更新数据库，单位秒。
3600         #retry，定义出，如果 slave 没有连上 master DNS 主机则多久之后会重新再次的主动检查，单位秒。
10800       #expire，如果一直没有连接上 mater ，那么到了这个时候slave 就会放弃检查的动作了，不再更新，，单位秒。
86400       #minimum，这个其实就是TTL ，如果您没有定义TTL ，那么TTL的值就以这个来设定。即slave的缓存时间，但slave无法与master通信之后，slave上的数据还能使用多久，超过这个时间后slave就不再提供服务，它会认为数据不真实。单位秒。
IN NS       #定义域内谁是DNS服务器，即ns.newcloud.top
IN MX      #定义域内谁是mail服务器，即mail.newcloud.top

如果你不需要使用IPv6，则将IPv6配置部分删除即可，删除以下4行：

local-data:"nginx.newcloud.top. IN AAAA FCDE::1"
local-data:"ftp.newcloud.top. IN AAAA FCDE::2"
local-data-ptr:"FCDE::1 nginx.newcloud.top."
local-data-ptr:"FCDE::2 ftp.newcloud.top."

3. 启动unbound

systemctl start unbound      #启动服务
systemctl enable unbound  #设置开机启动

4. 测试

4.1 测试ipv4域名

使用一台客户端，将DNS服务器指向192.168.211.101，然后ping域名，我这里客户端使用的也是Linux：

ping -c 2 dnsserver.newcloud.top
ping -c 2 www.newcloud.top

DNS服务器上定义的两条域名解析，在客户端上都可以正常访问。

4.2 测试ipv6域名

ping6 -c 2 nginx.newcloud.top
ping6 -c 2 ftp.newcloud.top

两个域名都可以访问。

5. 总结

如果有更多的域名需要解析，通过在配置文件中定义正向和反向主机记录即可。