第十九章、主機名稱控制者：DNS 伺服器

目前的網際網路世界使用的是所謂的 TCP/IP 協定，其中 IP 為第四版的 IPv4 。不過，這個 IPv4 是由 32 位元所組成，為了人腦已經轉成四組十進位的數字了，例如 12.34.56.78 這樣的格式。當我們利用 Internet 傳送資料的時候，就需要這個 IP ，否則資料封包怎麼知道要被送到哪裡去？

• ---

  單一檔案處理上網的年代： /etc/hosts

然而人腦對於 IP 這種數字的玩意兒，記憶力實在是不怎麼樣。但是要上 Internet 又一定需要 IP，怎麼辦？為了應付這個問題， 早期的朋友想到一個方法，那就是利用某些特定的檔案將主機名稱與 IP 作一個對應， 如此一來，我們就可以透過主機名稱來取得該主機的 IP 了！真是個好主意，因為人類對於名字的記憶力可就好多了！ 那就是 /etc/hosts 這個檔案的用途了。

可惜的是，這個方法還是有缺憾的，那就是主機名稱與 IP 的對應無法自動於所有的電腦內更新， 且要將主機名稱加入該檔案僅能向 INTERNIC 註冊，若 IP 數量太多時，該檔案會大到不像話，也就更不利於其他主機同步化了。 如下圖所示，用戶端電腦每次都得要重新下載一次檔案才能順利聯網！

圖 19.1-1、早期透過單一檔案進行網路連線的示意圖

在第四章 4.2.1 裡面我們約略談過 /etc/hosts 這個檔案的用法，基本上該檔案內容就是『IP 主機名稱 主機別名一 主機別名二...』。在裡面最重要的就是 localhost 對應到 127.0.0.1 這個咚咚！你千萬不能刪除該筆記錄的。這裡也再次強調，在你的私有網域內部，最好將所有的私有 IP 與主機名稱對應都寫入這個檔案中啦！

• ---

  分散式、階層式主機名稱管理架構： DNS 系統

早期網路尚未流行且電腦數量不多時，/etc/hosts 倒是還夠用的，但自從 90 年代網路熱門化後，單一檔案 /etc/hosts 的聯網問題就發生上面講的狀況啦！為了解決這個日益嚴重的問題，柏克萊大學發展出另外一套階層式管理主機名稱對應 IP 的系統， 我們稱它為 Berkeley Internet Name Domain, BIND ，這個系統可就優秀的多了～ 透過階層式管理，可以輕鬆的進行維護的工作～太棒了！這也是目前全世界使用最廣泛的領域名稱系統 (Domain Name System, DNS) 哩～透過 DNS ，我們不需要知道主機的 IP ，只要知道該主機的名稱，就能夠輕易的連上該主機了！

DNS 利用類似樹狀目錄的架構，將主機名稱的管理分配在不同層級的 DNS 伺服器當中，經由分層管理， 所以每一部 DNS 伺服器記憶的資訊就不會很多，而且若有 IP 異動時也相當容易修改！因為你如果已經申請到主機名稱解析的授權， 那麼在你自己的 DNS 伺服器中，就能夠修改全世界都可以查詢到的主機名稱了！而不用透過上層 ISP 的維護呢！ 自己動手當然是最快的啦！

由於目前的 IPv4 已經接近發送完畢的階段，因此未來那個 128bits 的 IPv6 會逐漸熱門起來。那麼你需要背 128bits 的 IP 來上網嗎？想必是不可能的！因此這個可以透過主機名稱就解析到 IP 的 DNS 服務，可以想像的到，它會越來越重要。此外，目前全世界的 WWW 主機名稱也都是透過 DNS 系統在處理 IP 的對應，所以，當 DNS 掛點時，我們將無法透過主機名稱來連線，那就幾乎相當於沒有 Internet 了！

因為 DNS 是這麼的重要，所以即使我們沒有架設它的必要時，還是得要熟悉一下它的原理才好。因此，跟 DNS 有關的 FQDN、Hostname 與 IP 的查詢流程，正解與反解、合法授權的 DNS 伺服器之意義，以及 Zone 等等的知識作一個認識才行！

Tips

在底下的說明當中，我們有時會提到 DNS 有時會提到 BIND ，這有什麼不同？ 由上面的說明裡面，你可以瞭解到， DNS 是一種網際網路的通訊協定名稱， 至於 Bind 則是提供這個 DNS 服務的軟體～這樣你瞭解了嗎？！

• ---

  完整主機名稱： Fully Qualified Domain Name (FQDN)

第一個與 DNS 有關的主機名稱概念，就是『主機名稱與領域名稱 (hostname and domain name)』的觀念，以及由這兩者組成的完整主機名稱 Fully Qualified Domain Name, FQDN 的意義了。在討論這個主題之前，我們來聊一聊比較生活化的話題：

• 以區域來區分同名同姓者的差異： 網路世界其實有很多人自稱為『鳥哥』的，包括敝人在下小生我啦！那麼你怎麼知道此鳥哥非彼鳥哥呢？ 這個時候你可以利用每個鳥哥的所在地來作為區分啊，比如說台南的鳥哥與台北的鳥哥等。 那萬一台南還有兩個人自稱鳥哥怎麼辦？沒關係，你還可以依照鄉鎮來區分呢！比如說台南北區的鳥哥及台南中區的鳥哥。 如果將這個咚咚列出來，就有點像這樣：

  鳥哥、北區、台南 鳥哥、中區、台南 鳥哥、台北 ......

  是否就可以分辨每個鳥哥的不同點了呢？呵呵！沒錯！就是這樣！那個地區就是『領域 (domain) 』，而鳥哥就是主機名啦！
  
  
• 以區域號碼來區分相同的電話號碼： 另外一個例子可以使用電話號碼來看，假如高雄有個 1234567 而台南也有個 1234567，那麼(1)你在高雄直接撥接 1234567 時，他會直接掛入高雄的 1234567 電話中，(2)但如果你要撥到台南去，就得加入 (06) 這個區碼才行！我們就是使用區碼來做為辨識之用的！此時那個 06 區碼就是 domain name，而電話號碼就是主機名稱啦！

有沒有一點點瞭解鳥哥想表達的啦？我們上面講到，DNS 是以樹狀目錄分階層的方式來處理主機名稱，那我們知道樹狀目錄中， 那個目錄可以記錄檔名。那麼 DNS 記錄的哪個咚咚跟『目錄』有關？就是那個領域名稱。領域名稱底下還可以記錄各個主機名稱， 組合起來才是完整的主機名稱 (FQDN)。

舉例來說，我們常常會發現主機名稱都是 www 的網站，例如 www.google.com.tw, www.seednet.net, www.hinet.net 等等，那麼我們怎麼知道這些 www 名稱的主機在不同的地方呢？就需要給他領域名稱囉！也就是 .google.com.tw, .seednet.net, .hinet.net 等等的不同，所以即使你的主機名稱相同，但是只要不是在同一個領域內，那麼就可以被分辨出不同的位置囉！

我們知道目錄樹的最頂層是根目錄 (/)，那麼 DNS 既然也是階層式的，最頂層是啥呢？每一層的 domain name 與 hostname 又該怎麼分？我們舉鳥哥所在的崑山科大的 WWW 伺服器為例好了 (www.ksu.edu.tw) ：

圖 19.1-2、分階層的 DNS 架構，以崑山科大為例 (hostname & domain name)

在上面的例子當中，由上向下數的第二層裡面，那個 .tw 是 domain name ，而 com, edu, gov 則是主機的名稱，而在這個主機的名稱之管理下，還有其他更小網域的主機，所以在第三層的時候，基本上，那個 edu.tw 就變成了 domain name 了！而崑山科大與成大的 ksu, ncku 則成為了 hostname 囉！

以此類推，最後得到我們的主機那個 www 是主機名稱，而 domain name 是由 ksu.edu.tw 那個名字所決定的！自然，我們的主機就是讓管理 ksu.edu.tw 這個 domain name 的 DNS 伺服器所管理的囉！這樣是否瞭解了 domain name 與 hostname 的不同了呢？

Tips

並不是以小數點 (.) 區分 domain name 與 hostname 喔！某些時刻 domain name 所管理的 hostname 會含有小數點。 舉例來說，鳥哥所在的資訊傳播系並沒有額外的 DNS 伺服器架設，因此我們的主機名稱為 www.dic ，而 domain name 還是 ksu.edu.tw ，因此全名為 www.dic.ksu.edu.tw 哩！

約略瞭解了 FQDN 的 domain name 與 hostname 之後，接下來我們要談一談這個 DNS 的： (1)階層架構是怎樣？ (2)查詢原理是怎樣？總是要先知道架構才能知道如何查詢主機名稱的吶！所以底下我們先來介紹一下整體的 DNS 階層架構。

• ---

  DNS 的階層架構與 TLD

我們依舊使用台灣學術網路的 DNS 伺服器所管理的各 domain 為例，將最上層到崑山科大 (ksu) 時，之間的各層繪製如下圖：

圖 19.1-3、從最上層到崑山科大之間的 DNS 階層示意圖

在整個 DNS 系統的最上方一定是 . (小數點) 這個 DNS 伺服器 (稱為 root)，最早以前它底下管理的就只有 (1)com, edu, gov, mil, org, .net 這種特殊領域以及 (2)以國家為分類的第二層的主機名稱了！這兩者稱為 Top Level Domains (TLDs) 喔！

• 一般最上層領域名稱 (Generic TLDs, gTLD)：例如 .com, .org, .gov 等等
• 國碼最上層領域名稱 (Country code TLDs, ccTLD)：例如 .tw, .uk, .jp, .cn 等

先來談談一般最上層領域 (gTLD) 好了，最早 root 僅管理六大領域名稱，分別如下：

但是網際網路成長的速度太快了，因此後來除了上述的六大類別之外，還有諸如 .asia, .info, .jobs (註1) 等領域名稱的開放。此外，為了讓某些國家也能夠有自己的最上層領域名稱，因此， 就有所謂的 ccTLD 了。這樣做有什麼好處呢？因為自己的國家內有最上層 ccTLD ，所以如果有 domain name 的需求，則只要向自己的國家申請即可，不需要再到最上層去申請囉！

• ---

  授權與分層負責

既然 TLD 這麼好，那麼是否我們可以自己設定 TLD 呢？當然不行！因為我們得向上層 ISP 申請領域名稱的授權才行。例如台灣地區最上層的領域名稱是以 .tw 為開頭，管理這個領域名稱的機器 IP 是在台灣，但是 .tw 這部伺服器必須向 root (.) 註冊領域名稱查詢授權才行 (如上圖 19.1-3 所示)。

那麼每個國家之下記錄的主要下層有哪些領域呢？基本上就是原先 root 管理的那六大類。 不過，由於各層 DNS 都能管理自己轄下的主機名稱或子領域，因此，我們的 .tw 可以自行規劃自己的子領域名稱喔！ 例如目前台灣 ISP 常提供的 .idv.tw 的個人網站就是一例啊！

再強調一次，DNS 系統是以所謂的階層式的管理，所以，請注意喔！那個 .tw 只記錄底下那一層的這數個主要的 domain 的主機而已！至於例如 edu.tw 底下還有個 ksu.edu.tw 這部機器，那就直接授權交給 edu.tw 那部機器去管理了！也就是說『 每個上一層的 DNS 伺服器所記錄的資訊，其實只有其下一層的主機名稱而已！ 』至於再下一層，則直接『授權』給下層的某部主機來管理囉！呵呵！所以你就應該會知道 DNS 到底是如何管理的吧！

會這樣設定的原因不是沒有道理的！這樣設計的好處就是：每部機器管理的只有下一層的 hostname 對應 IP 而已，所以減少了管理上的困擾！而下層 Client 端如果有問題，只要詢問上一層的 DNS server 即可！不需要跨越上層，除錯上面也會比較簡單呢！

• ---

  透過 DNS 查詢主機名稱 IP 的流程

剛剛說過 DNS 是以類似『樹狀目錄』的型態來進行主機名稱的管理的！所以每一部 DNS 伺服器都『僅管理自己的下一層主機名稱的轉譯』而已， 至於下層的下層，則『授權』給下層的 DNS 主機來管理啦！這樣說好像很繞口，好吧！我們就以下圖來說一說原理囉：

圖 19.1-4、透過 DNS 系統查詢主機名稱解譯的流程

首先，當你在瀏覽器的網址列輸入 http://www.ksu.edu.tw 時，你的電腦就會依據相關設定 (在 Linux 底下就是利用 /etc/resolv.conf 這個檔案) 所提供的 DNS 的 IP 去進行連線查詢了。由於目前最常見的 DNS 伺服器就屬 Hinet 的 168.95.1.1 這個 DNS，所以我們就拿他來做例子吧！嗯！這個時候，hinet 的這部伺服器會這樣工作：

1. 收到用戶的查詢要求，先查看本身有沒有紀錄，若無則向 . 查詢：
   由於 DNS 是階層式的架構，每部主機都會管理自己轄下的主機名稱解譯而已。因為 hinet 並沒有管理台灣學術網路的權力， 因此就無法直接回報給用戶端。此時 168.95.1.1 就會向最頂層，也就是 . (root) 的伺服器查詢相關 IP 資訊。
   
   
2. 向最頂層的 . (root) 查詢：
   168.95.1.1 會主動的向 . 詢問 www.ksu.edu.tw 在哪裡呢？但是由於 . 只記錄了 .tw 的資訊 (因為台灣只有 .tw 向 . 註冊而已)，此時 . 會告知『我是不知道這部主機的 IP 啦，不過，你應該向 .tw 去詢問才對，我這裡不管！ 我跟你說 .tw 在哪裡吧！』
   
   
3. 向第二層的 .tw 伺服器查詢：
   168.95.1.1 接著又到 .tw 去查詢，而該部機器管理的又僅有 .edu.tw, .com.tw, gov.tw... 那幾部主機，經過比對後發現我們要的是 .edu.tw 的網域，所以這個時候 .tw 又告訴 168.95.1.1 說：『你要去管理 .edu.tw 這個網域的主機那裡查詢，我有他的 IP ！』
   
   
4. 向第三層的 .edu.tw 伺服器查詢：
   同理可證， .edu.tw 只會告訴 168.95.1.1 ，應該要去 .ksu.edu.tw 進行查詢，這裡只能告知 .ksu.edu.tw 的 IP 而已。
   
   
5. 向第四層的 .ksu.edu.tw 伺服器查詢：
   等到 168.95.1.1 找到 .ksu.edu.tw 之後， Bingo ！.ksu.edu.tw 說：『沒錯！這部主機名稱是我管理的～ 我跟你說他的 IP 是...所以此時 168.95.1.1 就能夠查到 www.ksu.edu.tw 的 IP 囉！
   
   
6. 記錄暫存記憶體並回報用戶：
   查到了正確的 IP 後，168.95.1.1 的 DNS 機器總不會在下次有人查詢 www.ksu.edu.tw 的時候再跑一次這樣的流程吧！ 粉遠粉累的吶！而且也很耗系統的資源與網路的頻寬，所以呢，168.95.1.1 這個 DNS 會很聰明的先記錄一份查詢的結果在自己的暫存記憶體當中，以方便回應下一次的相同要求啊！ 最後則將結果回報給 client 端！當然啦，那個記憶在 cache 當中的資料，其實是有時間性的，當過了 DNS 設定記憶的時間 (通常可能是 24 小時)，那麼該記錄就會被釋放喔！

整個分層查詢的流程就是這樣，總是得要先經過 . 來向下一層進行查詢，最終總是能得到答案的。這樣分層的好處是：

• 主機名稱修改的僅需自己的 DNS 更動即可，不需通知其他人：
  當一個『合法』的 DNS 伺服器裡面的設定修改了之後，來自世界各地任何一個 DNS 的要求，都會正確無誤的顯示正確的主機名稱對應 IP 的資訊，因為他們會一層一層的尋找下來。所以，要找你的主機名稱對應的 IP 就一定得要透過你的上層 DNS 伺服器的紀錄才行！因此，只要你的主機名字是經過上層『合法的 DNS』伺服器設定的，那麼就可以在 Internet 上面被查詢到啦！呵呵！很簡單維護吧，機動性也很高。
  
  
• DNS 伺服器對主機名稱解析結果的快取時間：
  由於每次查詢到的結果都會儲存在 DNS 伺服器的快取記憶體中，以方便若下次有相同需求的解析時，能夠快速的回應。 不過，查詢結果已經被快取了，但是原始 DNS 的主機名稱與 IP 對應卻修改了，此時若有人再次查詢， 系統可能會回報舊的 IP 喔！所以，在快取內的答案是有時間性的！通常是數十分鐘到三天之內。 這也是為什麼我們常說當你修改了一個 domain name 之後，可能要 2 ~ 3 天後才能全面的啟用的緣故啦！
  
  
• 可持續向下授權 (子領域名稱授權)：
  每一部可以記錄主機名稱與 IP 對應的 DNS 伺服器都可以隨意更動他自己的資料庫對應， 因此主機名稱與網域名稱在各個主機底下都不相同。舉例來說， idv.tw 是僅有台灣才有這個 idv 的網域～ 因為這個 idv 是由 .tw 所管理的，所以只要台灣 .tw 維護小組同意，就能夠建立該網域喔！

好啦！既然 DNS 這麼棒，然後我們又需要架站，所以需要一個主機的名稱，那麼我們需要架設 DNS 了嗎？當然不是，為什麼呢？剛剛鳥哥提到了很多次的『合法』的字眼，因為他就牽涉到『授權』的問題了！ 我們在第十章當中也提到，只要主機名稱合法即可，不見得需要架設 DNS 的啦！

[root@www ~]# dig +trace www.ksu.edu.tw
; <<>> DiG 9.3.6-P1-RedHat-9.3.6-16.P1.el5 <<>>+trace www.ksu.edu.tw
;; global options:  printcmd
.                       486278  IN      NS      a.root-servers.net.
.                       486278  IN      NS      b.root-servers.net.
....(底下省略)....
# 上面的部分在追蹤 . 的伺服器，可從 a ~ m.root-servers.net.
;; Received 500 bytes from 168.95.1.1#53(168.95.1.1) in 22 ms

tw.                     172800  IN      NS      ns.twnic.net.
tw.                     172800  IN      NS      a.dns.tw.
tw.                     172800  IN      NS      b.dns.tw.
....(底下省略)....
# 上面的部分在追蹤 .tw. 的伺服器，可從 a ~ h.dns.tw. 包括 ns.twnic.net.
;; Received 474 bytes from 192.33.4.12#53(c.root-servers.net) in 168 ms

edu.tw.                 86400   IN      NS      a.twnic.net.tw.
edu.tw.                 86400   IN      NS      b.twnic.net.tw.
# 追蹤 .edu.tw. 的則有 7 部伺服器
;; Received 395 bytes from 192.83.166.11#53(ns.twnic.net) in 22 ms

ksu.edu.tw.             86400   IN      NS      dns2.ksu.edu.tw.
ksu.edu.tw.             86400   IN      NS      dns3.twaren.net.
ksu.edu.tw.             86400   IN      NS      dns1.ksu.edu.tw.
;; Received 131 bytes from 192.83.166.9#53(a.twnic.net.tw) in 22 ms

www.ksu.edu.tw.         3600    IN      A       120.114.100.101
ksu.edu.tw.             3600    IN      NS      dns2.ksu.edu.tw.
ksu.edu.tw.             3600    IN      NS      dns1.ksu.edu.tw.
ksu.edu.tw.             3600    IN      NS      dns3.twaren.net.
;; Received 147 bytes from 120.114.150.1#53(dns2.ksu.edu.tw) in 14 ms

• ---

  DNS 使用的 port number

好了，既然 DNS 系統使用的是網路的查詢，那麼自然需要有監聽的 port 囉！沒錯！很合理！那麼 DNS 使用的是那一個 port 呢？那就是 53 這個 port 啦！你可以到你的 Linux 底下的 /etc/services 這個檔案看看！搜尋一下 domain 這個關鍵字，就可以查到 53 這個 port 啦！

但是這裡需要跟大家報告的是，通常 DNS 查詢的時候，是以 udp 這個較快速的資料傳輸協定來查詢的， 但是萬一沒有辦法查詢到完整的資訊時，就會再次的以 tcp 這個協定來重新查詢的！所以啟動 DNS 的 daemon (就是 named 啦) 時，會同時啟動 tcp 及 udp 的 port 53 喔！所以，記得防火牆也要同時放行 tcp, udp port 53 呢！

什麼？DNS 伺服器的架設還有『合法』與『不合法』之分喔？不是像其他的伺服器一樣，架設好之後人家就查的到嗎？ 非也非也！為什麼呢？底下我們就來談一談。

• ---

  向上層領域註冊取得合法的領域查詢授權

我們在第十章也講過，申請一個合法的主機名稱就是需要註冊， 註冊就是需要花錢啦！那麼註冊取得的資料有兩種，一種是第十章談到的 FQDN (主機名稱)，一種就是申請領域查詢權。所謂的 FQDN 就是我們只需要主機名，詳細的設定資料就由 ISP 幫我們搞定。例如圖 19.1-4 所示， 那部 www.ksu.edu.tw 的詳細主機名稱對應 IP 的資料就是請管理 .ksu.edu.tw 那個領域的伺服器搞定的。

那什麼是領域查詢授權呢？同樣用圖 19.1-4 來解釋，我們的 .ksu.edu.tw 必須要向 .edu.tw 那部主機註冊申請領域授權，因此，未來有任何 .ksu.edu.tw 的要求時， .edu.tw 都會說：『我不知道！ 詳情請去找 .ksu.edu.tw 吧！』此時，我們就得要架設 DNS 伺服器來設定 .ksu.edu.tw 相關的主機名稱對應才行喔！ 是否很像人類社會的『授權』的概念？

也就是說，當你老闆充分的『授權』給你某項工作的時候，從此，要進行該項工作的任何人， 從老闆那邊知道你才是真正『有權』的人之後，都必須要向你請示一樣！^_^！所以囉，如果你要架設 DNS ，而且是可以連上 Internet 上面的 DNS 時，你就必須要透過『上層 DNS 伺服器的授權』才行！這是很重要的觀念喔！

讓我們歸納一下，要讓你的主機名稱對應 IP 且讓其他電腦都可以查詢的到，你有兩種方式：

1. 上層 DNS 授權領域查詢權，讓你自己設定 DNS 伺服器，或者是；
2. 直接請上層 DNS 伺服器來幫你設定主機名稱對應！
   
   

• ---

  擁有領域查詢權後，所有的主機名資訊都以自己為準，與上層無關

很多朋友可能都有過申請 DNS 領域查詢授權的經驗，在申請時，ISP 就會要你填寫 (1)你的 DNS 伺服器名稱以及 (2)該伺服器的 IP。既然已經在 ISP 就填寫了主機名稱與 IP 的對應，所以，即使我的 DNS 伺服器掛點了，在 ISP 上面的主機名稱應該還是查到的 IP 吧？答案是：『錯！』查不到的！為什麼呢？

DNS 系統記錄的資訊非常的多，不過重點其實有兩個，一個是記錄伺服器所在的 NS (NameServer) 標誌，另一個則是記錄主機名稱對應的 A (Address) 標誌。我們在網路上面查詢到的最終結果，都是查詢 IP (IP Address) 的，因此最終的標誌要找的是 A 這個記錄才對！我們以鳥哥註冊的 .vbird.org 來說明好了，鳥哥去註冊時， 記錄在 ISP 的 DNS 伺服器名稱為 dns.vbird.org，該筆記錄其實就是 NS ，並非 A ，如下圖所示：

圖 19.1-5、記錄的授權主機名稱與實際 A 記錄的差異

上圖中，雖然在 godaddy 伺服器內有記錄一筆『要查詢 .vbird.org 時，請到 dns.vbird.org (NS) 去查，這個管理者的 IP 是 140.116...』，但是這筆記錄只是告訴我們要去下一個伺服器找，並不是最終的 A (IP Address) 的答案，所以還得要繼續往下找 (隨時記得圖 19.1-4 的查詢流程)。此時，有幾種結果會導致 dns.vbird.org 的 IP 找不到，或者是最終的 IP 與 godaddy 記錄的不同的結果喔！那就是：

• dns.vbird.org 伺服器掛點時： 如果 dns.vbird.org 這部主機掛點，那麼在上圖顯示『查詢』箭頭的步驟會被中斷，因此就會出現『查不到 dns.vbird.org 的 IP』的結果。因為無論如何，DNS 系統都會去找到最後一個含有 A 位址的記錄啊！
  
  
• dns.vbird.org 伺服器內的資料庫忘記補上資料時： 如果鳥哥在自己的伺服器資料庫中，忘記加上 dns.vbird.org 的記錄時，最終的結果還是會顯示『找不到該伺服器的 IP』；
  
  
• dns.vbird.org 伺服器內的資料庫資料編寫不一致時： 如果是在鳥哥自己伺服器的資料庫內的 dns.vbird.org 所記錄的 IP 與 godaddy 的不同，最終的結果會以鳥哥記錄的為準。

總之，你在 ISP 上面填寫的主機名稱只是一個參考用的，最終還是要在你自己 DNS 伺服器當中設定好才行！ 雖然可以自己惡搞一下，不過，通常大家還是會讓 ISP 上面的 DNS 伺服器主機名與自己的資料庫主機名一致， 亦即上圖中，中間與最下面方框內的 dns.vbird.org 的 NS 及 A 都對應到同一個 IP 就是了。

前面 19.1.3 小節以及第十章都談過，申請主機名稱或網域名稱主要有兩種方式，就是剛剛上頭提到的 DNS 授權，或者是直接交給 ISP 來管理。交給 ISP 管理的，就可以稱作是網域名稱代管啦！當然啦，如果你是學校單位的話， 或者是企業內部的小單位，那麼就得請你向上層 DNS 主機的負責人要求囉！無論如何，你只能有兩個選擇就是了，要不就是請他幫忙你設定好 hostname 對應 IP ，要嘛就是請他直接將某個 domain name 段授權給你做為 DNS 的主要管理網域。

那麼我怎麼知道那個方式對我比較好呢？請注意，由於 DNS 架設之後，會多出一個監聽的 port ，所以理論上，是比較不安全的！而且，由於網際網路現在都是透過主機名稱在連線，在瞭解上面談到的主機名稱查詢流程後， 你會發現，DNS 設定錯誤是很要命的！因為你的主機名稱再也找不到了。所以，這裡的建議是：

• 需要架設 DNS 的時機：

• 你所負責需要連上 Internet 的主機數量龐大：例如你一個人負責整個公司十幾部的網路 Server，而這些 Server 都是掛載你的公司網域之下的。這個時候想要不架設 DNS 也粉難啦！
• 你可能需要時常修改你 Server 的名字，或者是你的 Server 有隨時增加的可能性與變動性；

• 不需要架設 DNS 的時機：

• 網路主機數量很少：例如家裡或公司只有需要一部 mail server 時；
• 你可以直接請上層 DNS 主機管理員幫你設定好 Hostname 的對應時；
• 你對於 DNS 的認知不足時，如果架設反而容易造成網路不通的情況；
• 架設 DNS 的費用很高時！

從前面的圖 19.1-4 的查詢流程中，我們知道最重要的就是 .ksu.edu.tw 那部 DNS 伺服器內的記錄資訊了。這些記錄的咚咚我們可以稱呼為資料庫，而在資料庫裡面針對每個要解析的領域 (domain)，就稱為一個區域 (zone)。那麼到底有哪些要解析的領域呢？基本上，有從主機名稱查到 IP 的流程，也可以從 IP 反查到主機名稱的方式。 因為最早前 DNS 的任務就是要將主機名稱解析為 IP，因此：

• 從主機名稱查詢到 IP 的流程稱為：正解
• 從 IP 反解析到主機名稱的流程稱為：反解
• 不管是正解還是反解，每個領域的記錄就是一個區域 (zone)

舉例來說，崑山科大 DNS 伺服器管理的就是 *.ksu.edu.tw 這個領域的查詢權，任何想要知道 *.ksu.edu.tw 主機名的 IP 都得向崑山科大的 DNS 伺服器查詢，此時 .ksu.edu.tw 就是一個『正解的領域』。而崑山科大有申請到幾個 class C 的子網域， 例如 120.114.140.0/24，如果這 254 個可用 IP 都要設定主機名稱，那麼這個 120.114.140.0/24 就是一個『反解的領域』！ 另外，每一部 DNS 伺服器都可以管理多個領域，不管是正解還是反解。

• ---

  正解的設定權以及 DNS 正解 zone 記錄的標誌

那誰可以申請正解的 DNS 伺服器架設權呢？答案是：都可以！只要該領域沒有人使用， 那你先搶到了，就能夠使用了。不過，因為國際 INTERNIC 已經定義出 gTLD 以及 ccTLD 了，所以你不能自訂例如 centos.vbird 這種網域的！還是得要符合上層 DNS 所給予的領域範圍才行。舉例來說，台灣個人網站就常使用 *.idv.tw 這樣的領域名稱。

那正解檔的 zone 裡面主要記錄了什麼東西呢？因為正解的重點在由主機名稱查詢到 IP，而且每部 DNS 伺服器還是得要定義清楚，同時，你可能還需要架設 master/slave 架構的 DNS 環境，因此，正解 zone 通常具有底下幾種標誌：

• SOA：就是開始驗證 (Start of Authority) 的縮寫，相關資料本章後續小節說明；
• NS：就是名稱伺服器 (NameServer) 的縮寫，後面記錄的資料是 DNS 伺服器的意思；
• A：就是位址 (Address) 的縮寫，後面記錄的是 IP 的對應 (最重要)；
  
  

• ---

  反解的設定權以及 DNS 反解 zone 記錄的標誌

正解的領域名稱只要符合 INTERNIC 及你的 ISP 規範即可，取得授權較為簡單 (自己取名字)。那反解呢？反解主要是由 IP 找到主機名稱，因此重點是 IP 的所有人是誰啦！因為 IP 都是 INTERNIC 發放給各家 ISP 的，而且我們也知道，IP 可不能亂設定 (路由問題)！所以囉，能夠設定反解的就只有 IP 的擁有人，亦即你的 ISP 才有權力設定反解的。那你向 ISP 取得的 IP 能不能自己設定反解呢？答案是不行！除非你取得的是整個 class C 以上等級的 IP 網段，那你的 ISP 才有可能給你 IP 反解授權。否則，若有反解的需求，就得要向你的直屬上層 ISP 申請才行！

那麼反解的 zone 主要記錄的資訊有哪些呢？除了伺服器必備的 NS 以及 SOA 之外，最重要的就是：

• PTR：就是指向 (PoinTeR) 的縮寫，後面記錄的資料就是反解到主機名稱囉！
  
  

• ---

  每部 DNS 都需要的正解 zone： hint

現在你知道一個正解或一個反解就可以稱為一個 zone 了！那麼有沒有那個 zone 是特別重要的呢？有的，那就是 . 啊！ 從圖 19.1-4 裡面我們就知道，當 DNS 伺服器在自己的資料庫找不到所需的資訊時， 一定會去找 . ，那 . 在哪裡啊？所以就得要有記錄 . 在哪裡的記錄 zone 才行啊！這個記錄 . 的 zone 的類型，就被我們稱為 hint 類型！這幾乎是每個 DNS 伺服器都得要知道的 zone 喔！

所以說，一部簡單的正解 DNS 伺服器，基本上就要有兩個 zone 才行，一個是 hint ，一個是關於自己領域的正解 zone。舉鳥哥註冊的 vbird.org 為例，在鳥哥的 DNS 伺服器內，至少就要有這兩個 zone：

• hint (root)：記錄 . 的 zone；
• vbird.org：記錄 .vbird.org 這個正解的 zone。

你會發現我沒有 vbird.org 這個 domain 所屬 IP 的反解 zone ，為什麼呢？請參考上面的詳細說明吧！ 簡單的說，就是因為反解需要要求 IP 協定的上層來設定才行！

• ---

  正反解是否一定要成對？

好了，正反解需不需要成套產生，在這裡不用多說明了吧？^_^！請注意喔，在很多的情況下， 尤其是目前好多莫名其妙的領域名稱產生出來，所以，常常會只有正解的設定需求而已。不過也不需要太過擔心啦， 因為通常在反查的情況中，如果你是使用目前台灣地區最流行的 ADSL 上網的話，那麼 ISP 早就已經幫你設定好反解了！例如：211.74.253.91 這個 seednet 的浮動式 IP 反查的結果會得到 211-74-253-91.adsl.dynamic.seed.net.tw. 這樣的主機名稱！所以在一般我們自行申請領域名稱的時候，你只要擔心正解的設定即可！ 不然的話，反正反解的授權根本也不會開放給你，你自己設定得很高興也沒有用呀！ ^_^

事實上，需要正反解成對需求的大概僅有 mail server 才需要吧！由於目前網路頻寬老是被垃圾、廣告郵件佔光， 所以 Internet 的社會對於合法的 mail server 規定也就越來越嚴格。如果你想要架設 mail server 時， 最好具有固定 IP ，這樣才能向你的 ISP 要求設定反解喔！以 hinet 為例的反解申請：

• http://hidomain.hinet.net/top1.html

你知道的，DNS 越來越重要，所以，如果你有註冊過領域名稱的話，就可以發現，現在 ISP 都要你填寫兩部 DNS 伺服器的 IP 哩！因為要作為備援之用嘛！總不能一部 DNS 掛點後，害你的所有主機名稱都不能被找到～那真麻煩～

但是，如果有兩部以上的 DNS 伺服器，那麼網路上會搜尋到哪一部呢？答案是，不知道！因為是隨機的～ 所以，如果你的領域有兩部 DNS 伺服器的話，那這兩部 DNS 伺服器的內容就得完全一模一樣，否則，由於是隨機找到 DNS 來詢問，因此若資料不同步，很可能造成其他用戶無法取得正確資料的問題。

為了解決這個問題，因此在 . (root) 這個 hint 類型的資料庫檔案外，還有兩種基本類型，分別是 Master (主人、主要) 資料庫與 Slave (奴隸、次要) 資料庫類型。這個 Master/Slave 就是要用來解決不同 DNS 伺服器上面的資料同步問題的。 所以底下讓我們來聊聊 Master/Slave 吧！

• ---

  Master：

這種類型的 DNS 資料庫中，裡面所有的主機名稱相關資訊等，通通要管理員自己手動去修改與設定， 設定完畢還得要重新啟動 DNS 服務去讀取正確的資料庫內容，才算完成資料庫更新。一般來說，我們說的 DNS 架設，就是指設定這種資料庫的類型。同時，這種類型的資料庫，還能夠提供資料庫內容給 slave 的 DNS 伺服器喔！

• ---

  Slave：

如前所述，通常你不會只有一部 DNS 伺服器，例如我們前面的例題查詢到的 .ksu.edu.tw 就有 3 部 DNS 伺服器來管理自己的領域。那如果每部 DNS 我們都是使用 Master 資料庫類型，當有用戶向我要求要修改或者新增、刪除資料時， 一筆資料我就得要做三次，還可能會不小心手滑導致某幾部出現錯誤，此時可就傷腦筋了～因此，這時使用 Slave 類型的資料庫取得方式就很有用！

Slave 必須要與 Master 相互搭配，若以 .ksu.edu.tw 的例子來說，如果我必須要有三部主機提供 DNS 服務，且三部內容相同， 那麼我只要指定一部伺服器為 Master ，其他兩部為該 Master 的 Slave 伺服器，那麼當要修改一筆名稱對應時，我只要手動更改 Master 那部機器的設定檔，然後，重新啟動 BIND 這個服務後，呵呵！其他兩部 Slave 就會自動的被通知更新了！這樣一來，在維護上面可就輕鬆寫意的多了～

Tips

如果你設定 Master/Slave 架構時，你的 Master 主機必須要限制 只有某些特定 IP 的主機能夠取得你 Master 主機的正反解資料庫權限才好！ 所以，上面才會提到 Master/Slave 必須要互相搭配才行！

• ---

  Master / Slave 的查詢優先權？

另外，既然我的所有 DNS 伺服器是需要同時提供 internet 上面的領域名稱解析的服務， 所以不論是 Master 還是 Slave 伺服器，他都必須要可以同時提供 DNS 的服務才好！ 因為在 DNS 系統當中，領域名稱的查詢是『先搶先贏』的狀態，我們不會曉得哪一部主機的資料會先被查詢到的！ 為了提供良好的 DNS 服務，每部 DNS 主機都要能正常工作才好啊！而且，每一部 DNS 伺服器的資料庫內容需要完全一致，否則就會造成用戶端找到的 IP 是錯誤的！

• ---

  Master / Slave 資料的同步化過程

那麼 Master/Slave 的資料更新到底是如何動作的呢？請注意，Slave 是需要更新來自 Master 的資料啊！所以當然 Slave 在設定之初就需要存在 Master 才行喔！基本上，不論 Master 還是 Slave 的資料庫，都會有一個代表該資料庫新舊的『序號』，這個序號數值的大小，是會影響是否要更新的動作唷！ 至於更新的方式主要有兩種：

• Master 主動告知：例如在 Master 在修改了資料庫內容，並且加大資料庫序號後， 重新啟動 DNS 服務，那 master 會主動告知 slave 來更新資料庫，此時就能夠達成資料同步；
  
  
• 由 Slave 主動提出要求：基本上， Slave 會定時的向 Master 察看資料庫的序號， 當發現 Master 資料庫的序號比 Slave 自己的序號還要大 (代表比較新)，那麼 Slave 就會開始更新。如果序號不變， 那麼就判斷資料庫沒有更動，因此不會進行同步更新。

由上面的說明來看，其實設計資料庫的序號最重要的目的就是讓 master/slave 資料的同步化。那我們也知道 slave 會向 master 提出資料庫更新的需求，問題是，多久提出一次更新，如果該次更新時由於網路問題，所以沒有查詢到 master 的序號 (亦即更新失敗)，那隔多久會重新更新一次？這個與 SOA 的標誌有關，後續談到正、反解資料庫後， 再來詳細說明吧！

如果你想要架設 Master/Slave 的 DNS 架構時，兩部主機 (Master/Slave) 都需要你能夠掌控才行！網路上很多的文件在這個地方都有點『閃失』，請特別的留意啊！因為鳥哥的 DNS 伺服器常常會聽到某些其他 DNS 的資料庫同步化需求，真覺得煩吶！

從 19.1.1 的說明當中我們曉得主機名稱對應到 IP 有兩種方法，早期的方法是直接寫在檔案裡面來對應， 後來比較新的方法則是透過 DNS 架構！那麼這兩種方法分別使用什麼設定檔？可不可以同時存在？ 若同時存在時，那個方法優先？嗯！我們先來談一談幾個設定檔吧！

• /etc/hosts ：這個是最早的 hostname 對應 IP 的檔案；
• /etc/resolv.conf ：這個重要！就是 ISP 的 DNS 伺服器 IP 記錄處；
• /etc/nsswitch.conf：這個檔案則是在『決定』先要使用 /etc/hosts 還是 /etc/resolv.conf 的設定！

一般而言， Linux 的預設主機名稱與 IP 的對應搜尋都以 /etc/hosts 為優先，為什麼呢？你可以查看一下 /etc/nsswitch.conf ，並找到 hosts 的項目：

[root@www ~]# vim /etc/nsswitch.conf
hosts:      files dns

上面那個 files 就是使用 /etc/hosts，而最後的 dns 則是使用 /etc/resolv.conf 的 DNS 伺服器來進行搜尋啦！因此，你可以先以 /etc/hosts 來設定 IP 對應！當然啦，你也可以將他調換過來，不過，總是 /etc/hosts 比較簡單，所以將他擺在前面比較好啦！

好啦，既然我們是要進行 DNS 測試的，那麼就得要瞭解一下 /etc/resolv.conf 的內容，假設你在台灣，使用的是 hinet 的 168.95.1.1 這部 DNS 伺服器，所以你應該這樣寫：

[root@www ~]# vim /etc/resolv.conf
nameserver 168.95.1.1
nameserver 139.175.10.20

DNS 伺服器的 IP 可以設定多個，為什麼要設定多個呢？因為當第一部 (照設定的順序) DNS 掛點時，我們用戶端可以使用第二部 (上述是 139.175.10.20) 來進行查詢，這多少有點像 DNS 備援功能。 通常建議至少填寫兩部 DNS 伺服器的 IP，不過在網路正常使用的情況下，永遠只有第一部 DNS 伺服器會被使用來查詢，其他的設定值只是在第一部出問題時才會被使用。

Tips

盡量不要設定超過 3 部以上的 DNS IP 在 /etc/resolv.conf 中，因為如果是你的區網出問題，導致無法連線到 DNS 伺服器，那麼你的主機還是會向每部 DNS 伺服器發出連線要求，每次連線都有 timeout 時間的等待，會導致浪費非常多的時間喔！

測試 DNS 的程式有很多，我們先來使用最簡單的 host 吧！然後還有 nslookup 及 dig 哩！

• ---

  host

[root@www ~]# host [-a] FQDN [server]
[root@www ~]# host -l domain [server]
選項與參數：
-a ：代表列出該主機所有的相關資訊，包括 IP、TTL 與除錯訊息等等
-l ：若後面接的那個 domain 設定允許 allow-transfer 時，則列出該 domain 
     所管理的所有主機名稱對應資料！
server：這個參數可有可無，當想要利用非 /etc/resolv.conf 內的 DNS 主機
        來查詢主機名稱與 IP 的對應時，就可以利用這個參數了！

# 1. 使用預設值來查出 linux.vbird.org 的 IP 
[root@www ~]# host linux.vbird.org
linux.vbird.org has address 140.116.44.180             <==這是 IP
linux.vbird.org mail is handled by 10 linux.vbird.org. <==這是 MX (後續章節說明)

# 2. 查出 linux.vbird.org 的所有重要參數
[root@www ~]# host -a linux.vbird.org
Trying "linux.vbird.org"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 56213
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 0

;; QUESTION SECTION:
;linux.vbird.org.               IN      ANY

;; ANSWER SECTION:
linux.vbird.org.        145     IN      A       140.116.44.180

;; AUTHORITY SECTION:
vbird.org.              145     IN      NS      dns.vbird.org.
vbird.org.              145     IN      NS      dns2.vbird.org.

Received 86 bytes from 168.95.1.1#53 in 15 ms  <==果然是從 168.95.1.1 取得的資料
# 看樣子，不就是 dig 的輸出結果？所以，我們才會說，使用 dig 才是王道！

# 3. 強制以 139.175.10.20 這部 DNS 主機來查詢
[root@www ~]# host linux.vbird.org 139.175.10.20
Using domain server:
Name: 139.175.10.20
Address: 139.175.10.20#53
Aliases:

linux.vbird.org has address 140.116.44.180
linux.vbird.org mail is handled by 10 linux.vbird.org.

看到最後一個範例，有注意到上面輸出的特殊字體部分嗎？很多朋友在測試自己的 DNS 時，常常會『指定到錯誤的 DNS 查詢主機』了～因為他們的 /etc/reslov.conf 忘記改，所以老是找不到自己設定的資料庫 IP 資料。所以你要仔細看啊！

# 4. 找出 vbird.org 領域的所有主機對應
[root@www ~]# host -l vbird.org
; Transfer failed.
Host vbird.org not found: 9(NOTAUTH)
; Transfer failed. <==竟然失敗了！請看底下的說明！

怎麼會無法回應呢？這樣的回應是因為管理 vbird.org 領域的 DNS 並不許我們的領域查詢，畢竟我們不是 vbird.org 的系統管理員，當然沒有權限可以讀取整個 vbird.org 的領域設定囉！這個『 host -l 』是用在自己的 DNS 伺服器上，本章稍後談到伺服器設定後，使用這個選項就能夠讀取相關的資料了。

• ---

  nslookup

[root@www ~]# nslookup [FQDN] [server]
[root@www ~]# nslookup
選項與參數：
1. 可以直接在 nslookup 加上待查詢的主機名稱或者是 IP ，[server] 可有可無；
2. 如果在 nslookup 後面沒有加上任何主機名稱或 IP ，那將進入 nslookup 的查詢功能
   在 nslookup 的查詢功能當中，可以輸入其他參數來進行特殊查詢，例如：
   set type=any ：列出所有的資訊『正解方面設定檔』
   set type=mx  ：列出與 mx 相關的資訊！

# 1. 直接搜尋 mail.ksu.edu.tw 的 IP 資訊 
[root@www ~]# nslookup mail.ksu.edu.tw
Server:         168.95.1.1
Address:        168.95.1.1#53  <==還是請特別注意 DNS 的 IP 是否正確！

Non-authoritative answer:
Name:   mail.ksu.edu.tw
Address: 120.114.100.20        <==回報 IP 給你囉！

nslookup 可單純的將 hostname 與 IP 對應列出而已，不過，還是會將查詢的 DNS 主機的 IP 列出來的！ 如果想要知道更多詳細的參數，那可以直接進入 nslookup 這個軟體的操作畫面中，如下範例：

[root@www ~]# nslookup  <==進入 nslookup 查詢畫面
> 120.114.100.20         <==執行反解的查詢
> www.ksu.edu.tw         <==執行正解的查詢
# 上面這兩個僅列出正反解的資訊，沒有啥了不起的地方啦！
> set type=any           <==變更查詢，不是僅有 A，全部資訊都列出來
> www.ksu.edu.tw
Server:         168.95.1.1
Address:        168.95.1.1#53

Non-authoritative answer:
Name:   www.ksu.edu.tw
Address: 120.114.100.101  <==這是答案

Authoritative answers can be found from: <==這是相關授權 DNS 說明
ksu.edu.tw      nameserver = dns2.ksu.edu.tw.
ksu.edu.tw      nameserver = dns1.ksu.edu.tw.
dns1.ksu.edu.tw internet address = 120.114.50.1
dns2.ksu.edu.tw internet address = 120.114.150.1
> exit <==離開吧！皮卡丘

在上面的案例當中，請注意，如果你在 nslookup 的查詢畫面當中，輸入 set type=any 或其他參數， 那麼就無法再進行反解的查詢了！這是因為 any 或者是 mx 等等的標誌都是記錄在正解 zone 當中的緣故！

• ---

  dig (未來的主流，請愛用他！)

[root@www ~]# dig [options] FQDN [@server]
選項與參數：
@server ：如果不以 /etc/resolv.conf 的設定來作為 DNS 查詢，可在此填入其他的 IP
options：相關的參數很多，主要有 +trace, -t type 以及 -x 三者最常用
  +trace ：就是從 . 開始追蹤，在 19.1.2 裡面談過了！回頭瞧瞧去！
  -t type：查詢的資料主要有 mx, ns, soa 等類型，相關類型 19.4 來介紹
  -x     ：查詢反解資訊，非常重要的項目！

# 1. 使用預設值查詢 linux.vbird.org 吧！
[root@www ~]# dig linux.vbird.org
; >><< DiG 9.3.6-P1-RedHat-9.3.6-16.P1.el5 >><< linux.vbird.org
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42438
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 0

;; QUESTION SECTION:     <==提出的問題的部分
;linux.vbird.org.               IN      A

;; ANSWER SECTION:       <==主要的回答階段
linux.vbird.org.        600     IN      A       140.116.44.180

;; AUTHORITY SECTION:    <==其他與此次回答有關的部分
vbird.org.              600     IN      NS      dns2.vbird.org.
vbird.org.              600     IN      NS      dns.vbird.org.

;; Query time: 46 msec
;; SERVER: 168.95.1.1#53(168.95.1.1)
;; WHEN: Tue May  3 16:48:21 2011
;; MSG SIZE  rcvd: 86

在這個範例當中，我們可以看到整個顯示出的訊息包括有幾個部分：

• QUESTION(問題)：顯示所要查詢的內容，因為我們是查詢 linux.vbird.org 的 IP，所以這裡顯示 A (Address)；
• ANSWER(回答)：依據剛剛的 QUESTION 去查詢所得到的結果，答案就是回答 IP 啊！
• AUTHORITY(驗證)：由這裡我們可以知道 linux.vbird.org 是由哪部 DNS 伺服器所提供的答案！ 結果是 dns.vbird.org 及 dns2.vbird.org 這兩部主機管理的。另外，那個 600 是啥咚咚？圖 19.1-4 提到過的流程，就是允許查詢者能夠保留這筆記錄多久的意思 (快取)，在 linux.vbird.org 的設定中，預設可以保留 600 秒。

# 2. 查詢 linux.vbird.org 的 SOA 相關資訊吧！
[root@www ~]# dig -t soa linux.vbird.org
; >><< DiG 9.3.6-P1-RedHat-9.3.6-16.P1.el5 >><< -t soa linux.vbird.org
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 29236
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;linux.vbird.org.               IN      SOA

;; AUTHORITY SECTION:
vbird.org.              600     IN      SOA     dns.vbird.org. root.dns.vbird.org. 
2007091402 28800 7200 720000 86400

;; Query time: 24 msec
;; SERVER: 168.95.1.1#53(168.95.1.1)
;; WHEN: Tue May  3 16:56:20 2011
;; MSG SIZE  rcvd: 78

由於 dig 的輸出資訊實在是太豐富了，又分成多個部分去進行回報，因此很適合作為 DNS 追蹤回報的一個指令呢！ 你可以透過這個指令來瞭解一下你所設定的 DNS 資料庫是否正確，並進行除錯喔！ ^_^！此外，你也可以透過『 -t type 』 的功能去查詢其他伺服器的設定值，可以方便你進行設定 DNS 伺服器時的參考喔！正解查詢完畢，接下來玩一玩反解吧！

# 3. 查詢 120.114.100.20 的反解資訊結果
[root@www ~]# dig -x 120.114.100.20
; >><< DiG 9.3.6-P1-RedHat-9.3.6-16.P1.el5 >><< -x 120.114.100.20
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 52303
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 3, ADDITIONAL: 2

;; QUESTION SECTION:
;20.100.114.120.in-addr.arpa.   IN      PTR

;; ANSWER SECTION:
20.100.114.120.in-addr.arpa. 3600 IN    PTR     mail-out-r2.ksu.edu.tw.
20.100.114.120.in-addr.arpa. 3600 IN    PTR     mail-smtp-proxy.ksu.edu.tw.
20.100.114.120.in-addr.arpa. 3600 IN    PTR     mail.ksu.edu.tw.

;; AUTHORITY SECTION:
100.114.120.in-addr.arpa. 3600  IN      NS      dns1.ksu.edu.tw.
100.114.120.in-addr.arpa. 3600  IN      NS      dns3.twaren.net.
100.114.120.in-addr.arpa. 3600  IN      NS      dns2.ksu.edu.tw.

;; ADDITIONAL SECTION:
dns1.ksu.edu.tw.        492     IN      A       120.114.50.1
dns3.twaren.net.        634     IN      A       211.79.61.47

;; Query time: 34 msec
;; SERVER: 168.95.1.1#53(168.95.1.1)
;; WHEN: Tue May  3 17:02:29 2011
;; MSG SIZE  rcvd: 229

反解相當有趣！從上面的輸出結果來看，反解的查詢目標竟然從 120.114.100.20 變成了 20.100.114.120.in-addr.arpa. 這個模樣～這是啥鬼東西？不要怕，這等我們講到反解時再跟大家進一步解釋。 你現在要知道的是，反解的查詢領域名，跟正解不太一樣即可，尤其是那個怪異的 in-addr.arpa. 結尾的資料，可以先記下來。

上個小節談到的是主機名稱的正反解查詢指令，那如果你想要知道整個領域的設定，使用的是『 host -l 領域名 』去查， 那如果你想要知道的是『這個領域是誰管的』的資訊呢？那就得要使用 whois 這個指令才行喔！在 CentOS 5.x 當中， whois 是由 jwhois 這個軟體提供的，因此，如果找不到 whois 時，請用 yum 去安裝這個軟體吧！

• ---

  whois

[root@www ~]# whois [domainname]  <==注意啊！是 domain 而不是 hostname
[root@www ~]# whois centos.org
[查詢 whois.publicinterestregistry.net]
[whois.publicinterestregistry.net]
# 這中間是一堆 whois 伺服器提供的訊息告知！底下是實際註冊的資料
Domain ID:D103409469-LROR
Domain Name:CENTOS.ORG
Created On:04-Dec-2003 12:28:30 UTC
Last Updated On:05-Dec-2010 01:23:25 UTC
Expiration Date:04-Dec-2011 12:28:30 UTC  <==記載了建立與與失效的日期
Sponsoring Registrar:Key-Systems GmbH (R51-LROR)
Status:CLIENT TRANSFER PROHIBITED
Registrant ID:P-8686062
Registrant Name:CentOS Domain Administrator
Registrant Organization:The CentOS Project
Registrant Street1:Mechelsesteenweg 170
# 底下則是一堆聯絡方式，鳥哥將它取消了，免得多佔篇幅～

whois 這個指令可以查詢到當初註冊這個 domain 的使用者的相關資訊。不過，由於近年來很多網路資訊安全的問題，這個 whois 所提供的資訊真的是太詳細了，為了保護使用者的隱私權，所以，目前這個 whois 所查詢到的資訊已經不見得是完全正確的了～而且，在顯示出 whois 的資訊之前，還會有一段宣告事項的告知呢～ ^_^y

如果使用 whois 來檢查鳥哥所註冊的合法 domain 會是如何呢？看看：

[root@www ~]# whois vbird.idv.tw
[查詢 whois.twnic.net]
[whois.twnic.net]           <==這個 whois 伺服器查到的資料
Domain Name: vbird.idv.tw   <==這個 domain 的資訊

   Contact:                 <==聯絡者的聯絡方式
      Der-Min Tsai
      vbird@pc510.ev.ncku.edu.tw

   Record expires on 2018-09-17 (YYYY-MM-DD)
   Record created on 2002-09-13 (YYYY-MM-DD)

Registration Service Provider: HINET

呵呵！這個 domain 會在 2018/09/17 失效的意思啦！報告完畢！無論如何，我們都可以透過 nslookup, host, dig 等等的指令來查詢主機名稱與 IP 的對應，這些指令的用法可以請你以 man command 來查詢更多的用法喔！

終於廢話都說完了！相信你大概也有點累的吧？鳥哥是蠻累的啦，因為手臂、肩頸酸痛的毛病頗嚴重....咦！講這個幹嘛？ @_@ 好啦，我們終於要來安裝 DNS 所需要的軟體了！還記得前面提過的，我們要使用的 DNS 軟體就是使用柏克萊大學發展出來的 BIND (Berkeley Internet Name Domain, BIND) 這個啦！那麼怎麼知道你安裝了沒？不就是 rpm 與 yum 嗎？自己查查看。

[root@www ~]# rpm -qa | grep '^bind'
bind-libs-9.3.6-16.P1.el5    <==給 bind 與相關指令使用的函式庫
bind-utils-9.3.6-16.P1.el5   <==這個是用戶端搜尋主機名稱的相關指令
bind-9.3.6-16.P1.el5         <==就是 bind 主程式所需軟體
bind-chroot-9.3.6-16.P1.el5  <==將 bind 主程式關在家裡面！

上面比較重要的是那個『 bind-chroot 』啦！所謂的 chroot 代表的是『 change to root(根目錄) 』的意思，root 代表的是根目錄。早期的 bind 預設將程序啟動在 /var/named 當中，但是該程序可以在根目錄下的其他目錄到處轉移，因此若 bind 的程式有問題時，則該程序會造成整個系統的危害。為避免這個問題， 所以我們將某個目錄指定為 bind 程式的根目錄，由於已經是根目錄，所以 bind 便不能離開該目錄！所以若該程序被攻擊，了不起也是在某個特定目錄底下搞破壞而已。 CentOS 5.x 預設將 bind 鎖在 /var/named/chroot 目錄中喔！

此外，你應該還會發現一個問題，現在我們主程式是由 bind, bind-chroot 所提供，那前一小節提到的，每部 DNS 伺服器都要有的 . (root) 這個 zone file 在哪裡？並沒有提供啊？沒錯，因此我們還得要安裝一個額外的支援軟體， 那就是 caching-nameserver 這個軟體。

• caching-nameserver：提供包括 ., localhost, 127.0.0.0/8 的反解等相關 zone file ，以及 bind 主設定檔 named.conf 的內容範例。

因為我們都講 DNS，所以很容易忽略或者是忘記這個軟體的存在！記得要安裝這軟體才行呦！

要架設好 BIND 需要什麼設定資料呢？基本上有兩個主要的資料要處理：

• BIND 本身的設定檔：主要規範主機的設定、zone file 的所在、權限的設定等；
• 正反解資料庫檔案 (zone file)：記錄主機名稱與 IP 對應的等。

BIND 的設定檔為 /etc/named.conf，在這個檔案裡面可以規範 zone file 的完整檔名喔！ 也就是說，你的 zone file 其實是由 /etc/named.conf 所指定的，所以 zone file 檔名可以隨便取啦！ 只要 /etc/named.conf 內規範為正確即可。一般來說， CentOS 5.x 的預設目錄是這樣的：

• /etc/named.conf ：這就是我們的主設定檔啦！
• /etc/sysconfig/named ：是否啟動 chroot 及額外的參數，就由這個檔案控制；
• /var/named/ ：資料庫檔案預設放置在這個目錄
• /var/run/named ：named 這支程式執行時預設放置 pid-file 在此目錄內。
  
  

• ---

  /etc/sysconfig/named 與 chroot 環境

不過，為了系統的安全性考量，一般來說目前各主要 distributions 都已經自動的將你的 bind 相關程式給他 chroot 了！ 那你如何知道你 chroot 所指定的目錄在哪裡呢？其實是記錄在 /etc/sysconfig/named 裡面啦！你可以先查閱一下：

[root@www ~]# cat /etc/sysconfig/named
ROOTDIR=/var/named/chroot

事實上該檔案內較有意義的就只有上面這一行，意思是說：『我要將 named 給他 chroot ，並且變更的根目錄為 /var/named/chroot 』喔！由於根目錄已經被變更到 /var/named/chroot 了，但 bind 的相關程式是需要 /etc, /var/named, /var/run ...等目錄的，所以實際上咱們 bind 的相關程式所需要的所有資料會是在：

• /var/named/chroot/etc/named.conf
• /var/named/chroot/var/named/zone_file1
• /var/named/chroot/var/named/zone_file.....
• /var/named/chroot/var/run/named/...

哇！真是好麻煩～不過，不要太擔心！因為新版本的 distributions 通常幫你作好一些連結對應了！舉例來說，你依舊可以使用 /etc/named.conf 來設定你的 DNS ，為什麼呢？因為 CentOS 主動的幫你將 /var/named/chroot/etc/named.conf 連結到 /etc/named.conf 囉！另外，絕大部分預設的 zone file 資料庫檔案也都主動的幫你做好連結了！請自行進入 /var/named 去 ls 一下吧！

Tips

事實上， /etc/sysconfig/named 是由 /etc/init.d/named 啟動時所讀入的，所以你也可以直接修改 /etc/init.d/named 這個 script 哩！

在下一小節開始介紹正、反解 zone 的資料設定之前，在這個小節當中，我們先來談一個單純修改設定檔，而不必設計 zone file 的環境，那就是不具有自己正反解 zone 的僅進行快取的 DNS 伺服器。

• ---

  什麼是 cache-only 與 forwarding DNS 伺服器呢？

有個只需要 . 這個 zone file 的簡單 DNS 伺服器，我們稱這種沒有自己公開的 DNS 資料庫的伺服器為 cache-only (僅快取) DNS server！顧名思義，這個 DNS server 只有快取搜尋結果的功能，也就是說，他本身並沒有主機名稱與 IP 正反解的設定檔，完全是由對外的查詢來提供他的資料來源！

那如果連 . 都不想要呢？那就得要指定一個上層 DNS 伺服器作為你的 forwarding (轉遞) 目標，將原本自己要往 . 查詢的任務，丟給上層 DNS 伺服器去煩惱即可。 如此一來，我們這部具有 forwarding 功能的 DNS 伺服器，甚至連 . 都不需要了！因為 . 有記錄在上層 DNS 上頭了嘛！

如同剛剛提到的，cache only 的 DNS 並不存在資料庫 (其實還是存在 . 這個 root 領域的 zone file)， 因此不論是誰來查詢資料，這部 DNS 一律開始從自己的快取以及 . 找起，整個流程與圖 19.1-4 相同。那如果具有 forwarding 功能呢？果真如此，那即使你的 DNS 具有 . 這個 zone file，這部 DNS 還是會將查詢權『委請』上層 DNS 查詢的，這部 DNS 伺服器當場變成用戶端啦！查詢流程會變這樣喔：

圖 19.3-1、具有 forwarding 功能的 DNS 伺服器查詢方式

觀察上圖的查詢方向，你會發現到，具有 forwarding 機制時，查詢權會委請上層 DNS 伺服器來處理，所以根本也不需要 . 這個位置所在的 zone 啦。一般來說，如果你的環境需要架設一個 cache-only 的 DNS 伺服器時，其實可以直接加上 forwarding 的機制，讓查詢權指向上層或者是流量較大的上層 DNS 伺服器即可。那既然 cache only 的伺服器並沒有資料庫， forwarding 機制甚至不需要 . 的 zone ，那幹嘛還得要架設這樣的 DNS 呢？是有理由的啦！

• ---

  什麼時候有架設 cache-only DNS 的需求？

在某些公司行號裡頭，為了預防員工利用公司的網路資源作自己的事情，所以都會針對 Internet 的連線作比較嚴格的限制。當然啦，連 port 53 這個 DNS 會用到的 port 也可能會被擋在防火牆之外的～這個時候， 你可以在『防火牆的那部機器上面，加裝一個 cache-only 的 DNS 服務！』

這是什麼意思呢？很簡單啊！就是你自己利用自己的防火牆主機上的 DNS 服務去幫你的 Client 端解譯 hostname <--> IP 囉！因為防火牆主機可以設定放行自己的 DNS 功能，而 Client 端就設定該防火牆 IP 為 DNS 伺服器的 IP 即可！哈哈！這樣就可以取得主機名稱與 IP 的轉譯啦！所以，通常架設 cache only DNS 伺服器大都是為了系統安全囉。

• ---

  實際設定 cache-only DNS server

那如何在你的 Linux 主機上架設一個 cache-only 的 DNS 伺服器呢？其實真的很簡單的啦！因為不需要設定正反解的 zone (只需要 . 的 zone 支援即可)，所以只要設定一個檔案 (就是 named.conf 主設定檔) 即可！真是快樂得不得了吶！ 另外，cache-only 只要加上個 forwarders 的設定即可指定 forwarding 的資料，所以底下我們將設定具有 forwarding 的 cache-only DNS 伺服器吧！

1. ---

   編輯主要設定檔： /etc/named.conf
   
   再說一次，我們的設定資訊都是在 /var/named/chroot/ 目錄底下，因此實際的檔案為 /var/named/chroot/etc/named.conf！ 這咚咚請不要忘記了。在這個檔案中，主要是定義跟伺服器環境有關的設定，以及各個 zone 的領域及資料庫所在檔名。 在鳥哥的這個案例當中，因為使用了 forwarding 的機制，所以這個 cache-only DNS 伺服器並沒有 zone (連 . 都沒有)，所以我們只要設定好跟伺服器有關的設定即可。設定這個檔案的時候請注意：
   
   
   • 註解資料是放置在兩條斜線『 // 』後面接的資料
   • 每個段落之後都需要以分號『 ; 』來做為結尾！
   
   在 CentOS 5.x 當中，這個檔案預設並不存在的！但是我們可以參考 /var/named/chroot/etc/named.* 檔案來建立這個 named.conf。鳥哥實際上是這樣進行動作的：
   

   [root@www ~]# cd /var/named/chroot/etc [root@www etc]# cp -a named.caching-nameserver.conf named.conf [root@www etc]# vim named.conf // 在預設的情況下即使不存在 named.conf， CentOS 5.x 會讀取 named.rfc1912.zones // 與 named.caching-nameserver.conf 兩個檔案喔！不過我們僅需要自訂的 named.conf // 同時，修改一下原本的檔案內容，將內容盡量簡單化成如下： options { listen-on port 53 { any; }; //可不設定，代表全部接受 directory "/var/named"; //資料庫預設放置的目錄所在 dump-file "/var/named/data/cache_dump.db"; //一些統計資訊 statistics-file "/var/named/data/named_stats.txt"; memstatistics-file "/var/named/data/named_mem_stats.txt"; allow-query { any; }; //可不設定，代表全部接受 forward only; //可暫時不設定 forwarders { //是重點！ 168.95.1.1; //先用中華電信的 DNS 當上層 139.175.10.20; //再用 seednet 當上層 }; }; //最終記得要結尾符號！

   鳥哥將大部分的資料都予以刪除，只將少部分保留的資料加以小部分的修訂而已。在 named.conf 的結構中，與伺服器環境有關的是由 options 這個項目內容設定的，因為 options 裡面還有很多子參數， 所以就以大括號 { } 包起來囉。至於 options 內的子參數在上面提到的較重要的項目簡單敘述如下：
   
   
   • listen-on port 53 { any; };
     監聽在這部主機系統上面的哪個網路介面。預設是監聽在 localhost，亦即只有本機可以對 DNS 服務進行查詢，那當然是很不合理啊！ 所以這裡要將大括號內的資料改寫成 any。記得，因為可以監聽多個介面，因此 any 後面得要加上分號才算結束喔！ 另外，這個項目如果忘記寫也沒有關係，因為預設是對整個主機系統的所有介面進行監聽的。
     
     
   • directory "/var/named";
     意思是說，如果此檔案底下有規範到正、反解的 zone file 檔名時，該檔名預設應該放置在哪個目錄底下的意思。預設放置到 /var/named/ 底下。不過由於我們建議使用 bind-chroot 功能，因此，資料庫檔案預設應該放置在 /var/named/chroot/var/named/ 這個目錄才對喔！
     
     
   • dump-file, statistics-file, memstatistics-file
     與 named 這個服務有關的許多統計資訊，如果想要輸出成為檔案的話，預設的檔名就如上所述。鳥哥自己很少看這些統計資料， 所以，這三個設定值寫不寫應該都是沒有關係的。
     
     
   • allow-query { any; };
     這個是針對用戶端的設定，到底誰可以對我的 DNS 服務提出查詢請求的意思。原本的檔案內容預設是針對 localhost 開放而已， 我們這裡改成對所有的用戶開放 (當然啦，防火牆也得放行才行)。不過，預設 DNS 就是對所有用戶放行，所以這個設定值也可以不用寫。
     
     
   • forward only ;
     這個設定可以讓你的 DNS 伺服器僅進行 forward，即使有 . 這個 zone file 的設定，也不會使用 . 的資料， 只會將查詢權交給上層 DNS 伺服器而已，是 cache only DNS 最常見的設定了！
     
     
   • forwarders { 168.95.1.1; 139.175.10.20; } ;
     既然有 forward only，那麼到底要對哪部上層 DNS 伺服器進行轉遞呢？那就是 forwarders (不要忘記那個 s) 設定值的重要性了！由於擔心上層 DNS 伺服器也可能會掛點，因此可以設定多部上層 DNS 伺服器喔！每一個 forwarder 伺服器的 IP 都需要有『 ; 』來做為結尾！
   
   很簡單吧！至於更多的參數我們會在後續篇幅當中慢慢介紹的。這樣就已經設定完成了最簡單的 cache only DNS server 了！
   
   

2. ---

   啟動 named 並觀察服務的埠口
   
   啟動總不會忘記吧？趕快去啟動一下吧！同時啟動完畢之後，觀察一下由 named 所開啟的埠口，看看到底哪些埠口會被 DNS 用到的！
   

   # 1. 啟動一下 DNS 這玩意兒！ [root@www ~]# /etc/init.d/named start Starting named: [ OK ] [root@www ~]# chkconfig named on # 2. 到底用了多少埠口呢？ [root@www ~]# netstat -utlnp | grep named Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 192.168.100.254:53 0.0.0.0:* LISTEN 11867/named tcp 0 0 192.168.1.10:53 0.0.0.0:* LISTEN 11867/named tcp 0 0 127.0.0.1:53 0.0.0.0:* LISTEN 11867/named tcp 0 0 127.0.0.1:953 0.0.0.0:* LISTEN 11867/named tcp 0 0 ::1:953 :::* LISTEN 11867/named udp 0 0 192.168.100.254:53 0.0.0.0:* 11867/named udp 0 0 192.168.1.10:53 0.0.0.0:* 11867/named udp 0 0 127.0.0.1:53 0.0.0.0:* 11867/named

   我們知道 DNS 會同時啟用 UDP/TCP 的 port 53，而且是針對所有介面，因此上面的資料並沒有什麼特異的部分。不過，怎麼會有 port 953 且僅針對本機來監聽呢？其實那是 named 的遠端控制功能，稱為遠端名稱解析服務控制功能 (remote name daemon control, rndc)。預設的情況下，僅有本機可以針對 rndc 來控制。我們會在後續的章節再來探討這個 rndc 啦，目前我們只要知道 UDP/TCP port 53 有啟動即可。
   
   
3. 檢查 /var/log/messages 的內容訊息 (極重要！)
   
   named 這個服務的記錄檔就直接給他放置在 /var/log/messages 裡面啦，所以來看看裡面的幾行登錄資訊吧！
   

   [root@www ~]# tail -n 30 /var/log/messages | grep named May 3 14:21:23 www named[11867]: starting BIND 9.3.6-P1-RedHat-9.3.6-16.P1.el5 -u named -t /var/named/chroot <==說明的是 chroot 在哪個目錄下！ May 3 14:21:23 www named[11867]: found 1 CPU, using 1 worker thread May 3 14:21:23 www named[11867]: using up to 4096 sockets May 3 14:21:23 www named[11867]: loading configuration from '/etc/named.conf' May 3 14:21:23 www named[11867]: max open files (1024) is smaller than max sockets (4096) May 3 14:21:23 www named[11867]: using default UDP/IPv4 port range: [1024, 65535] May 3 14:21:23 www named[11867]: using default UDP/IPv6 port range: [1024, 65535] May 3 14:21:23 www named[11867]: listening on IPv4 interface lo, 127.0.0.1#53 May 3 14:21:23 www named[11867]: listening on IPv4 interface eth0, 192.168.1.10#53 May 3 14:21:23 www named[11867]: listening on IPv4 interface eth1, 192.168.100.254#53 May 3 14:21:23 www named[11867]: command channel listening on 127.0.0.1#953 May 3 14:21:23 www named[11867]: command channel listening on ::1#953 May 3 14:21:23 www named[11867]: the working directory is not writable May 3 14:21:23 www named[11867]: running

   上面最重要的是第一行出現的『-t ...』那個項目指出你的 chroot 目錄囉。另外，上面表格中特殊字體的部分，有寫到讀取 /etc/named.conf，代表可以順利的載入 /var/named/etc/named.conf 的意思。如果上面有出現冒號後面接數字 (:10)， 那就代表某個檔案內的第十行有問題的意思，屆時再進入處理即可。要注意的是，即使 port 53 有啟動，但有可能 DNS 服務是錯誤的，此時這個登錄檔就顯的非常重要！每次重新啟動 DNS 後，請務必查閱一下這個檔案的內容！！
   
   
   Tips

   如果你在 /var/log/messages 裡面一直看到這樣的錯誤資訊：
   couldn't add command channel 127.0.0.1#953: not found
   那表示你還必需要加入 rndc key ，請參考本章後面的 利用 RNDC 指令管理 DNS 伺服器 的介紹，將他加入你的 named.conf 中！

4. ---

   測試：
   
   如果你的 DNS 伺服器具有連上網際網路的功能，那麼透過『 dig www.google.com @127.0.0.1 』這個基本指令執行看看， 如果有找到 google 的 IP ，並且輸出資料的最底下顯示『 SERVER: 127.0.0.1#53(127.0.0.1) 』的字樣， 那就代表應該是成功啦！其他更詳細的測試請參考：19.2 小節的內容
   
   

• ---

  特別說明：Forwarders 的好處與問題分析

關於 forwarder 的好處與壞處，其實有很多種的意見！大致的意見可分為這兩派：

• 利用 Forwarder 的功能來增進效能的理論：
  
  這些朋友們認為，當很多的下層 DNS 伺服器都使用 forwarder 時，那麼那個被設定為 forwarder 的主機，由於會記錄很多的查詢資訊記錄 (請參考圖 19.1-4 的說明)，因此，對於那些下層的 DNS 伺服器而言，查詢速度會增快很多，亦即會節省很多的查詢時間！因為 forwarder 伺服器裡面有較多的快取記錄了， 所以包括 forwarder 本身，以及所有向這部 forwarder 要求資料的 DNS 伺服器，都能夠減少往 . 查詢的機會， 因此速度當然增加。
  
  
• 利用 Forwarder 反而會使整體的效能降低：
  
  但是另外一派則持相反的見解！這是因為當主 DNS 本身的『業務量』就很繁忙的時候，那麼你的 cache only DNS 伺服器還向他要求資料，因為他原本的資料傳輸量就太大了，頻寬方面可能負荷不量，而太多的下層 DNS 還向他要求資料，所以他的查詢速度會變慢！因為查詢速度變慢了，而你的 cache only server 又是向他提出要求的，所以自然兩邊的查詢速度就會同步下降！

很多種說法啦！鳥哥本人也覺得很有趣哩！只是不知道哪一派較正確就是了，不過可以知道的是，如果上層的 DNS 速度很快的話，那麼他被設定為 forwarder 時，或許真的可以增加不少效能哩！

既然 DNS 最早之前的目的就是要從主機名稱去找到 IP，所以就讓我們先從正解 zone 來談起吧。既然要談正解， 那麼就應該要瞭解正解檔案記錄的資訊有哪些吧？在這個小節裡面，我們就先來談談正解 zone 常常記錄的資料有哪些吧。

• ---

  正解檔資源記錄 (resource record, RR) 格式

我們從前面幾個小節的 dig 指令輸出結果中，可以發現到一個有趣的咚咚，那就是輸出的資料格式似乎是固定的！ 舉例來說，查詢 www.ksu.edu.tw 的 IP 時，輸出的結果為：

[root@www ~]# dig www.ksu.edu.tw
....(前面省略)....
;; ANSWER SECTION:
www.ksu.edu.tw.         2203    IN      A       120.114.100.101

;; AUTHORITY SECTION:
ksu.edu.tw.             911     IN      NS      dns1.ksu.edu.tw.
....(後面省略)....
# 上面的輸出資料已經被簡化過了，重點是要大家瞭解 RR 的格式

在答案的輸出階段，主要查詢得到的是 A 的標誌，在認證階段，則是提供 ksu.edu.tw 的 NS 伺服器為哪一部的意思。 格式非常接近，只是 A 後面接 IP，而 NS 後面接主機名稱而已。我們可以將整個輸出的格式簡化成為如下的說明：

[domain]   [ttl]          IN [[RR type]  [RR data]]
[待查資料] [暫存時間(秒)] IN [[資源類型] [資源內容]]

上表中，關鍵字 IN 是固定的，而 RR type 與 RR data 則是互有關連性的，例如剛剛才提過的 A 就是接 IP 而不是主機名稱啊。此外，在 domain 的部分，若可能的話，請盡量使用 FQDN，亦即是主機名稱結尾加上一個小數點的 (.) 就被稱為 FQDN 了！例如剛剛 dig www.ksu.edu.tw 的輸出結果中，在答案階段時，搜尋的主機名稱會變成 www.ksu.edu.tw. 喔！注意看最後面有個小數點喔！那個小數點非常重要！

至於 ttl 就是 time to live 的縮寫，意思就是當這筆記錄被其他 DNS 伺服器查詢到後， 這個記錄會保持在對方 DNS 伺服器的快取中，保持多少秒鐘的意思。所以，當你反覆執行 dig www.ksu.edu.tw 之後，就會發現這個時間會減少！為什麼呢？因為在你的 DNS 快取中，這筆資料能夠保存的時間會開始倒數， 當這個數字歸零後，下次有人再重新搜尋這筆記錄時，你的 DNS 就會重新沿著 . (root) 開始重來搜尋一遍， 而不會從快取裡面捉取了 (因為快取內的資料會被捨棄)。

由於 ttl 可由特定的參數來統一控管，因此在 RR 的記錄格式中，通常這個 ttl 的欄位是可以忽略的。 那麼常見的 RR 有哪些呢？我們將正解檔的 RR 記錄格式彙整如下：

# 常見的正解檔 RR 相關資訊
[domain]    IN  [[RR type]  [RR data]]
主機名稱.   IN  A           IPv4 的 IP 位址
主機名稱.   IN  AAAA        IPv6 的 IP 位址
領域名稱.   IN  NS          管理這個領域名稱的伺服器主機名字.
領域名稱.   IN  SOA         管理這個領域名稱的七個重要參數(容後說明)
領域名稱.   IN  MX          順序數字  接收郵件的伺服器主機名字
主機別名.   IN  CNAME       實際代表這個主機別名的主機名字.

接下來我們以崑山科大的 DNS 設定，包括 ksu.edu.tw 這個領域 (domain, zone)，以及 www.ksu.edu.tw 這個主機名稱 (FQDN) 的查詢結果來跟大家解釋每個 RR 記錄的資訊為何呦！

• ---

  A, AAAA ：查詢 IP 的記錄

這個 A 的 RR 類型是在查詢某個主機名稱的 IP，也是最長被查詢的一個 RR 標誌喔！舉例來說，要找到 www.ksu.edu.tw 的 A 的話，就是這樣查：

[root@www ~]# dig [-t a] www.ksu.edu.tw
;; ANSWER SECTION:
www.ksu.edu.tw.         2987    IN      A       120.114.100.101
# 主機FQDN.             ttl                     這部主機的 IP 就是這裡
# 僅列出答案階段的資料，後續的 RR 相關標誌也是這樣顯示的喔！
# 指令列中的 [-t a] 可以不加，而最左邊主機名稱結尾都會有小數點喔！

左邊是主機名稱，當然，你也可以讓你的 domain 擁有一個 A 的標誌，例如『 dig google.com 』也能找到 IP。 不過，咱們崑山科大的 ksu.edu.tw 則沒有設定 IP 就是了。要再次特別強調的，主機名稱如果是全名， 結尾部分請務必加上小數點。如果你的 IP 設定的是 IPv6 的話，那麼查詢就得要使用 aaaa 類型才行。

• ---

  NS ：查詢管理領域名稱 (zone) 的伺服器主機名

如果你想要知道 www.ksu.edu.tw 的這筆記錄是由哪部 DNS 伺服器提供的，那就得要使用 NS (NameServer) 的 RR 類型標誌來查詢。不過，由於 NS 是管理整個領域的，因此，你得要查詢的目標將得輸入 domain，亦即 ksu.edu.tw 才行喔！舉例如下：

[root@www ~]# dig -t ns ksu.edu.tw
;; ANSWER SECTION:
ksu.edu.tw.             1596    IN      NS  dns1.ksu.edu.tw.

;; ADDITIONAL SECTION:
dns1.ksu.edu.tw.        577     IN      A   120.114.50.1
# 除了列出 NS 是哪部伺服器之外，該伺服器的 IP 也會額外提供！

前面提過，DNS 伺服器是很重要的，因此至少都會有兩部以上。崑山科大共有三部 DNS 伺服器，鳥哥僅列出第一部提供參考。 NS 後面會加伺服器名稱，而這個伺服器的 IP 也會額外提供才對！因此 NS 經常伴隨 A 的標誌啊！這樣你才能到 NS 去查詢資料嘛！這樣說有理解吧？ ^_^

• ---

  SOA ：查詢管理領域名稱的伺服器管理資訊

如果你有多部 DNS 伺服器管理同一個領域名稱時，那麼最好使用 master/slave 的方式來進行管理。既然要這樣管理， 那就得要宣告被管理的 zone file 是如何進行傳輸的，此時就得要 SOA (Start Of Authority) 的標誌了。先來瞧瞧崑山科大的設定是怎樣：

[root@www ~]# dig -t soa ksu.edu.tw
;; ANSWER SECTION:
ksu.edu.tw.       3600   IN     SOA    dns1.ksu.edu.tw.   abuse.mail.ksu.edu.tw. 
  2010080369 1800 900 604800 86400
# 上述的輸出結果是同一行喔！

SOA 主要是與領域有關，所以前面當然要寫 ksu.edu.tw 這個領域名。而 SOA 後面共會接七個參數，這七個參數的意義依序是：

1. Master DNS 伺服器主機名稱：這個領域主要是哪部 DNS 作為 master 的意思。在本例中， dns1.ksu.edu.tw 為 ksu.edu.tw 這個領域的主要 DNS 伺服器囉；
   
   
2. 管理員的 email：那麼管理員的 email 為何？發生問題可以聯絡這個管理員。要注意的是， 由於 @ 在資料庫檔案中是有特別意義的，因此這裡就將 abuse@mail.ksu.edu.tw 改寫成 abuse.mail.ksu.edu.tw ，這樣看的懂了嗎？
   
   
3. 序號 (Serial)：這個序號代表的是這個資料庫檔案的新舊，序號越大代表越新。 當 slave 要判斷是否主動下載新的資料庫時，就以序號是否比 slave 上的還要新來判斷，若是則下載，若不是則不下載。 所以當你修訂了資料庫內容時，記得要將這個數值放大才行！ 為了方便使用者記憶，通常序號都會使用日期格式『YYYYMMDDNU』來記憶，例如崑山科大的 2010080369 序號代表 2010/08/03 當天的第 69 次更新的感覺。不過，序號不可大於 2 的 32 次方，亦即必須小於 4294967296 才行喔。
   
   
4. 更新頻率 (Refresh)：那麼啥時 slave 會去向 master 要求資料更新的判斷？ 就是這個數值定義的。崑山科大的 DNS 設定每 1800 秒進行一次 slave 向 master 要求資料更新。那每次 slave 去更新時， 如果發現序號沒有比較大，那就不會下載資料庫檔案。
   
   
5. 失敗重新嘗試時間 (Retry)：如果因為某些因素，導致 slave 無法對 master 達成連線， 那麼在多久的時間內，slave 會嘗試重新連線到 master。在崑山科大的設定中，900 秒會重新嘗試一次。意思是說，每 1800 秒 slave 會主動向 master 連線，但如果該次連線沒有成功，那接下來嘗試連線的時間會變成 900 秒。若後來有成功，則又會恢復到 1800 秒才再一次連線。
   
   
6. 失效時間 (Expire)：如果一直失敗嘗試時間，持續連線到達這個設定值時限， 那麼 slave 將不再繼續嘗試連線，並且嘗試刪除這份下載的 zone file 資訊。崑山科大設定為 604800 秒。意思是說，當連線一直失敗，每 900 秒嘗試到達 604800 秒後，崑山科大的 slave 將不再更新，只能等待系統管理員的處理。
   
   
7. 快取時間 (Minumum TTL)：如果這個資料庫 zone file 中，每筆 RR 記錄都沒有寫到 TTL 快取時間的話，那麼就以這個 SOA 的設定值為主。

除了 Serial 不可以超過 2 的 32 次方之外，有沒有其它的限制啊針對這幾個數值？是有的，基本上就是這樣：

• Refresh >= Retry *2
• Refresh + Retry < Expire
• Expire >= Rrtry * 10
• Expire >= 7Days

一般來說，如果 DNS RR 資料變更情況頻繁的，那麼上述的相關數值可以訂定的小一些，如果 DNS RR 是很穩定的， 為了節省頻寬，則可以將 Refresh 設定的較大一些。

• ---

  CNAME ：設定某主機名稱的別名 (alias)

有時候你不想要針對某個主機名稱設定 A 的標誌，而是想透過另外一部主機名稱的 A 來規範這個新主機名稱時， 可以使用別名 (CNAME) 的設定喔！舉例來說，追蹤 www.google.com 時，你會發現這樣：

[root@www ~]# dig www.google.com
;; ANSWER SECTION:
www.google.com.         557697  IN      CNAME   www.l.google.com.
www.l.google.com.       298     IN      A       72.14.203.99

意思是說，當你要追查 www.google.com 時，請找 www.1.google.com 那個主機，而那個主機的 A 就上面第二行的顯示了。 鳥哥常常開玩笑的說，你知道鳥哥的身份證字號嗎？你到戶政事務所去查『鳥哥』時，他會說：『沒這個人啊！因為沒有人姓鳥...』， 這個『鳥哥』就是別名 (CNAME) ，而對應到的名稱就是『蔡某某』，這個蔡某某才真的有身份字號的意思～ 一層一層去追蹤囉～

這個 CNAME 有啥好處呢？用 A 就好了吧？其實還是有好處的，舉例來說，如果你有一個 IP，這個 IP 是給很多主機名稱使用的。 那麼當你的 IP 更改時，所有的資料就得通通更新 A 標誌才行。如果你只有一個主要主機名稱設定 A，而其他的標誌使用 CNAME 時，那麼當 IP 更改，那你只要修訂一個 A 的標誌，其他的 CNAME 就跟著變動了！處理起來比較容易啊！

• ---

  MX ：查詢某領域名稱的郵件伺服器主機名稱

MX 是 Mail eXchanger (郵件交換) 的意思，通常你的整個領域會設定一個 MX ，代表，所有寄給這個領域的 email 應該要送到後頭的 email server 主機名上頭才是。先看看崑大的資料：

[root@www ~]# dig -t mx ksu.edu.tw
;; ANSWER SECTION:
ksu.edu.tw.             3600    IN      MX      8 mx01.ksu.edu.tw.

;; ADDITIONAL SECTION:
mx01.ksu.edu.tw.        3600    IN      A       120.114.100.28

上頭的意思是說，當有信件要送給 ksu.edu.tw 這個領域時，則預先將信件傳送給 mx01.ksu.edu.tw 這部郵件伺服器管理， 當然啦，這部 mx01.ksu.edu.tw 自然就是崑大自己管理的郵件伺服器才行！MX 後面接的主機名稱通常就是合法 mail server， 而想要當 MX 伺服器，就得要有 A 的標誌才行～所以上表後面就會出現 mx01.ksu.edu.tw 的 A 啊！

那麼在 mx01 之前的 8 是什麼意思？由於擔心郵件會遺失，因此較大型的企業會有多部這樣的上層郵件伺服器來預先收受信件。 那麼到底哪部郵件主機會先收下呢？就以數字較小的那部優先囉！舉例來說，如果你去查 google.com 的 MX 標誌， 就會發現他有 5 部這樣的伺服器呢！

講完了正解來談談反解吧！在講反解之前，先來談談正解主機名稱的追蹤方式。以 www.ksu.edu.tw. 來說，整個網域的概念來看， 越右邊出現的名稱代表網域越大！舉例來說，.(root) > tw > edu 以此類推。因此追蹤時，是由大範圍找到小範圍， 最後，我們就知道追蹤的方向如圖 19.1-4 所示那樣。

但是 IP 則不一樣啊！以崑大的 120.114.100.101 來說好了，當然是 120 > 114 > 100 > 101 ，左邊的網域最大！ 與預設的 DNS 從右邊向左邊查詢不一樣啊！那怎辦？為了解決這個問題，所以反解的 zone 就必須要將 IP 反過來寫，而在結尾時加上 .in-addr.arpa. 的結尾字樣即可。所以，當你想要追蹤反解時，那麼反解的結果就會是：

[root@www ~]# dig -x 120.114.100.101
;; ANSWER SECTION:
101.100.114.120.in-addr.arpa. 3600 IN   PTR     www.ksu.edu.tw.

例如上述的結果中，我們要查詢的主機名稱竟然變成了 IP 反轉的模樣！所以才稱為反解嘛！而反解的標誌最重要的就是 PTR 了！

• ---

  PTR ：就是反解啊！所以是查詢 IP 所對應的主機名稱

進行反解時，要注意的就是 zone 的名稱了！要將 IP 反轉過來寫，並且結尾加上 .in-addr.arpa. 才行！ 例如 120.114.100.0/24 這個 class C IP 網段的反解設定，就必須要寫成： 100.114.120.in-addr.arpa. 這樣的 zone 名稱才行。 而 PTR 後面接的自然就是主機名稱囉！

在反解最重要的地方就是：後面的主機名稱盡量使用完整 FQDN，亦即加上小數點 (.) ！為什麼呢？舉 100.114.120.in-addr.arpa. 為例，如果你只是填寫主機名稱，並沒有填寫領域名稱， 那麼當人家追蹤你的主機名稱時，你的主機名稱會變成： www.100.114.120.in-addr.arpa. 的怪模樣。 這是比較需要注意的地方。

Tips

老實說，鳥園討論區的一些有經驗的朋友一直在講，如果擔心會有誤解，主機名稱的設定則通通記得是要填寫 FQDN 就是了！ 這樣絕對不會有問題！ ^_^

現在假設鳥哥的區網環境中想要設定 DNS 伺服器，鳥哥的區網原本規劃的網域名稱就是 centos.vbird，且搭配的 IP 網段為 192.168.100.0/24 這一段，因此主要的正解網域為 centos.vbird，而反解的網域則為 192.168.100.0/24， 鳥哥的這部 DNS 伺服器想要自己找尋 .(root) 而不透過 forwarders 的輔助，因此還得要 . 的領域正解檔。 綜合起來說，鳥哥需要設定到的檔案就有這幾個：

1. named.conf (主要設定檔)
2. named.centos.vbird (主要的 centos.vbird 的正解檔)
3. named.192.168.100 (主要的 192.168.100.0/24 的反解檔)
4. named.ca (由 caching-nameserver 軟體提供的 . 正解檔)

如果我還想要加入其他的領域，例如 niki.vbird 可不可以啊？當然可以啊！就再多一個資料庫正解檔案即可！ 還有，鳥哥上頭這個設定資料為內部私有的，所以你可以完全照著玩！並不會影響到外部的網際網路啦！ 只是，網際網路也查不到你的 DNS 設定就是了～反正是練功嘛！^_^

至於資料庫的正、反解對應上，依據實際的測試環境，規劃如下：

請特別留意啊，一個 IP 可以對應給多個主機名稱，同樣的，一個主機名稱可以給予多個 IP 喔！ 主要是因為那部 www.centos.vbird 的機器未來的用途相當的多，鳥哥希望那一部主機有多個名稱，以方便未來額外的規劃啊。 所以就對該 IP 對應了四個主機名稱啊！

Tips

在自家設的沒有經過合法授權的 DNS 最好不要以 Internet 上面已經存在的領域名稱來練習架設！ 舉例來說，假設今天你以 192.168.100.254 那部機器來架設 *.yahoo.com 的領域， 因為我將 192.168.100.254 放置在第一位，導致每次的查詢其實 yahoo.com 這個領域的資料都是直接由 192.168.100.254 所提供，這很不好～因為可能會造成你的用戶端的不便～

這個設定檔較多的 options 參數我們已經在 19.3.3 裡面談過，在我們目前的案例中， 則必須要將 forwarders 相關功能取消，並加上禁止傳輸 zone file 的參數即可。至於 zone 的設定上，必須要包含上個小節談到的三個主要的 zone 喔！因此這個檔案的任務是：

• options：規範 DNS 伺服器的使用權限 (可否查詢、forward 與否等)；
• zone：設定出 zone (domain name) 以及 zone file 的所在 (包含 master/slave/hint)；
• 其他：設定 DNS 本機管理介面以及其相關的金鑰檔案 (key file)。(本章稍後進階應用再談)

那就直接看一下鳥哥的範本吧：

[root@www ~]# vim /var/named/chroot/etc/named.conf
options {
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
        allow-transfer  { none; };   // 不許別人進行 zone 轉移
};

zone "." IN {
        type hint;
        file "named.ca";
};
zone "centos.vbird" IN {            // 這個 zone 的名稱
        type master;                // 是什麼類型
        file "named.centos.vbird";  // 檔案放在哪裡
};
zone "100.168.192.in-addr.arpa" IN {
        type master;
        file "named.192.168.100";
};

在 options 裡面僅新增一個新的參數，就是 allow-transfer，意義為：

• allow-transfer ( none; };
  是否允許來自 slave DNS 對我的整個領域資料進行傳送？這個設定值與 master/slave DNS 伺服器之間的資料庫傳送有關。除非你有 slave DNS 伺服器，否則這裡不要開放喔！因此這裡我們先設定為 none。

至於在 zone 裡面的設定值，主要則有底下幾個：

另外，由於 chroot 的關係，因此設定檔會放置到 /var/named/chroot/etc/ 底下，而資料庫檔案則是放置到 /var/named/chroot/var/named/ 目錄下喔！不要忘記了！至於為何檔名都是 named 開頭呢？這只是個習慣而已， 你也可以依據自己的習慣來訂定檔名的。經過上面的說明，所以我們會知道，zone file 檔名都是透過 named.conf 這個設定檔來規範的啊！

從 圖 19.1-4 可以知道 . 的重要性！那麼這個 . 在哪裡呢？事實上，它是由 INTERNIC 所管理維護的，全世界共有 13 部管理 . 的 DNS 伺服器呢！相關的最新設定在：

• ftp://rs.internic.net/domain/named.root

要不要下載最新的資料隨你便，因為我們的 CentOS 5.x 內的 caching-nameserver 軟體已經提供了一個名為 named.ca 的檔案了，鳥哥是直接使用系統提供的資料啦。這個檔案的內容有點像這樣：

[root@www ~]# vim /var/named/chroot/var/named/named.ca
. <==這裡有個小數點     518400  IN      NS      A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET.     3600000 IN      A       198.41.0.4
# 上面這兩行是成對的！代表點由 A.ROOT-SERVERS.NET. 管理，並附上 IP 查詢
. <==這裡有個小數點     518400  IN      NS      M.ROOT-SERVERS.NET.
M.ROOT-SERVERS.NET.     3600000 IN      A       202.12.27.33
M.ROOT-SERVERS.NET.     3600000 IN      AAAA    2001:dc3::35
# 上面這三行是成對的，代表 M 開頭的伺服器有 A 與 AAAA 的記錄

相關的正解標誌 NS, A, AAAA 意義，請回 19.4.1 去查詢，這裡不再解釋。 比較特殊的是，由於考慮 IPv6 未來的流行性，因此很多部 . 伺服器都加上 AAAA 的 IPv6 功能囉。 這個檔案的內容你不要修改啊～因為這個內容是 Internet 上面通用的資料，一般來說，也不會常常變動， 所以不需要更動他，將他放置到正確的目錄並改成你所指定的檔名即可啊！接下來可以看看其他正解檔案啦！

再來開始正解檔的設定吧！正解檔一定要有的 RR 標誌有底下幾個喔：

• 關於本領域的基礎設定方面：例如快取記憶時間 (TTL)、領域名稱 (ORIGIN) 等；
• 關於 master/slave 的認證方面 (SOA)；
• 關於本領域的領域名稱伺服器所在主機名稱與 IP 對應 (NS, A)；
• 其他正反解相關的資源記錄 (A, MX, CNAME 等)。

相關的 RR 意義請回 19.4.1 去查詢。此外，這個檔案的特殊符號也得跟大家報告一下：

鳥哥打算沿用系統提供的一些設定檔，然後據以修改成為鳥哥自己需要的環境。整個 DNS 是由 master.centos.vbird 這部伺服器管理的，而管理者的 email 為 vbird@www.centos.vbird 這個。整個正解檔最終有點像這樣：

[root@www ~]# vim /var/named/chroot/var/named/named.centos.vbird
# 與整個領域相關性較高的設定包括 NS, A, MX, SOA 等標誌的設定處！
$TTL    600
@                       IN SOA   master.centos.vbird. vbird.www.centos.vbird. (
                                 2011050501 3H 15M 1W 1D ) ; 與上面是同一行
@                       IN NS    master.centos.vbird.  ; DNS 伺服器名稱
master.centos.vbird.    IN A     192.168.100.254         ; DNS 伺服器 IP
@                       IN MX 10 www.centos.vbird.     ; 領域名稱的郵件伺服器

# 針對 192.168.100.254 這部主機的所有相關正解設定。
www.centos.vbird.       IN A     192.168.100.254
linux.centos.vbird.     IN CNAME www.centos.vbird.
ftp.centos.vbird.       IN CNAME www.centos.vbird.
forum.centos.vbird.     IN CNAME www.centos.vbird.

# 其他三部主機的主機名稱正解設定。
slave.centos.vbird.     IN A     192.168.100.100
work.centos.vbird.      IN A     192.168.1.101
vmxp                    IN A     192.168.1.21  ; 這是簡化的寫法！ 

再次強調，一個正解的資料庫設定中，至少應該要有 $TTL, SOA, NS (與這部 NS 主機名稱的 A)， 鳥哥將這些基本要用到的標誌寫在上表的第一部份。至於其他的，則是相關的主機名稱正解設定囉。 如果這些設定值你看不懂，那麼，可以肯定的是，請回 19.4.1 去瞧瞧吧！ 底下強調一下之前沒有講到的設定值項目：

老實說，初次設定 DNS 的朋友大概都會被那個小數點 (.) 玩死～其實你不要太緊張，只要記住：『 加上了 . 表示這是個完整的主機名稱 (FQDN)，亦即是 "hostname + domain name" 了， 如果沒有加上 . 的話，表示該名稱僅為 "hostname" 而已！因為我們這個設定檔的 zone 是 centos.vbird， 所以上表的最後一行，鳥哥只寫出主機名稱 (vmxp) ，因為沒有小數點結尾，因此完整的 FQDN 要加上 zone，所以主機名稱 vmxp 代表的是： vmxp.centos.vbird. 喔！

反解跟正解一樣，還都需要 TTL, SOA, NS 等等的，但是相對於正解裡面有 A，反解裡面則僅有 PTR 喔！ 另外，由於反解的 zone 名稱是很怪 zz.yy.xx.in-addr.arpa. 的模樣，因此只要在反解裡面要用到主機名稱時， 務必使用 FQDN 來設定啊！更多與反解有關的資料，請到 19.4.2 去查閱喔！ 至於 192.168.100.0/24 這個網域的 DNS 反解則成為：

[root@www ~]# vim /var/named/chroot/var/named/named.192.168.100
$TTL    600
@       IN SOA  master.centos.vbird. vbird.www.centos.vbird. (
                2011050501 3H 15M 1W 1D )
@       IN NS   master.centos.vbird.
254     IN PTR  master.centos.vbird.  ; 將原本的 A 改成 PTR 的標誌而已

254     IN PTR  www.centos.vbird.     ; 這些是特定的 IP 對應
100     IN PTR  slave.ceneos.vbird.

1       IN PTR  dhcp1.centos.vbird.   ; 可能針對 DHCP 自動發放的 IP 也設定好！
2       IN PTR  dhcp2.centos.vbird.
....(中間省略)....
50      IN PTR  dhcp50.centos.vbird.

因為我們的 zone 是 100.168.192.in-addr.arpa. 這一個，因此 IP 的全名部分已經含有 192.168.100 了， 所以在上表當中的最左邊，數值只需要存在最後一個 IP 即可。因此 254 就代表 192.168.100.254 囉！ 此外，為了擔心 DHCP 自動分配的 IP 沒有對應的主機名稱，所以這裡也附掛了 192.168.100.{1~50} 的主機名稱對應喔！

DNS 的啟動也太簡單了吧？就直接利用系統提供的啟動 script 即可！

[root@www ~]# /etc/init.d/named restart  <==也可能是需要 restart 喔
[root@www ~]# chkconfig named on

但即使畫面上出現的是『確定』或『OK』，都不見得你的 DNS 服務是正常的。所以，請你『務必』查閱 /var/log/messages 的內容才行！基本上，內容會有點像這樣：

[root@www ~]# tail -n 30 /var/log/messages | grep named
named[6049]: starting BIND 9.3.6-P1-RedHat-9.3.6-16.P1.el5 -u named -t 
/var/named/chroot
named[6049]: found 1 CPU, using 1 worker thread
named[6049]: using up to 4096 sockets
named[6049]: loading configuration from '/etc/named.conf'
named[6049]: max open files (1024) is smaller than max sockets (4096)
named[6049]: using default UDP/IPv4 port range: [1024, 65535]
named[6049]: using default UDP/IPv6 port range: [1024, 65535]
named[6049]: listening on IPv4 interface lo, 127.0.0.1#53
named[6049]: listening on IPv4 interface eth0, 192.168.1.10#53
named[6049]: listening on IPv4 interface eth1, 192.168.100.254#53
named[6049]: command channel listening on 127.0.0.1#953
named[6049]: command channel listening on ::1#953
named[6049]: the working directory is not writable
named[6049]: zone 100.168.192.in-addr.arpa/IN: loaded serial 2011050501
named[6049]: zone centos.vbird/IN: loaded serial 2011050501
named[6049]: running

上面的輸出訊息中，你得要特別注意有畫底線的部分。包括 -t chroot_dir 是設定 chroot 目錄的位置， 而設定檔 (configuration) 則是 /etc/named.conf，最重要的是你的所有的 zone (hint 類型的 . 除外) 的序號 (serial) 號碼要跟你的資料庫內容一致才行！而且不能夠有出現『設定的檔名:數字』的內容， 否則肯定就是設定檔有問題～上面的訊息看起來還算 OK 啦！

在上述的輸出資料當中因為資訊太長了，所以鳥哥將登錄的時間與主機的欄位拿掉了！上面是順利啟動時的狀況， 如果出現問題怎辦？通常出現問題的原因是因為：

• 語法設定錯誤：
  這個問題好解決，因為在 /var/log/messages 裡面有詳細的說明，按照內容去修訂即可；
  
  
• 邏輯設定錯誤：
  這個就比較困擾了！為什麼呢？因為他主要發生在你設定 DNS 主機的時候，考慮不週所產生的問題！例如忘記加上 (.)， 系統不會顯示錯誤訊息，但是卻會造成查詢的誤判，而 MX 設定的主機名稱錯誤，也不會出現有問題的訊息，但是 mail server 就是會收不到信等等～這些錯誤都需要很詳細的 DNS client 的測試才能知道問題的所在。

我們這裡先就語法設定錯誤方面進行介紹，至於邏輯設定的問題，那個就需要多多的進行測試才能知道了～ 底下的錯誤訊息都會記錄在 /var/log/messages 裡面喔！

named: /etc/named.conf:8: missing ';' before '}'
# 注意到上面提到的檔名與數字嗎？說明的是 /etc/named.conf 的第 8 行，
# 至於錯誤是因為缺少分號 (;) 所致！去修正一下即可。

dns_rdata_fromtext: named.centos.vbird:4: near eol: unexpected end of input
zone centos.vbird/IN: loading master file named.centos.vbird: unexpected end of input
_default/centos.vbird/IN: unexpected end of input
# 指的是 named.centos.vbird 的第 4 行有問題，察看檔案內容第 4 行是 SOA 的項目，
# 通常是 SOA 那五個數字沒有完全！趕緊去修訂一下即可啊！

dns_rdata_fromtext: named.centos.vbird:7: near 'www.centos.vbird.': 
not a valid number
# 說明第 7 行在 www.centos.vbird 附近需要有一個合法的數字！剛好是 MX ，
# 所以，趕緊加上一個合法的數字，去瞧瞧改改即可！

通常最大的問題是...打錯字！所以，務必要慢慢打字，慢慢察看清楚，尤其是登錄檔內的資訊喔！都處理完畢之後， 也能夠透過 netstat 去查到 port 53 有在監聽，再來就是要放行人家的查詢了！所以，又得要修改防火牆囉！ 假設你還是安裝鳥哥的防火牆腳本，那麼接下來就是：

[root@www ~]# vim /usr/local/virus/iptables/iptables.rule
# 大約在 173, 174 行左右，找到如下兩行，將註解拿掉即可！
iptables -A INPUT -p UDP -i $EXTIF --dport  53  --sport 1024:65534 -j ACCEPT
iptables -A INPUT -p TCP -i $EXTIF --dport  53  --sport 1024:65534 -j ACCEPT

[root@www ~]# /usr/local/virus/iptables/iptables.rule

在上面的設定都搞定，並且啟動之後，你的 DNS 伺服器應該是已經妥當的在運作了。 那你怎麼知道你的設定是否合理？當然要作測試喔！測試有兩種方式，一種是藉由 client 端的查詢功能， 目的是檢驗你的資料庫設定有無錯誤；另外你也可以連上底下這個網站：

• http://thednsreport.com/

這個網站可以幫你檢驗你的 DNS 伺服器的主要設定是否有問題！不過，這個網站的檢驗主要是以合法授權的 zone 為主，我們自己亂搞的 DNS 是沒有辦法檢查的啦！真是可惜～好了，就讓我們來測試測試結果吧！首先， 得將 DNS 伺服器自己的 /etc/resolv.conf 改成如下模樣較佳：

[root@www ~]# vim /etc/resolv.conf
nameserver 192.168.100.254   <==自己的 IP 一定要最早出現！
nameserver 168.95.1.1

接下來，就讓我們針對上面較重要的正、反解資訊進行檢測吧！同樣的，鳥哥也僅列出答案的部分而已！

# 1. 檢查 master.centos.vbird 以及 www.centos.vbird 的 A 標誌
[root@www ~]# dig master.centos.vbird
;; ANSWER SECTION:
master.centos.vbird.    600     IN      A       192.168.100.254
[root@www ~]# dig www.centos.vbird
;; ANSWER SECTION:
www.centos.vbird.       600     IN      A       192.168.100.254

# 2. 檢查 ftp.centos.vbird 與 vmxp 等等的 A 標誌
[root@www ~]# dig ftp.centos.vbird
;; ANSWER SECTION:
ftp.centos.vbird.       600     IN      CNAME   www.centos.vbird.
www.centos.vbird.       600     IN      A       192.168.100.254
[root@www ~]# dig vmxp.centos.vbird
;; ANSWER SECTION:
vmxp.centos.vbird.      600     IN      A       192.168.1.21

# 3. 檢查 centos.vbird 這個 zone 的 MX
[root@www ~]# dig -t mx centos.vbird
;; ANSWER SECTION:
centos.vbird.           600     IN      MX      10 www.centos.vbird.

# 4. 檢查 192.168.100.254 及 192.168.100.10 的反解
[root@www ~]# dig -x 192.168.100.254
;; ANSWER SECTION:
254.100.168.192.in-addr.arpa. 600 IN    PTR     www.centos.vbird.
254.100.168.192.in-addr.arpa. 600 IN    PTR     master.centos.vbird.
[root@www ~]# dig -x 192.168.100.10
;; ANSWER SECTION:
10.100.168.192.in-addr.arpa. 600 IN     PTR     dhcp10.centos.vbird.

測試要成功才行呦！什麼是成功呢？除了要真的有資料顯示之外，該資料是否正是你要的模樣？那才是順利成功。 如果有出現錯誤的資訊，例如找不到 www.centos.vbird 之類的，那就失敗了，得要找出問題才行。

另外，如果你的資料庫需要更新時，應該做哪些舉動啊？舉例來說，你的某個主機 IP 或者主機名稱要變更，也可能是新增某個主機名稱與 IP 的對應呢！很簡單啦，通常這樣做就好了：

1. 先針對要更改的那個 zone 的資料庫檔案去做更新，就是加入 RR 的標誌即是！
2. 更改該 zone file 的序號 (Serial) ，就是那個 SOA 的第三個參數 (第一個數字)，因為這個數字會影響到 master/slave 的判定更新與否喔！
3. 重新啟動 named ，或者是讓 named 重新讀取設定檔即可。

就這麼簡單啊！不過大家常常會忘記第二個步驟啦！就是將序號變大啊！如果序號沒有變大，那 master/slave 的資料庫可能不會主動的更新，會造成一些困擾喔！

我們使用 19.4.3 的案例，繼續來架設一部支援該案例的 slave DNS 吧！基本的假設為：

• 提供 slave DNS 伺服器進行 zone transfer 的伺服器為 master.centos.vbird
• centos.vbird 及 100.168.192.in-addr.arpa 兩個 zone 都提供給 slave DNS 使用
• master.centos.vbird 的 named 僅提供給 slave.centos.vbird 這部主機進行 zone transfer
• Slave DNS server 架設在 192.168.100.100 這部伺服器上面 (所以 zone file 要修訂)

如上所示，我們的 master.centos.vbird 這部伺服器除了 named.conf 需要調整之外，兩個 zone file 也都需要調整！ 在 named.conf 當中，需要設定哪個 IP 可以對我的 zone 進行傳輸 (allow-transfer)，而在 zone file 當中，就是各加入一筆 NS 的記錄即可！增加的部分如下所示：

# 1. 修訂 named.conf，主要修改 zone 參數內的 allow-transfer 項目
[root@www ~]# vim /var/named/chroot/etc/named.conf
....前面省略....
zone "centos.vbird" IN {
        type master;
        file "named.centos.vbird";
        allow-transfer { 192.168.100.100; };  // 在這裡新增 slave 的 IP
};
zone "100.168.192.in-addr.arpa" IN {
        type master;
        file "named.192.168.100";
        allow-transfer { 192.168.100.100; };  // 在這裡新增 slave 的 IP
};

在上頭所列示的那兩個資料庫檔案當中，你必須要新增所需要的 NS 標誌才行！NS 對應的主機名稱為 slave.centos.vbird， IP 則是 192.168.100.100 呦！結果如下：

# 2. 在 zone file 裡面新增 NS 標誌，要注意需要有 A(正解) 及 PTR(反解) 的設定
[root@www ~]# vim /var/named/chroot/var/named/named.centos.vbird
$TTL    600
@                       IN SOA   master.centos.vbird. vbird.www.centos.vbird. (
                                 2011050701 3H 15M 1W 1D )
@                       IN NS    master.centos.vbird.
@                       IN NS    slave.centos.vbird.
master.centos.vbird.    IN A     192.168.100.254
slave.centos.vbird.     IN A     192.168.100.100
@                       IN MX 10 www.centos.vbird.
....(底下省略)....

[root@www ~]# vim /var/named/chroot/var/named/named.192.168.100
$TTL    600
@       IN SOA  master.centos.vbird. vbird.www.centos.vbird. (
                2011050701 3H 15M 1W 1D )
@       IN NS   master.centos.vbird.
@       IN NS   slave.centos.vbird.
254     IN PTR  master.centos.vbird.
100     IN PTR  slave.ceneos.vbird.
....(底下省略)....
# 要特別注意一件事，那就是，你的 zone file 內的序號要增加！鳥哥測試日期是 5/7，
# 所以，序號就以該天的日期為準來設計的！最後記得 restart 一下啦！

[root@www ~]# /etc/init.d/named restart
[root@www ~]# tail -n 30 /var/log/messages | grep named
starting BIND 9.3.6-P1-RedHat-9.3.6-16.P1.el5 -u named -t /var/named/chroot
found 1 CPU, using 1 worker thread
....(中間省略)....
zone 100.168.192.in-addr.arpa/IN: loaded serial 2011050701
zone centos.vbird/IN: loaded serial 2011050701
zone centos.vbird/IN: sending notifies (serial 2011050701)
zone 100.168.192.in-addr.arpa/IN: sending notifies (serial 2011050701)

反正重新啟動過 named 後，直覺記得就是要查閱 messages 登錄資訊就對了。從上表的輸出來看，會多一個 sending notifies (傳送注意事項) 關鍵字的資料，那就是提醒 slave DNS 來比對序號大小了！所以，你說，序號有沒有很重要呢？當然很重要啊！ 連登錄訊息都會告知序號的大小哩！這樣 master DNS 就設定妥當囉！接下來玩玩 Slave 的設定吧！

既然 Slave DNS 也是 DNS 伺服器嘛！所以，當然也是需要安裝 bind, bind-chroot, caching-nameserver 等等的軟體！ 這部份回去 19.3.1 裡面瞧瞧即可，反正記得使用 yum 安裝就對了。 接下來得要設定 named.conf 吧？而既然 Master/Slave 的資料庫是相同的，所以，理論上， named.conf 內容就是大同小異囉～ 唯一要注意的就是 zone type 類型的差異，以及宣告 master 在哪裡就是了。 至於 zone filename 部分，由於 zone file 都是從 master 取得的，透過 named 這個程式來主動建立起需要的 zone file，因此這個 zone file 放置的目錄權限就很重要！讓我們直接來處理看看：

# 1. 準備 named.conf 的內容：
[root@client ~]# vim /var/named/chroot/etc/named.conf
....(前面的部分完全與 master.centos.vbird 相同，故省略)....
zone "centos.vbird" IN {
        type slave;
        file "slaves/named.centos.vbird";
        masters { 192.168.100.254; };
};
zone "100.168.192.in-addr.arpa" IN {
        type slave;
        file "slaves/named.192.168.100";
        masters { 192.168.100.254; };
};

# 2. 檢查 zone file 預計建立的目錄權限是否正確！底下目錄為系統預設值：
[root@client ~]# ll -d /var/named/chroot/var/named/slaves
drwxrwx--- 2 named named 4096  7月 27  2004 /var/named/chroot/var/named/slaves/
# 注意權限、使用者以及群組三個欄位的資料！需要與 named 這個用戶及群組有關！
[root@client ~]# ll -dZ /var/named/chroot/var/named/slaves
drwxrwx---  named named system_u:object_r:named_cache_t  /var/named/chroot/var/named/slaves/
# 也不要忘記與 SELinux 有關的事情！

為了方便使用者設定，CentOS 預設在 /var/named/slaves/ 處理好了相關權限～所以你可以輕鬆的處理權限問題～ 我們就建議你的 slave zone file 放置在該目錄下！所以上表當中的 file 參數才會這麼寫～此外，那個 masters 結尾有個 s 喔！這裡最容易寫錯～那麼要不要處理 zone file 呢？除了 named.ca 這個 . 需要主動存在之外， 另外兩個 type slave 的資料庫檔案，當然不必存在啊！因為會從 master 處取得嘛！接下來，就讓我們來啟動 named 並進行觀察吧！

[root@client ~]# /etc/init.d/named start
[root@client ~]# chkconfig named on
[root@client ~]# tail -n 30 /var/log/messages | grep named
starting BIND 9.3.6-P1-RedHat-9.3.6-16.P1.el5 -u named -t /var/named/chroot
loading configuration from '/etc/named.conf'
....(中間省略)....
zone centos.vbird/IN: Transfer started.
transfer of 'centos.vbird/IN' from 192.168.100.254#53: connected using 
192.168.100.100#60087
zone centos.vbird/IN: transferred serial 2011050701
transfer of 'centos.vbird/IN' from 192.168.100.254#53: end of transfer
zone centos.vbird/IN: sending notifies (serial 2011050701)
# 你會看到如上的訊息，重點是還有告知序號喔！非常重要！

[root@client ~]# ll /var/named/chroot/var/named/slaves
-rw-r--r-- 1 named named 1933  5月  7 13:16 named.192.168.100
-rw-r--r-- 1 named named  543  5月  7 13:16 named.centos.vbird
# 這兩個 zone file 會主動被建立起來呢！

[root@client ~]# dig master.centos.vbird @127.0.0.1
[root@client ~]# dig -x 192.168.100.254 @127.0.0.1
# 上述兩個檢測的指令如果是正確的顯示出 A 與 PTR 的話，那就完成了！

你瞧！如此一來你的 zone file 就會主動的被建立起來喔！未來如果你的 master DNS 要更新資料庫時， 只要修改過序號，並重新啟動 named 後，這部 slave DNS 就會跟著更新啦！啊！真是『福氣啦！』！！ 不過，如果你發現到啟動 slave DNS 時，你的登錄資訊竟然是這樣：

zone centos.vbird/IN: Transfer started.
transfer of 'centos.vbird/IN' from 192.168.100.254#53: connected using 
192.168.100.100#58187
dumping master file: tmp-a1bYfCd3i3: open: permission denied
transfer of 'centos.vbird/IN' from 192.168.100.254#53: failed while receiving 
responses: permission denied
transfer of 'centos.vbird/IN' from 192.168.100.254#53: end of transfer

如果出現類似這樣的訊息時，不必懷疑啦！肯定是權限錯誤啦！請再次檢查你的資料庫檔案所放置的目錄權限是否可以讓 named 寫入啊！處理處理就好了！現在，你的 DNS 會變的更加強壯囉！因為有類似的備援系統囉～不過仍然要注意的是， 網路查詢 centos.vbird 時，master 與 slave 的地位是相同的，並不是 master 掛點才使用 slave 來查詢喔！所以，這兩部伺服器的相同 domain 的資料庫內容要完全一致才行！

除了 Master/Slave 需要協同 DNS 伺服器共同提供服務之外，DNS 之間如果有上層、下屬的關係時，該如何設定？ 亦即，假設我的網域很大，我只想要負責上層的 DNS 而已，下層希望直接交給各單位的負責人來負責，要怎麼設定呢？ 舉個例子來說，以成大為例，成大計中僅管理各個系所的 DNS 伺服器 IP 而已，由於各個系所的主機數量可能很大， 如果每個人都要請計中來設定，那麼管理員可能會瘋掉，而且在實際設計上也不太人性化。

所以囉，計中就將各個 subdomain (子網域) 的管理權交給各個系所的主機管理員去管理，如此一來， 各系所的設定上面會比較靈活，且上層 DNS 伺服器管理員也不用太麻煩吶！

好了，那麼如何開放子網域授權呢？我們以剛剛在 master 上面建立的 centos.vbird 這個 zone 為例， 假設今天你是個 ISP ，有個人想要跟妳申請 domain name ，他要的 domain 是『 niki.centos.vbird 』， 那你該如何處理？

• 上層 DNS 伺服器：亦即是 master.centos.vbird 這一部，只要在 centos.vbird 那個 zone file 內，增加指定 NS 並指向下層 DNS 的主機名稱與 IP (A) 即可，而 zone file 的序號也要增加才行；
  
  
• 下層 DNS 伺服器：申請的領域名稱必須是上層 DNS 所可以提供的名稱，並告知上層 DNS 管理員，我們這個 zone 所需指定的 DNS 主機名稱與對應的 IP 即可。然後就開始設定自己的 zone 與 zone file 相關資料。

假設我們管理 niki.centos.vbird 的伺服器主機名稱為 dns.niki.centos.vbird ，而這部主機的 IP 為 192.168.100.200， 那接下來就讓我們實際來設定吧！

• ---

  上層 DNS 伺服器：只需新增 zone file 的 NS 與 A 即可

上層 DNS 的處理真是簡單到爆炸！我們修改的是 named.centos.vbird 這個，新增如下的資料即可：

[root@www ~]# vim /var/named/chroot/var/named/named.centos.vbird
@                       IN SOA   master.centos.vbird. vbird.www.centos.vbird. (
                                 2011050702 3H 15M 1W 1D )
# 上面的 SOA 部分序號加大，底下新增這兩行即可 (原本的資料都保留不動)！
niki.centos.vbird.      IN NS    dns.niki.centos.vbird.
dns.niki.centos.vbird.  IN A     192.168.100.200

[root@www ~]# /etc/init.d/named restart
[root@www ~]# tail -n 30 /var/log/messages | grep named
May  7 14:17:18 www named[18773]: zone centos.vbird/IN: loaded serial 2011050702
# 登錄檔的關鍵是上面的序號部分～必須是我們填寫的新的序號才對！

[root@www ~]# dig dns.niki.centos.vbird @127.0.0.1
# 你會發現是錯誤的！找不到 A 喔！

上層 DNS 的設定非常簡單！只要修改 zone file 即可～不過，由於 zone file 指定的是 NS 的查詢權功能， 因此，最後那個指令在 dig dns.niki.centos.vbird 時，卻會找不到 A 喔！那是正常的～因為 192.168.100.200 尚未設定好 niki.centos.vbird 這個領域嘛！所以追蹤的結果並沒有發現在 192.168.100.200 有 niki.centos.vbird 的 zone 啊！ 所以當然找不到。此時資料庫的管理權在 192.168.100.200 上啦！這樣可以理解嗎？再來處理下層 DNS 吧！

• ---

  下層 DNS 伺服器：需要有完整的 zone 相關設定

下層的 DNS 設定就與 19.4 的詳細內容一樣了！所以在這裡我們僅列出重要的項目：

# 1. 修改 named.conf ，增加 zone 的參數，假設檔名為 named.niki.centos.vbird
[root@client ~]# vim /var/named/chroot/etc/named.conf
....(前面省略)....
zone "niki.centos.vbird" IN {
        type master;
        file "named.niki.centos.vbird";
};

# 2. 建立 named.niki.centos.vbird
[root@client ~]# vim /var/named/chroot/var/named/named.niki.centos.vbird
$TTL   600
@      IN SOA   dns.niki.centos.vbird. root.niki.centos.vbird. (
                2011050701 3H 15M 1W 1D )
@      IN NS    dns.niki.centos.vbird.
dns    IN A     192.168.100.200
www    IN A     192.168.100.200
www    IN MX 10 www.niki.centos.vbird.
@      IN A     192.168.100.200
# 為了簡化整個版面，所以鳥哥都使用 hostname 而非 FQDN！請見諒！

# 3. 啟動並觀察相關登錄資訊
[root@client ~]# /etc/init.d/named restart
[root@client ~]# tail -n 30 /var/log/messages | grep named
....(前面省略)....
zone niki.centos.vbird/IN: loaded serial 2011050701
....(底下省略)....
# 同時，記得處理一下防火牆的放行問題！

[root@client ~]# dig www.niki.centos.vbird @192.168.100.254
# 上述的動作必須要有回應才行！否則就會出問題～

想像一個環境，以我們目前的區域網路伺服器來說，我的 master.centos.vbird 有兩個介面，分別是 192.168.100.254/24 (對內) 及 192.168.1.10/24 (對外)，那當我外邊的用戶想要瞭解到 master.centos.vbird 這部伺服器的 IP 時，取得的竟然是 192.168.100.254，因此還得要透過 NAT 才能連線到該介面，但明明 192.168.100.254 與外部的 192.168.1.10 是同一台伺服器主機嘛！幹嘛還得要經過 NAT 轉到內部介面呢？有沒有辦法讓外部的查詢找到 master.centos.vbird 是 192.168.1.10 而內部的找到則回應 192.168.100.254 呢？可以的！那就透過 view 的功能！

那麼 view 要怎麼處理呢？其實就是讓不同來源的用戶，能夠取得他們自己的 zone 回應就是了。舉例來說，當用戶來自 10.0.0.1 時，這個來源不可能是內部 (192.168.100.0/24) ，因此這個來源就會使用外部的 zone file 內容來回應。 因此，我們就得要準備同一個 zone 需要兩個不同的設定，再將個別的設定帶入自己的用戶端查詢當中。

現在我們針對這個概念，對於鳥哥的區網設定 view 的原則是這樣的：

• 建立一個名為 intranet 的名字，這個名字代表用戶端為 192.168.100.0/24 的來源；
• 建立一個名為 internet 的名字，這個名字代表用戶端為非 192.168.100.0/24 的其他來源
• intranet 使用的 zone file 為本章前面各小節所建立的 zone filename，internet 使用的 zone filename 則在原本的檔名後面累加 inter 的副檔名，並修訂各標誌的結果。

再次強調，最終的結果當中，從內網查到的 www.centos.vbird IP 應該是 192.168.100.254，而只要不是這個來源的用戶端， 查到的 www.centos.vbird IP 應該是 192.168.1.10 才對！那就讓我們來實際設定此一項目吧！

[root@www ~]# vim /var/named/chroot/etc/named.conf
options {
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
        allow-transfer  { none; };
};

acl intranet { 192.168.100.0/24; };        <==針對 intranet 給予的來源 IP 指定
acl internet { ! 192.168.100.0/24; any; }; <==加上驚嘆號 (!) 代表反向選擇的意思

view "lan" {                            <==只是一個名字，代表的是內網
        match-clients { "intranet"; };  <==吻合這個來源的才使用底下的 zone
        zone "." IN {
                type hint;
                file "named.ca";
        };
        zone "centos.vbird" IN {
                type master;
                file "named.centos.vbird";
                allow-transfer { 192.168.100.100; };
        };
        zone "100.168.192.in-addr.arpa" IN {
                type master;
                file "named.192.168.100";
                allow-transfer { 192.168.100.100; };
        };
};

view "wan" {                           <==同樣，只是個名字而已！
        match-clients { "internet"; }; <==代表的則是外網的 internet 來源
        zone "." IN {
                type hint;
                file "named.ca";
        };
        zone "centos.vbird" IN {
                type master;
                file "named.centos.vbird.inter"; <==檔名必須與原有的不同！
        };
        // 外網因為沒有使用到內網的 IP，所以 IP 反解部分可以不寫於此
};

上表中，有些資料是重複的，有些則需要經過修改。現在，讓我們來改改 named.centos.vbird.inter 吧！

[root@www ~]# cd /var/named/chroot/var/named
[root@www named]# cp -a named.centos.vbird named.centos.vbird.inter
[root@www named]# vim named.centos.vbird.inter
; 與整個領域相關性較高的設定
$TTL    600
@                       IN SOA   master.centos.vbird. vbird.www.centos.vbird. (
                                 2011050901 3H 15M 1W 1D )
@                       IN NS    master.centos.vbird.
master.centos.vbird.    IN A     192.168.1.10
@                       IN MX 10 www.centos.vbird.

www.centos.vbird.       IN A     192.168.1.10
linux.centos.vbird.     IN CNAME www.centos.vbird.
ftp.centos.vbird.       IN CNAME www.centos.vbird.
forum.centos.vbird.     IN CNAME www.centos.vbird.
work.centos.vbird.      IN A     192.168.1.101
vmxp                    IN A     192.168.1.21

[root@www named]# /etc/init.d/named restart
[root@www named]# tail -n 30 /var/log/messages
[root@www named]# dig www.centos.vbird @192.168.100.254
www.centos.vbird.       600     IN      A       192.168.100.254
# 要得到上面的 IP 才是對的喔！因為介面來自於 192.168.100.0/24 網段

[root@wwww named]# dig www.centos.vbird @192.168.1.10
www.centos.vbird.       600     IN      A       192.168.1.10
# 要得到上面的 IP 才是對的喔！因為介面來自非 192.168.100.0/24 網段

有沒有很簡單！這樣就能讓你的 DNS 依據不同的用戶來源，分別給予同一個主機名稱的不同解析呢！

acl asia { 1.0.0.0/8;  14.0.0.0/8;  27.0.0.0/8;  36.0.0.0/8;  39.0.0.0/8;
          42.0.0.0/0;  49.0.0.0/8;  58.0.0.0/8;  59.0.0.0/8;  60.0.0.0/8;
          61.0.0.0/8; 101.0.0.0/8; 103.0.0.0/8; 106.0.0.0/8; 110.0.0.0/8;
         111.0.0.0/8; 112.0.0.0/8; 113.0.0.0/8; 114.0.0.0/8; 115.0.0.0/8;
         116.0.0.0/8; 117.0.0.0/8; 118.0.0.0/8; 119.0.0.0/8; 120.0.0.0/8;
         121.0.0.0/8; 122.0.0.0/8; 123.0.0.0/8; 124.0.0.0/8; 125.0.0.0/8;
         126.0.0.0/8; 175.0.0.0/8; 180.0.0.0/8; 182.0.0.0/8; 183.0.0.0/8;
         202.0.0.0/8; 203.0.0.0/8; 210.0.0.0/8; 211.0.0.0/8; 218.0.0.0/8;
         219.0.0.0/8; 220.0.0.0/8; 221.0.0.0/8; 222.0.0.0/8; 223.0.0.0/8;
         139.175.0.0/16; 140.0.0.0/8;150.116.0.0/16;150.117.0.0/16;
         163.0.0.0/8; 168.95.0.0/16;192.0.0.0/8; 
};
acl nonasia { ! "asia"; any; };

好啦！現在你應該知道什麼是『經上游授權的合法 DNS 伺服器』了吧？ 沒錯！就是上游的 DNS 伺服器將子網域的查核權開放給你來設定就對啦！嗯！雖然知道原理，但是那麼我要如何來架設一個合法的 DNS 伺服器呢？好讓我自己管理自己的 domain！舉例來說，鳥哥的 vbird.idv.tw 就是鳥哥自己管理的哩～底下我們就來談一談，如何向 ISP 申請一個合法授權的 DNS 伺服器，或者是合法的主機名稱啊！

• ---

  1. 申請一個合法的 domain name ...就是要花錢！

既然是要建立一個合法的 DNS server，自然就要向合法的 ISP 申請授權囉！目前你可以到底下的地方去申請喔！

• http://www.twnic.net/index3.php

其實 TWNIC 已經將台灣地區的一些 domain 授權給各大 ISP 管理了，所以你連接上述的網站之後，可以點選裡頭相關的連結到各大 ISP 去註冊！例如鳥哥就在 Hinet 註冊了 vbird.idv.tw 這個網域！現在鳥哥就以 Hinet 的註冊做為說明吧：

1. 進入主畫面：
   直接連結到底下的網頁去： http://domain.hinet.net
   
   
2. 選擇需要的網域名稱，並查詢該網域是否已存在：
   因為網域必需是獨一無二的，所以你必需使用該網頁當中提供的查詢功能， 去查詢一下你想要的網域是否已經被註冊了呢？一定要沒有被註冊的網域才可以喔！
   
   
3. 逐步進行註冊：
   你可以選擇很多種類的領域來註冊，如果想要註冊個人網站，請按下圖所指的 (1) 處，如果想要註冊類似 vbird.tw 這種網域的話，則可以選擇 (2) 所指的那個項目。然後以該網站提供的功能一步一步的往下去進行， 例如以鳥哥的『個人網址』之註冊為例，按下個人網址之後，會出現流程步驟為：
   
   圖 19.6-1、以 Hinet 網站為依據介紹註冊 domain 的方法
   請依序一步一步的將他完成，最後你會得到一組帳號密碼，就能夠修改自己的領域啦！
   
   
4. 選擇網站代管或架設 DNS 模式：
   我們可以直接請 ISP 幫我們設定好 host 對應 IP 就好(最多三部)，當然也可以自行設定一下我們所需要的 DNS 伺服器啦！如果未來你可能會架設 mail server ，所以還是自行設定 DNS 主機好了！你可以選擇圖 19.6-1 在 (3) 所指的『DNS異動與查詢』項目，會出現下面圖示。記得選擇『DNS』及填寫你的 hostname 與正確的 IP 即可喔！注意： 要填選這個項目，最好你的 IP 是固定制的，浮動制的 IP 不建議用這個選項！
   
   圖 19.6-2、以 Hinet 網站為依據介紹註冊 domain 的方法
   

• ---

  2. 以 DNS 伺服器的詳細設定 (19.4) 之設定內容來設定你的主機：

如果你已經以 DNS 伺服器的方式申請了一個 domain name ，那麼你就必須要設定你的 DNS 主機了！ 請注意，這個情況之下，你只要設定你的註冊的網域的正解即可！ 反解部分則先不要理會，當然，如果你有辦法的話，最好還是請上層的 ISP 幫你設定囉！

• ---

  3. 測試：

設定一部合法的 DNS 完畢後，建議你可以到這個網站去查詢一下你的設定是否妥當：

• http://thednsreport.com/

如此一來，你的 DNS 主機上面設定的任何資訊，都可以透過 Internet 上面的任何一部主機來查詢到喔！夠棒吧！心動了嗎？趕快去試看看吧！ ^_^