第 01 章：DNS 协议与 BIND 简介

本章概述

本章介绍 DNS（Domain Name System）协议的基本原理、BIND 的历史与定位，以及权威服务器和递归服务器的区别。通过本章，你将建立对 DNS 体系的整体认知，为后续章节的实操打下基础。

1.1 DNS 协议基础

1.1.1 什么是 DNS

DNS（Domain Name System，域名系统）是互联网的核心基础设施之一，负责将人类可读的域名（如 www.example.com）转换为机器可识别的 IP 地址（如 93.184.216.34）。它是互联网的"电话簿"。

1.1.2 DNS 的历史

1.1.3 DNS 查询流程

一次完整的 DNS 查询过程如下：

客户端                递归服务器              根服务器    TLD服务器    权威服务器
  │                      │                      │          │           │
  │  1. 查询 example.com │                      │          │           │
  │─────────────────────>│                      │          │           │
  │                      │  2. 查询根            │          │           │
  │                      │─────────────────────>│          │           │
  │                      │  3. 返回 .com NS      │          │           │
  │                      │<─────────────────────│          │           │
  │                      │  4. 查询 .com         │          │           │
  │                      │─────────────────────────────>   │           │
  │                      │  5. 返回 example.com NS│         │           │
  │                      │<─────────────────────────────   │           │
  │                      │  6. 查询 example.com  │          │           │
  │                      │──────────────────────────────────────────>│
  │                      │  7. 返回 A 记录       │          │           │
  │                      │<──────────────────────────────────────────│
  │  8. 返回最终结果     │                      │          │           │
  │<─────────────────────│                      │          │           │

1.1.4 DNS 记录类型概览

1.1.5 DNS 协议端口与传输层

1.2 BIND 简介

1.2.1 什么是 BIND

BIND（Berkeley Internet Name Domain）是目前世界上使用最广泛的 DNS 服务器软件，由 ISC（Internet Systems Consortium）维护。据估算，全球约 70% 的 DNS 服务器运行 BIND。

1.2.2 BIND 的核心能力

1.2.3 BIND 版本线

# 查看当前安装的 BIND 版本
named -v
# 输出示例: BIND 9.18.30-1~ubuntu22.04.1-Ubuntu (Extended Support Version)

注意: 生产环境推荐使用 LTS 版本（9.18），除非你需要 9.20 中的特定新特性。

1.3 权威服务器 vs 递归服务器

这是理解 DNS 最关键的区分之一。

1.3.1 权威 DNS 服务器（Authoritative DNS Server）

权威服务器是域名数据的"源头"。它存储区域文件，对特定域名的查询给出最终答案。

场景：example.com 的权威服务器

客户端问：www.example.com 的 IP 是什么？
权威服务器答：93.184.216.34（直接从区域文件读取，这是"权威"答案）

特点：

• 存储域名的区域文件（Zone File）
• 响应带有 AA（Authoritative Answer）标志
• 不负责递归查询其他域名
• 通常由域名注册商或企业自建

1.3.2 递归 DNS 服务器（Recursive/Resolving DNS Server）

递归服务器是客户端的"代理人"。它代替客户端去完成完整的 DNS 解析链路，包括查询根服务器、TLD 服务器、权威服务器等。

场景：企业内网递归服务器

客户端问：www.example.com 的 IP 是什么？
递归服务器：（先查缓存，没有则逐级查询）
  → 问根服务器：.com 的 NS 是谁？
  → 问 .com TLD：example.com 的 NS 是谁？
  → 问 example.com 权威服务器：www 的 A 记录？
  → 最终返回：93.184.216.34

特点：

• 不存储权威数据（除非同时充当权威服务器）
• 有缓存机制，减少重复查询
• 需要开启递归功能（recursion yes）
• 通常部署在内网或 ISP 侧

1.3.3 对比总结

1.3.4 同一台服务器同时充当两种角色

BIND 允许在同一实例中同时运行权威服务和递归服务，但强烈建议不要这样做：

# ⚠️ 不推荐的配置（安全风险）
options {
    recursion yes;          # 开启递归
    allow-recursion { any; }; # 允许所有人递归
};

zone "example.com" {
    type primary;           # 同时是权威服务器
    file "example.com.zone";
};

为什么混合角色不好？

• 递归服务器容易遭受缓存投毒攻击（Cache Poisoning）
• 攻击者可能通过递归查询获取你的权威区域数据
• 增加攻击面，难以实施细粒度安全策略
• 维护复杂度高

推荐做法：使用 views（视图）将权威服务和递归服务分离，详见 第 08 章。

1.4 适用场景

1.4.1 什么时候需要自建 DNS

1.4.2 什么时候不需要自建 DNS

• 个人网站：使用域名注册商或云厂商的免费 DNS 即可
• 小型企业：直接使用 8.8.8.8（Google）或 1.1.1.1（Cloudflare）
• 纯云环境：使用 AWS Route 53、阿里云 DNS 等云 DNS 服务

1.4.3 典型企业架构

┌─────────────────────────────────────────────────────┐
│                    互联网                              │
└─────────┬───────────────────────┬───────────────────┘
          │                       │
    ┌─────▼─────┐          ┌─────▼─────┐
    │ 权威 DNS  │          │ 权威 DNS  │  ← 主从架构（公网）
    │ (主/Primary)│         │(从/Secondary)│
    └─────┬─────┘          └───────────┘
          │
    ┌─────▼─────┐
    │ 防火墙     │
    └─────┬─────┘
          │
    ┌─────▼─────┐          ┌───────────┐
    │ 递归 DNS  │          │ 内网权威  │  ← 内部域名
    │ (主/Primary)│         │ DNS       │
    └─────┬─────┘          └───────────┘
          │
    ┌─────▼─────┐
    │  客户端    │  ← DHCP 下发递归服务器地址
    └───────────┘

1.5 与其他 DNS 软件对比

1.6 BIND 的安装目录标准（FHS）

了解 BIND 的标准文件路径，后续章节会频繁使用：

注意: 不同 Linux 发行版路径略有不同：

• RHEL/CentOS: /etc/named.conf + /var/named/
• Debian/Ubuntu: /etc/bind/named.conf + /var/cache/bind/

1.7 本章小结

📖 扩展阅读

• RFC 1034 - Domain Names: Concepts and Facilities
• RFC 1035 - Domain Names: Implementation and Specification
• BIND 9 官方文档
• ISC BIND 下载页
• Cloudflare DNS 学习中心