[ 永遠的UNIX > DNS 系統設定例--2.named.conf 的例子 (進階型) ]

[ 永遠的UNIX::UNIX技術資料的寶庫 ] GB | BIG5

首頁 > 應用技術 > DNS > 正文

DNS 系統設定例--2.named.conf 的例子 (進階型)

昌盛, cschen@cc.nctu.edu.tw (2001-05-21 15:00:01)

// --------------- 這是一行解 ------------------------------
// Last updated: 1999.11.08 by C.S.Chen, cschen@cc.nctu.edu.tw

/*  另一種整段的解表示法

  底下是,有關 BIND/DNS server 的一段解說明.
  -----------------------------------------
  0. 底下的設定, 適用於 BIND 8.2.1 以後 (應該可適用 8.x 版)

  1. 同一個 DNS server, 可以同時管理許多不同的 domain zones.

  2. 一個 server host, 可能是某一個網域的 master server, 但同時也可能
     是另一個網域的 slave/secondary DNS server, 並不突.

  Notes about the configuration file.
  -----------------------------------------
   1. "acl" defintions ( mutiple instances)
   2. "logging" definitions (1 blocks)
   3. "options" defintions  (1 block)
   4. "server"  defintions ( multiple instances )
   5. "zone" definitions ( mutiple instances )
*/

//=================================================================
acl "Bogus-IP" {
        140.113.212.195;
        140.113.87.118;
        };

acl "NCTU-Campus-IP" {
        localhost;
        140.113.0.0/16;
        140.126.237.0/24;
        };

acl "TANet-Backbone-IP" {
163.28.0.0/16;
};

//=================================================================
logging {
channel LAMER_log {
file "/var/log/dns-lamer.log" versions 3  size 10m;
severity info;        # only send priority info and higher
print-severity yes; print-time yes;
};

channel SEC_log {
file "/var/log/dns-sec.log" versions 3   size 10m;
severity info;        # only send priority info and higher
print-severity yes; print-time yes;
};

channel STAT_log {
file "/var/log/dns-stat.log" versions 3  size  10m;
severity info;        # only send priority info and higher
print-severity yes; print-time yes;
};

category cname { null; };
category lame-servers { LAMER_log; };
category security { SEC_log; };
category statistics { STAT_log; };
};

//=================================================================
options {
check-names master fail; //  default fail
check-names slave fail; //  default warn
directory "/var/named";
pid-file  "/etc/named.pid";
notify yes;
fake-iquery yes; //  default warn

       // 設立 DNS query 轉送站, 善加運用對方 DNS server cache 及其頻寬
       // Note: 不過需先確定, 對方系統不會拒絕提供 forwarding 服務.
       // ---------------------------------------------------------------
       // 本例子, 除了 ".com" 以及 ".tw" 外, 均透過底下server, 做 forwarding

        forwarders {
                140.113.54.11; // 請參考底下 forwarding zones 設定.
        };

host-statistics  yes; // default no
transfer-format many-answers;

        // 原則上, 拒絕不特定 host 的 zone transfer 請求,
        //-------------------------------------------------------------
// 個別 domain zone master/slave server 之間的情況, 在底下的 zone
        // 定義段落中, 個別再打開 (參見底下的例子 zone "nctu.edu.tw".)
        //-------------------------------------------------------------

allow-transfer {
none; // 拒絕不特定對象的 zone transfer
        };

        //-------------------------------------------------------------
// 限定只有 NCTU 圍內的 IP 使用者, 才可經由本  DNS server, 去查詢
        // 其他分本 server 所負責的網域資料. (e.g. 非 NCTU 的資料)
        //-------------------------------------------------------------
        // 比較 zone "nctu.edu.tw" 的 allow-query { any; }, 表示所有全
        // Internet 的 IP 都可來本 server 查詢 nctu.edu.tw 這個網域的資料.
        //-------------------------------------------------------------

allow-query {
                NCTU-Campus-IP;  // 參見前面 ACL 定義
        };

        //-------------------------------------------------------------
// 拒絕底下, 設定有問題, 或者惡意的 DNS server 的查詢
        //-------------------------------------------------------------

blackhole {
Bogus-IP;  // 參見 ACL 定義
        };

        //-------------------------------------------------------------
// 指定DNS query 回答的順序, 僅對於舊系統不具有自行 sort 功能的
// DNS server/resolver  的系統有效 (BIND 4.x 以前)
        //-------------------------------------------------------------
// 假設本 DNS server, 有兩張網路卡, 分別設定兩個 IP address,
        // 一個在 163.28, 另一在 140.113 上面.
        //-------------------------------------------------------------

sortlist {
{ TANet-Backbone-IP; // If on 163.28.xxx.yyy
     { 163.28/16;  // THEN use "163.28"
    { 140.113/16; }; // 再用 "140.113", fallback address
   }; };

{ NCTU-Campus-IP; // If on 140.113.xxx.yyy
     { 140.113/16;  // THEN use "140.113"
    { 163.28/16; }; // 再試 163.28
  }; };
};

};

//=================================================================

server  140.113.1.1 {
support-ixfr yes;
transfer-format many-answers;
};

server  140.113.6.2 {
support-ixfr yes;
transfer-format many-answers;
};

//=================================================================
// Zone File Configuration
//-------------------------------------------------------------
zone "." {
type hint;
file "named.root";
};

zone "localhost" {
type master; file "Localhost";
allow-query { any; };
// 任何 Internet IP 使用者, 都可以來本 server 查詢這個網域的資料
};

// 擋掉 127.0.0 的相關 query (自己回答)
zone "0.0.127.IN-ADDR.ARPA" {
type master; file "Rev-127.0";
allow-query { any; };
};

// 擋掉 0.x.x.x 的相關 query (自己回答)
zone "0.IN-ADDR.ARPA" {
type master; file "Rev-0";
allow-query { any; };
};

// 擋掉 255.x.x.x 的相關 query (自己回答)
zone "255.IN-ADDR.ARPA" {
type master; file "Rev-255";
allow-query { any; };
};

// Control access to BIND version number to
// users at example.com only.
//--------------------------------------------
// Ref: BUGTRAQ posting from LaMont Jones
//  on 1998-06-12.
zone "bind" chaos {
        type master;
        file "BIND-ver";    // 請注意, 確實另定一個 "BIND-ver" 檔
        allow-query {
                localhost;
        };
//      allow-transfer { none; }; // 在 options 處已設限
};

// -----------------------------------------------------------
// forwarding zones
// -----------------------------------------------------------
zone "com" {
        type forward;
        forwarders {
                140.113.54.3;  // 必須確定對方允許 DNS forwarding
        };
};

zone "tw" {
        type forward;
        forwarders {};   // ".tw" 相關網域, 自行查詢, 不做 forwarding
};

// -------------------------------------------------
//  Normal NCTU sub-domains
// -------------------------------------------------
zone "NCTU.edu.tw" {
type master; file "Zone.NCTU";
also-notify { 140.113.54.11 ; };

        // 只允許底下 3 IP, 來進行 "nctu.edu.tw" 網域的 zone transfer.
allow-transfer {
                140.113.1.1;  140.113.6.2; 140.113.54.11;
        };

// 任何 Internet IP 使用者, 都可以來本 server 查詢這個網域的資料
allow-query { any; };

};

zone "ADM.nctu.edu.tw" {
type slave; // Slave/secondary DNS server
masters  { 140.113.1.1; };   // master/primary 所在 (IP addresses)
allow-query { any; };
};

zone "CC.nctu.edu.tw" {
type master;
file "Zone.CC";
allow-transfer {
                140.113.1.1;  140.113.6.2;
        };
allow-query { any; };

};

//===============================================
// Reverse Domain Zones
//===============================================

zone "113.140.IN-ADDR.ARPA" {
type master; // Master/Primary DNS server
        file "R-140.113"; // Zone file 所在 ( HD 路徑 )
also-notify { 140.113.54.11 ; };

allow-transfer {
                140.113.1.1;  140.113.6.2;
        };
allow-query { any; };
};

zone "1.113.140.IN-ADDR.ARPA" {
type slave; // Slave/secondary DNS server
masters  { 140.113.1.1; };   // master/primary 所在 (IP addresses)
allow-query { any; };
};

zone "2.113.140.IN-ADDR.ARPA" {
type master;
        file "R-140.113.2";
allow-transfer {
                140.113.1.1;  140.113.6.2;
        };
allow-query { any; };
};

//===============================================
// Special Sub-domains for TANet-HsinChu
//===============================================
zone "HC.edu.tw" {
type master; file "Zone-HC.edu.tw";
allow-transfer {
                140.113.1.1;  140.113.6.2;
        };
allow-query { any; };
};

(http://www.fanqiang.com)     進入【UNIX論壇】

===更多相關===

★ 樊強制作歡迎分享 ★