DNS.docx

DNS.docx

《DNS.docx》由会员分享，可在线阅读，更多相关《DNS.docx（21页珍藏版）》请在冰豆网上搜索。

DNS

第五章DNS服务器的配置与管理

第五章DNS服务器的配置与管理

本章所介绍的内容：

1.DNS的概念和原理

2.DNS服务器的安装

3.DNS服务器的配置与管理

4.DNS和WINS的结合使用

5.客户机的DNS设置

　　5.1DNS服务器的概念和原理

　　DNS是域名系统的缩写,它是嵌套在阶层式域结构中的主机名称解析和网络服务的系统。

当用户提出利用计算机的主机名称查询相应的IP地址请求的时候，DNS服务器从其数据库提供所需的数据。

§　DNS域名称空间：

指定了一个用于组织名称的结构化的阶层式域空间

§　资源记录：

当在域名空间中注册或解析名称时，它将DNS域名称与指定的资源信息对应起来

§　DNS名称服务器：

用于保存和回答对资源记录的名称查询

§　DNS客户：

向服务器提出查询请求，要求服务器查找并将名称解析为查询中指定的资源记录类型

5.1.1DNS域名空间

　　DNS域名空间是一种树状结构如图5.1。

　　目前由InterNIC管理全世界的IP地址，在InterNIC之下的DNS结构分为多个Domain,如图5.1中rootdomain下的七个top-leveldomain都归InterNIC管理，上图中还显示了由InterNIC分配给微软的域名空间。

Top-leveldomain可以再细分为second-leveldomain如"Microsoft"为公司名称,而second-leveldomain又可以分成多级的subdomain如"example、www",在最下面一层被称为hostname（主机名称）如"host-a",一般用户使用完整的名称来表示（FQDN），如"host-a.example.M"。

DNS域名

　　DNS利用完整的名称方式来记录和说明DNS域名，就象用户在命令行显示一个文件或目录的路径，如"C:

\Winnt\System32\Drivers\Etc\Services.txt"。

同样在在一个完整的DNS域名中包含着多级域名。

如"host-."其中"host-a"是最基本的信息（一台计算机的主机名称）"example"表示主机名称为host-a的计算机在这个子域中注册和使用它的主机名称，"microsoft"是"example"的父域或相对的根域（即second-leveldomain），"com"是用于表示商业机构的top-leveldomain，最后的句点表示域名空间的根（root）。

区域（zone）

　　区域（zone）是一个用于存储单个DNS域名的数据库，它是域名称空间树状结构的一部分，DNS服务器是以zone为单位来管理域名空间的，zone中的数据保存在管理它的DNS服务器中。

当在现有的域中添加子域时，该子域既可以包含在现有的zone中，也可以为它创建一个新zone或包含在其它的zone中。

一个DNS服务器可以管理一个或多个zone,同时一个zone可以由多个DNS服务器来管理。

　　用户可以将一个domain划分成多个zone分别进行管理以减轻网络管理的负荷，如图5.2所示，是一个域，用户可以将它划分为两个zone：

和example.M,zone的数据分别保存在单独的DNS服务器中。

因为zone"example.M"是从

"domain"延伸而来，所以用户可以将domain""称为zone"example.M"的zonerootdomain。

5.1.2DNS查询的工作方式

　　当DNS客户机向DNS服务器提出查询请求时，每个查询信息都包括两部分信息：

§　一个指定的DNS域名，要求使用完整名称（FQDN） 

§　指定查询类型，既可以指定资源记录类型又可以指定查询操作的类型 

　　如指定的名称为一台计算机的完整主机名称"host-.",指定的查询类型为名称的A（address）资源记录。

可以理解为客户机询问服务器"你有关于计算机的主机名称为'.'的地址记录吗？

当客户机收到服务器的回答信息时，它解读该信息，从中获得查询名称的IP地址。

　　DNS的查询解析可以通过多种方式实现。

客户机利用缓存中记录的以前的查询信息直接回答查询请求，DNS服务器利用缓存中的记录信息回答查询请求，DNS服务器通过查询其它服务器获得查询信息并将它发送给客户机。

这种查询方式称为递归查询。

　　另外,客户机通过DNS服务器提供的地址直接尝试向其它DNS服务器提出查询请求。

这种查询方式称为反复查询。

　　当DNS客户机利用IP地址查询其名称时，被称为反向查询。

本地查询：

　　下图5.3显示了DNS查询的完整过程：

当在客户机中Web浏览器中输入一个DNS域名，则客户机产生一个查询并将查询传给DNS客户服务利用本机的缓存信息进行解析，如果查询信息可以被解析则完成了查询。

　　本机解析所用的缓存信息可以通过两种方式获得：

§　如果客户机配置了host文件，在客户机启动是host文件中的名称与地址映射将被加载到缓存中。

§　以前查询时DNS服务器的回答信息将在缓存中保存一段时间 

　　如果在本地无法获得查询信息，则将查询请求发送给DNS服务器。

查询请求首先发送给主DNS服务器，当DNS服务器接到查询后，首选在服务器管理的区域的记录中查找，如果找到相应的记录，则利用此记录进行解析。

如果没有区域信息可以满足查询请求，服务器在本地的缓存中查找，如果找到相应的记录则查询过程结束。

　　如果在主DNS服务器中仍无法查找到答案，则利用递归查询进行名称的全面解析，这需要网络中的其它DNS服务器协助，默认情况下服务器支持递归查询。

为了DNS服务器可以正常的进行递归查询，首选需要一些关于在DNS域名空间中的其它DNS服务器的信息以便通信。

信息以roothints的形式提供一个关于其它DNS服务器的列表。

利用roothintsDNS服务器可以进行完整的递归查询。

　　如图5.4显示了利用递归查询来查询名称为"host-."的计算机的过程：

　　首选，主DNS服务器解析这个完整名称，以确定它属于那个top-leveldomain,即"com"。

接着它利用转寄查询的方式向"com"DNS服务器查询以获得""服务器的地址，然后以同样的方法它从""服务器获得""服务器的地址，最后它与名为

"."的DNS服务器进行通信，由于用户所要查询的主机名称包含在该服务器管理的区域中，它向主DNS服务器方发送一个回答，主DNS服务器将这个回答转发给提出查询的客户机，到此递归查询过程结束。

返回多个查询响应

　　在前面所描述的查询都假设在查询过程结束时只一个肯定回答信息返回给客户机，然而在实际查询时还可能返回其它回答信息：

§　授权回答（authoritativeanswer）：

在返回给客户机的肯定回答中加入了授权字节，指明信息是从查询名称的授权服务器获得的 

§　肯定回答（positiveanswer）：

由被查询的RR（resourcerecords）或一个RRs列表组成，与查询的DNS名称和查询信息中的记录类型相匹配。

§　提名回答（referralanswer）:

包含未在查询中指定的附加资源记录，它返回给那些不支持递归查询的客户机，这些附加信息可以帮助客户机继续进行转寄查询

§　否定回答（negativeanswer）：

当遇到以下情况之一时，服务器发送否定回答

§　授权服务器报告所查询的名称不在DNS域名空间内 

§　授权服务器报告所查询的名称在DNS域名空间内，但没有记录与查询指定的名称想匹配 

缓存与TTL

　　当DNS服务器通过外界查询到DNS客户机所需的信息后，它会将此信息在缓存中保存一份，以便下次客户机再查询相同的记录时，利用缓存中信息直接回答客户机的查询。

这份数据只会在缓存中保存一段时间，这段时间称为TTL（Time-To-Live）。

当记录保存到缓存中，TTL计时启动，当TTL时间递减到0的时候，记录被从缓存中清除。

TTL默认值为3600秒（1小时）。

　　5.1.3.区域的复制与传输

　　由于区域（zone）在DNS中所处的重要地位，用户可以通过多个DNS服务器提高域名解析的可靠性和容错性。

当一台DNS服务器发生问题时，可以用其它DNS服务器提供域名解析。

这就需要利用区域复制和同步方法保证管理区域的所有DNS服务器中域的记录相同。

在Windows2000服务器中,DNS服务支持增量区域传输（incrementalzonetransfer）。

所谓增量区域传输就是在更新区域中的记录时，DNS服务器之间只传输发生改变的记录，因此提高了传输的效率。

在以下情况区域传输启动：

§　当管理区域的辅助DNS服务器启动的时候

§　当区域的刷新时间间隔过期后

§　当在主DNS服务器记录发生改变并设置了通告列表

　　DNS通告

　　所谓DNS通告是利用"推"的机制，当DNS服务器中的区域记录发生改变时，它将通知选定的DNS服务器进行更新，被通知的服务器启动区域复制操作。

5.1.4.在Windows2000Server中的DNS服务的新特性

　　与ActiveDirectory的集成

　　ActiveDirectory提供了一个企业级的工具，利用它在网络中组织、管理、定位资源。

　　当DNS服务与ActiveDirectory集成在一起，它发生了两个明显的变化：

§　DNS需要安装在Windows2000域控制器中（domaincontrollers）。

NetLogon服务利用新的DNS服务器所支持的SRV（service）资源记录提供客户机注册的服务 

§　用户可以利用ActiveDirectory来存储、集成及复制区域 

　　DNS服务在域控制器中是默认安装的，因为域控制器的定位和活动目录的应用都需要DNS服务器的支持。

一旦活动目录安装完成，用户可以有两种方式保存和复制区域：

§　利用文本文件存储标准区域信息

区域信息存储在%SystemRoot%\System32\Dns目录下的*.dns文件中。

§　利用活动目录存储完整目录区域信息 

区域信息存储在活动目录树中的域对象容器中，每个目录集成区域存储在一个dnsZone的容器对象中。

　　在网络中配置DNS服务器支持活动目录将具有以下优点：

§　基于活动目录的Multi-master信息更新和安全性的提高 

　　在标准区域存储模式中，DNS的更新是基于一种被称为single-master更新模式，在这种模式中，单一的授权DNS服务器被指定为主信息源，如果服务器出现问题则DNS客户机的请求将无法进行处理。

而使用multi-master更新模式，则任意一台DNS服务器都可以被指定为区域的主信息源，因为区域（zone）的全部信息记录是由活动目录数据库进行管理的，并且它将被复制到所有的域控制器中，任何域控制器都可以利用DNS服务更新区域信息，并处理DNS客户机的请求。

§　当在活动目录domain中加入新的域控制器时Zones的信息将自动复制到新的域控制器中

§　由于DNS域名空间信息存储在活动目录中，用户现在可以容易的规划和管理DNS和活动目录

§　与标准的DNS目录复制相比现在的目录复制更为快捷有效

　　支持Unicode字符

　　在以前的制定的DNS标准中规定只能使用ASCII字符编码和显示名称。

在使用DNS进行Internet设置时，明显限制了在名称中使用扩展字符的使用。

为了突破这种限制，在Windows2000中DNS服务提供对UTF-8的支持。

　　在Windows2000服务器启动时，DNS服务采用UTF-8编码识别方式。

即当服务器接收或使用的数据为UTF-8编码字符时，服务器可以在区域中加载或存储这些数据。

当然Windows2000与使用传统US-ASCII字符的DNS服务器兼容。

返回页首>>>

5.2.安装DNS服务器

　　步骤1启动"添加/删除程序"，之后出现"添加/删除程序"对话框

　　步骤2单击"添加/删除Windows组件"，出现"windows组件向导"单击下一步"出现"Windows组件"对话框从列表中选择"网络服务"如图5.5

步骤3单击"详细内容"，从列表中选取"域名服务系统（DNS）",如图5.6，单击"确定"

　　步骤4单击"下一步"输入到Windows2000Server的安装源文件的路径，单击"确定"开始安装DNS服务

　　步骤5单击"完成"，当回到"添加/删除程序"对话框后，单击"关闭"按钮

　　步骤6关闭"添加/删除程序"窗口。

　　安装完毕后在管理工具中多了一个"DNS"控制台（安装结束后不用重新启动计算机）

　　在安装ActiveDirectory的同时也安装和配置了DNS服务器，所以就不用在重复上述的安装过程了，具内容详见ActiveDirectory的安装于配置。

返回页首>>>

5.3.DNS服务器的设置与管理

　　5.3.1.DNS的启动设置

　　DNS服务器在启动时，需要从相关配置文件中知道它所要管理的zone的信息，及文件的位置。

对于符合BIND（BerkeleyInternetNameDomain）规格的DNS服务器是利用bootfile来获得配置信息的。

在Windows2000中可以利用下表中的方法启动DNS服务：

方式

描述

　　从注册表（Registry）引导

初始化DNS服务时从注册表中读取配置参数，DNS服务的默认引导方式。

　　从文件引导

初始化DNS服务时从符合BIND规格的bootfile中读取配置参数，首选必须从其它BIND服务器拷贝一份bootfile文件，在启动后相关配置参数将保存在注册表中。

　　从DS引导

初始化DNS服务时从ActiveDirectory中读取配置参数

在DNS服务器启动后，用户可以看到如图5.7DNS服务所在的计算机已经添加到DNS控制台中，其中包括"正向搜索区域、反向搜索区域"目录。

5.3.2.添加DNSZone

　　因为DNS的数据是以zone为管理单位的，因此用户必须先建立zone。

添加Zone的具体步骤如下：

　　步骤1在DNS控制台中左侧窗体中选择服务器单击"操作"菜单选择"创建新区域"，启动"创建新区域"向导

　　步骤2在选择区域类型对话框中选择"标准主要区域"如图5.8

　　步骤3在"选择区域搜索类型"中选择"正向搜索"则创建的新区域存放在正向搜索区域目录中

步骤4在区域名对话框中输入新区域的域名如图5.9，如果创建辅助区域则需要输入"主要区域"的域名

　　步骤5在文件名对话框中新文件文本框中自动输入了以域名为文件名的DNS文件，如果是创建"辅助区域"则选择"现存文件"并在文本框中输入文件名

　　步骤6在完成设置对话框中显示以上所设置的信息单击"完成"按钮

下面用户对添加区域中的记录类型加以说明

记录的格式：

　　所有的资源记录（RRs）都利用相同top-level子段组成其指定的格式

子段

描述

　　Owner

在DNS管理器中说明记录的所有者的DNS域名，与记录属性中的父类域名是一样的

　　Time-To-Live（TTL）

对于许多记录这项是可选，它表示该记录在其它DNS服务器的缓存中保存的时间长度

　　Class

对于许多记录这项是可选的，它利用标准的记忆文本表示记录所属的类，如在某个记录中的类子段中设置为"IN"表示记录属于Internet类

　　Type

用标准的记忆文本表示记录的类型

　　Record-specificdata

记录必须具备的子段，它根据不同的记录类型和类以不同长度的子段表示记录信息

常用记录类型的说明

主机[A]

描述:

主机地址记录。

在DNS域名与IP地址之间建立映射关系

语法:

ownerclassttlAIP_v4_address

例子:

.INA127.0.0.1

别名[CNAME]

描述:

用来表示用在该区域中的其它资源记录类型中已指定名称的替补或别名DNS域名。

语法:

ownerttlclassAFSDBsubtypeserver_host_name

例子:

.AFSDB1.

主机信息[HINFO]

描述:

用来说明映射到特定DNS主机名的CPU类型和操作系统类型的RFC-1700保留字符串类型，这个信息可以被应用程序通信协议使用。

语法:

ownerttlclassHINFOcpu_typeos_type

例子:

my-computer-.HINFOINTEL-386WIN32

邮箱[MB]

描述:

用来将指定的域邮箱名映射到这个邮箱的主机的当前区域中的主机地址记录

语法:

ownerttlclassMBmailbox_hostname

例子:

.MB

邮箱或通信信息MINFO

描述:

用来指定负责维护该记录中特定通信名单或邮箱的联系域邮箱名称。

同时，还被用来指定接收与该记录中特定通信名单或邮箱有关的错误信息的邮箱

语法:

ownerttlclassMINFOresponsible_mailboxerror_mailbox

例子:

.MINFOresp-err-

邮件交换器[MX]

描述:

用来向特定邮件交换器提供消息路由，该主机作为指定DNS域名的邮件交换器。

MX记录需要一个16-位整数来表示消息路由中的主机优先级，多个邮件交换在消息一中被指定。

对于这个记录类型中的每个邮件交换主机，需要一个相应的主机地址类型记录。

语法:

ownerttlclassMXpreferencemail_exchanger_host

例子:

.MX10

指针记录[PTR]

描述:

用来指向域名空间中的某个位置。

PTR记录通常在特殊域中来执行地址到名称镜像的反向搜索。

每个记录提供要指向域名称空间的某个其它位置的简单数据。

Syntax:

ownerttlclassPTRtargeted_domain_name

例子:

1.0.0.10.in-addr.arpa.PTR.

服务记录[SRV]

描述:

SRV资源记录允许管理员使用单一DNS域的多个服务器，容易的用管理功能将TCP/IP服务从一个主机移到另一个主机，并且将服务提供的程序主机分派为服务的主服务器，将其它的分派为辅助的

语法:

service.protocol.namettlclassSRVpreferenceweightporttarget

例子:

ldap.tcp.ms-dcsSRV00389SRV100389

已知服务记录[WKS]

描述:

用来描述一个特定IP地址上特定通讯协议支持的TCP/IP服务，它提供TCP和UDP可使用性信息。

如果服务器同时支持TCP和UDP的已知服务，或者有多个支持服务的IP地址，多个WKS记录会被使用

语法:

ownerttlclassWKSaddressprotocolservice_list

例子:

.WKS10.0.0.1TCP（telnetsmtpftp）

　　在"起始颁发机构"SOA中，记录了这个Zone中DNS服务器是那一台主机，也记录着负责本zone的管理员的邮件地址，如果以后在安装邮件服务器需要修改该信息时，注意将邮件地址中的"@"符改为句点"."，因为"@"是保留字，代表zone；另外，要使用域完整名称FQDN，不要漏掉最后的句点。

可以通过"zone→属性→起始颁发机构"对管理员邮件地址进行修改。

5.3.3添加DNSDomain

　　在一个区域中用户还可以按地域、职能等划分为多个子域便于管理，如用户可以在NT域中按部门划分为"sale","accounting","mis"等部门。

下面用户举例说明在域中加入accounting子域：

　　步骤1单击后单击"操作"单击"新建"，选择域

　　步骤2在域对话框中输入域名

　　步骤3单击确定

　　添加反向查询区域（zone）

　　反向查询可以让用户利用IP地址查询名称。

添加反向查询的具体步骤如下：

　　步骤1在DNS控制台中选择"反向查询区域→操作→创建

新区域"

　　步骤2启动创建新区域向导→在选择区域类型对话框中选择标准主要区域

　　步骤3在网络ID对话框中输入反向搜索区域的网络标识（假设提供反向查询的zone为198.188.188）,向导会自动输入子网掩码并在文件名对话框中输入的新文件名称如图