打造DNS私有根
我們現(xiàn)在已經(jīng)從前面的博文中了解到了很多DNS的相關(guān)知識，今天我們用一個綜合性的實驗把前面的內(nèi)容都串起來復(fù)習(xí)一下，這個有趣的實驗就是DNS的私有根。私有根顧名思義是由個人或企業(yè)自行創(chuàng)建的DNS根服務(wù)器，這個根服務(wù)器屬于創(chuàng)建者私有專用，不能象互聯(lián)網(wǎng)上的根服務(wù)器那樣為眾多的網(wǎng)民服務(wù)。那么為什么會有企業(yè)搭建私有根呢？直接用互聯(lián)網(wǎng)上的根服務(wù)器不是很好嗎？需要搭建私有根一般有下列原因，例如有的單位如警察或軍事部門出于保密需要，必須把單位的網(wǎng)絡(luò)和互聯(lián)網(wǎng)物理隔離，但又不愿使用IP地址來互相訪問，這樣就必須使用DNS私有根才能保證域名的正常應(yīng)用；還有的大型企業(yè)為了管理方便，也在企業(yè)內(nèi)設(shè)置私有根解析域名，這樣可以省卻去公網(wǎng)申請域名的麻煩。
對我們來說，創(chuàng)建私有根的意義在于可以通過這些操作更好地理解DNS的體系結(jié)構(gòu)，可以親自體驗一下DNS的誕生過程。下面我們準(zhǔn)備用五臺虛擬機(jī)來實現(xiàn)一個DNS的私有根，拓?fù)淙缦聢D所示，Florence充當(dāng)私有根的根服務(wù)器，根服務(wù)器把.com區(qū)域的解析權(quán)委派給Berlin，把.net區(qū)域的解析權(quán)委派給Firenze。然后Berlin再把hexun.com的解析權(quán)委派給Istanbul，而Firenze把homeway.net的解析權(quán)委派給Perth。每臺服務(wù)器的完全合格域名和IP地址都在拓?fù)鋱D中進(jìn)行了標(biāo)注。
一 負(fù)責(zé)根域的DNS服務(wù)器
我們把創(chuàng)建根服務(wù)器這個偉大的任務(wù)交給了Florence，私有根服務(wù)器的誕生宣布了我們使用了另外一個域名空間，和公網(wǎng)域名空間完全平行的另一個名稱空間，在這個自己創(chuàng)建的域名空間中，我們可以使用任意域名而不用擔(dān)心和公網(wǎng)上的同名區(qū)域發(fā)生沖突。如下圖所示，我們在Florence的DNS管理器中選擇新建區(qū)域，準(zhǔn)備在Florence上創(chuàng)建出根域。
出現(xiàn)新建區(qū)域向?qū)?，點擊下一步繼續(xù)。
區(qū)域類型當(dāng)然選擇“主要區(qū)域”。
區(qū)域的名稱為. ，哈哈，大名鼎鼎的根域原來如此簡單。
根域的區(qū)域數(shù)據(jù)文件是root.dns，注意，我們之后要修改這個文件。
區(qū)域創(chuàng)建完畢，這時，私有根已經(jīng)誕生了。
我們在根域中首先檢查NS和SOA記錄，都任何區(qū)域來說，這兩個記錄都是不可或缺的。首先我們檢查NS記錄，如下圖所示，NS記錄中描述了根域的DNS服務(wù)器是Florence.，由于Florence.并不是一個完全合格域名，因此我們要對這個域名進(jìn)行編輯。
按照拓?fù)鋱D中的設(shè)計，我們把根域的域名服務(wù)器改成了Florence.root.net.，IP地址是192.168.11.101。
然后對根域的SOA記錄也進(jìn)行修改，如下圖所示，我們把根域的主服務(wù)器設(shè)置為Florence.root.net.，這樣，根域的NS記錄和SOA記錄就都設(shè)置好了。
接下來我們就要在根域中設(shè)置區(qū)域委派了，按照拓?fù)湟?，我們?yīng)該把com區(qū)域委派給Berlin，把net區(qū)域委派給Firenze。我們在根域的區(qū)域數(shù)據(jù)文件root.dns中設(shè)置委派，如下圖所示，我們把com的解析權(quán)委派給Berlin.root.net. ，把net的解析權(quán)委派給Firenze.root.net.。
修改了根域的區(qū)域數(shù)據(jù)文件后，我們在DNS管理器中已經(jīng)可以看到根域的委派結(jié)果了。
至此，我們對根域的設(shè)置完成，主要工作是創(chuàng)建了根域以及在根域中設(shè)置了委派。
二 負(fù)責(zé)com區(qū)域的DNS服務(wù)器
根服務(wù)器把com區(qū)域的解析權(quán)委派給了Berlin，接下來我們就要在Berlin上進(jìn)行設(shè)置了，首先我們要做的就是讓Berlin信任我們新創(chuàng)建的根服務(wù)器，默認(rèn)情況下，Berlin只承認(rèn)互聯(lián)網(wǎng)上的那13個根服務(wù)器。如下圖所示，我們在Berlin的DNS管理器中打開服務(wù)器屬性中的根提示，發(fā)現(xiàn)了Berlin目前承認(rèn)的13個根服務(wù)器。
如下圖所示，我們把13個根服務(wù)器刪除，把Florence.root.net.作為唯一的DNS根服務(wù)器添加進(jìn)來，這樣，Berlin就承認(rèn)我們新創(chuàng)建的根服務(wù)器了。
Berlin承認(rèn)了私有根后，我們在Berlin上創(chuàng)建com區(qū)域，如下圖所示，我們在Berlin的DNS管理器中選擇新建區(qū)域。
區(qū)域類型選擇主要區(qū)域。
區(qū)域名稱是com。
Com區(qū)域的區(qū)域數(shù)據(jù)文件是com.dns。
Com區(qū)域的創(chuàng)建非常簡單，如下圖所示，我們已經(jīng)完成了com區(qū)域的創(chuàng)建。
創(chuàng)建了com區(qū)域后，我們接下來就要在com區(qū)域中檢查NS記錄和SOA記錄的設(shè)置情況了。我們檢查com區(qū)域的區(qū)域數(shù)據(jù)文件com.dns，如下圖所示，我們發(fā)現(xiàn)com區(qū)域中的NS記錄和SOA記錄都把域名服務(wù)器設(shè)置為了Berlin.，但Berlin.并不是一個完全合格域名，因此我們要對記錄進(jìn)行修改。
如下圖所示，我們通過編輯com.dns完成了兩件工作，首先是把NS記錄和SOA記錄都用Berlin.root.net.這么個標(biāo)準(zhǔn)的完全合格域名來表示，其次是在com區(qū)域中進(jìn)行了委派操作，把hexun.com的解析權(quán)委派給了Istanbul.hexun.com。
如下圖所示，我們可以看到修改了com.dns后的結(jié)果。
至此，我們在Berlin上完成了DNS服務(wù)器的設(shè)置，首先修改了根服務(wù)器，然后完善了com區(qū)域的NS記錄和SOA記錄，最后在com區(qū)域中設(shè)置了委派。
三 負(fù)責(zé)net區(qū)域的DNS服務(wù)器
我們在根域中把net區(qū)域的解析權(quán)委派給了Firenze，接下來我們在Firenze上進(jìn)行操作，首先Firenze要承認(rèn)Florence是根服務(wù)器。如下圖所示，我們在Firenze屬性的根提示中設(shè)置了唯一的根服務(wù)器，Florence.root.net.。
接下來在Firenze上創(chuàng)建net區(qū)域，如下圖所示，我們在Firenze的DNS管理器中選擇新建區(qū)域。
區(qū)域名稱是net。
區(qū)域數(shù)據(jù)文件是net.dns。
如下圖所示，我們看到net區(qū)域的NS記錄和SOA記錄都表示得不恰當(dāng)，我們在net的區(qū)域數(shù)據(jù)文件中進(jìn)行修改。
如下圖所示，我們在區(qū)域數(shù)據(jù)文件中把net區(qū)域的NS記錄和SOA記錄都進(jìn)行了修改，改成了firenze.root.net.，然后把homeway.net的解析權(quán)委派給了perth.homeway.net.。
至此，Firenze的設(shè)置完成，基本上和Berlin的設(shè)置是相同的，也是重新設(shè)置了根服務(wù)器，創(chuàng)建了net區(qū)域，修改了區(qū)域的NS和SOA記錄，同時設(shè)置了區(qū)域委派。
四 負(fù)責(zé)hexun.com的服務(wù)器
Istanbul負(fù)責(zé)hexun.com區(qū)域的解析，我們首先也是要設(shè)置Istanbul的根服務(wù)器，如下圖所示，我們設(shè)置Florence.root.net.是唯一的根服務(wù)器。
接下來需要在Istanbul上創(chuàng)建區(qū)域hexun.com，具體的創(chuàng)建過程不再贅述，如下圖所示，這是hexun.com區(qū)域創(chuàng)建后的結(jié)果，顯然，我們需要對其中的NS和SOA記錄進(jìn)行修改。
如下圖所示，我們編輯了hexun.com的區(qū)域數(shù)據(jù)文件hexun.com.dns。我們把hexun.com區(qū)域的NS和SOA記錄中的域名服務(wù)器都改為了istanbul.hexun.com.，而且在區(qū)域中添加了www.hexun.com和mail.hexun.com兩條A記錄。
修改后的結(jié)果如下圖所示。
在Istanbul上的設(shè)置相對簡單一些，只是把根服務(wù)器重新設(shè)置了一下，同時對hexun.com區(qū)域中的記錄進(jìn)行了一些修改，沒有涉及到區(qū)域委派。
五 負(fù)責(zé)homeway.net的服務(wù)器
負(fù)責(zé)homeway.net的是Perth，我們首先也是要在perth上修改根服務(wù)器,如下圖所示,我們把根服務(wù)器修改為florence.root.net.。
接下來在perth上創(chuàng)建區(qū)域homeway.net，具體過程不再贅述，如下圖所示就是homeway.net剛創(chuàng)建完的結(jié)果。
我們修改區(qū)域數(shù)據(jù)文件homeway.net.dns，如下圖所示，我們修改了homeway.net的NS和SOA記錄，用完全合格域名來表示DNS服務(wù)器。然后還創(chuàng)建了兩條A記錄，www.homeway.net和ftp.homeway.net。
修改后的結(jié)果如下圖所示。
Perth的設(shè)置也比較簡單，和Istanbul類似，只是簡單地改了一下根服務(wù)器，同時對homeway.net的區(qū)域數(shù)據(jù)進(jìn)行了一下修改。
六 私有根測試
我們費了半天力氣終于搭好了私有根，現(xiàn)在我們來測試一下效果，理論上我們使用任何一個DNS服務(wù)器都可以把私有名稱空間內(nèi)的任何域名都解析出來。我們在perth上進(jìn)行一個測試，用perth作為DNS服務(wù)器來解析www.hexun.com。理論上分析，以hexun.com結(jié)尾的域名應(yīng)該由Istanbul來解析，perth如果能解析出來，那肯定是通過私有根找到了istanbul。測試結(jié)果如下圖所示，我們發(fā)現(xiàn)perth已經(jīng)成功地解析了www.hexun.com。
我們用抓包工具記錄一下perth的解析過程，我們可以很清楚地看到，perth先是向私有根的根服務(wù)器192.168.11.101發(fā)出了查詢請求，然后又向負(fù)責(zé)com區(qū)域的192.168.11.108發(fā)出了查詢請求，最后向負(fù)責(zé)hexun.com的192.168.11.107申請查詢，這次終于如愿以償，查到了正確結(jié)果，過程和以前在公網(wǎng)上的解析完全一樣，我們設(shè)置私有根成功了！
本文出自 “岳雷的微軟網(wǎng)絡(luò)課堂” 博客，請務(wù)必保留此出處http://yuelei.blog.51cto.com/202879/110700
