DNS服务器配置与DNSSEC安全增强-优快云博客

本文链接：https://blog.youkuaiyun.com/qq_38849692/article/details/78665366

这篇博客详细介绍了如何配置DNS服务器，包括设置根域名服务器和一级域名服务器的步骤。接着，它深入讲解了DNSSEC配置过程，从生成密钥到在named.conf中启用DNSSEC。最后，讨论了DNS的压力测试环节。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、配置域名服务器

1、配置根域名服务器(域名：“.”　IP:“172.16.0.131”)


vi /etc/named.conf
修改zone "."里的type是hint换成master

vi /etc/bind/named/db.root
$ORIGIN .
@       1D      IN      SOA     @       root (
                20170623
                3H
                15M
                1W
                1D
                )
.                        3600000  IN  NS    genyu.
.      3600000          IN      A     172.16.0.131
genyu.      3600000     IN      A     172.16.0.131

named -g  #开启dns调试模式

2、配置一级域名服务器(域名：“cn.”　IP:“172.16.0.132”)

vi /etc/named.conf
添加
zone "cn" {
        type master;
        file "/bind/named/cn.zone";
};

vi /etc/bind/named/db.root
修改
.                        3600000  IN  NS    genyu.
.      3600000          IN      A     172.16.0.131
genyu.      3600000     IN      A     172.16.0.131

vi /etc/bind/cn.zone
修改
$TTL    604800
@       IN      SOA     cn. root.localhost. (
                1         ; Serial
                604800         ; Refresh
                86400         ; Retry
                2419200         ; Expire
                86400 )       ; Negative Cache TTL 
cn.     1D      IN      NS      cn. 
cn.     1D      IN      A       172.16.0.132
beijing.cn.     1D      IN      NS      beijing.cn.
beijing.cn.     1D      IN    A       172.16.0.133

named -g  #开启调试模式进行调试

二、dnssec配置

1、生成密钥

dnssec-keygen -f KSK -a RSASHA1 -r /dev/urandom -b 512 -n ZONE cn.
dnssec-keygen -a RSASHA1 -r /dev/urandom -b 512 -n ZONE cn.

2、key文件添加到对应的域名文件里

$INCLUDE "Kcn.+005+42244.key"
$INCLUDE "Kcn.+005+54855.key"

3、对zone签名生成beijing.cn.zone.signed文件

dnssec-signzone -o cn. cn.zone

4、在named.conf添加dnssec

options {
        dnssec-enable yes;
        dnssec-validation auto;
        dnssec-lookaside auto;
        notify yes;
        allow-transfer { none; };
};
    #添加信赖的密钥
trusted-keys {
        "cn." 257 3 5 "AwEAAb2O3LCe+fvJ53F6snWR1e8Tz+1HRLZvKWx/NSUn3v2KEQ/QZgfQ M5ZdkqFzlsOId/LnZ4X6YfqOzMPFzE+z0o8=";

        "cn." 256 3 5 "AwEAAafpN4akVb4AkQMskjKWH3NPTeC6Fo9Up9DzX27nvl+cuAbIBoRi kyDBfJjwPt475EYCiR5u55BL4kQJd1wD6As=";
};
    #修改
zone "cn" {
        type master;
        file "/bind/named/cn.zone.signed";
};

named -g  #开启调试模式进行调试

测试显示key值说明成功：
    dig cn. +dnssec +multiline @192.168.0.132

三、dns压力测试

下载bind9的包：http://www.isc.org/downloads/

tar xf bind-9.11.2.tar.gz
cd bind-9.11.2/contrib/queryperf/
./configure
make
cp queryperf /usr/bin

vi test
. A
. NS
cn. A
cn. NS
beijing.cn. A
beijing.cn. NS
haidian.beijing.cn. A
haidian.beijing.cn. NS
.
.
.
大约100万行左右

执行queryperf –d test –s 192.168.0.131进行压力测试