《操作系統(tǒng)與網(wǎng)絡服務器管理》課件-項目6 DNS服務器的架設

項目6DNS服務器的架設6.1項目描述某公司搭建了局域網(wǎng)(/24),公司擁有內部網(wǎng)站,員工需要通過域名進行訪問,同時也需要訪問Internet上的網(wǎng)站。該公司已經(jīng)申請了域名,公司需要Internet上的用戶通過域名訪問公司的網(wǎng)頁。為了保證可靠性,不能因為DNS的故障,導致網(wǎng)頁不能訪問。項目6DNS服務器的架設6.2項目分析小崔是此公司的系統(tǒng)工程師,需要在公司內部構建一臺DNS服務器,為局域網(wǎng)中的客戶端和服務器提供域名解析的服務。DNS服務器管理域的域名解析,DNS服務器的域名為DNS1.,IP地址為。輔助DNS服務器的域名為DNS2.,IP地址為。同時還需要為客戶端提供Internet上的主機的域名解析。要求分別能解析以下域名:產(chǎn)品部(:),OA(OfficeAutomation)系統(tǒng)(:)。項目6DNS服務器的架設

6.3知識準備6.3.1DNS概述6.3.2DNS的查詢方式6.3.1DNS概述

圖6-1

DNS域名空間1)DNS

域名空間位于樹狀結構最上層的是根域(root),一般由“.”表示。Root目前由多個機構管理,如InterNIC組織與Network

Solutions公司。root內有多臺DNS服務器。root之下為頂級域,其中有數(shù)臺DNS服務器。頂級域是在Internet中所能看到的最高等級的域,名字由2~3個英文字母組成。頂級域之下為二級域,供公司和組織來申請、注冊使用,如“”是由Microsoft公司所注冊的。如果某公司的網(wǎng)絡要連接到Internet,則域名必須經(jīng)過申請和審核才可使用。公司、組織等可以在其二級域名下,再細分多層的子域,如圖6-1所示,在之下為其分子域technet,其域名為。在technet內,有一臺Web服務器,其被添加了一條主機A記錄為www,因此其FQDN(完全限定域名)為。2)DNS服務器的工作原理DNS由DNS客戶端、本地DNS服務器以及Internet中其他的DNS服務器構成。例如,客戶端通過ADSL上網(wǎng),首先撥號連接到ISP的一臺DHCP服務器,由它為客戶端動態(tài)分配一個公網(wǎng)IP,并指定一臺公網(wǎng)中的服務器作為客戶端的本地DNS服務器。當客戶端在IE地址欄輸入某個網(wǎng)站的FQDN后,該名稱首先發(fā)往客戶端的本地DNS服務器,如果在這臺本地DNS服務器的DNS緩存中查找不到這條記錄,就會立刻將查詢請求轉發(fā)給Internet中其他的DNS服務器。由于Internet中的每個區(qū)域都有若干權威DNS服務器,通過他們最終能找到該FQDN對應的IP地址。解析成功后,在客戶端IE瀏覽器的左下角會立即出現(xiàn)一個IP地址,也就是名稱解析的結果。若此時Internet中參與查詢的一臺很重要的DNS服務器發(fā)生了故障,導致查詢不能正常進行,那么DNS客戶端將無法瀏覽該網(wǎng)頁。6.3.2DNS的查詢方式當DNS客戶端向DNS服務器解析IP地址時,或DNS服務器(此時在扮演著DNS客戶端的角色)在向其他的DNS服務器解析IP地址時,有以下兩種方式。1.遞歸查詢2.迭代查詢1.遞歸查詢在遞歸查詢中,DNS客戶端在送出查詢請求后,若DNS服務器內沒有所需的記錄,它就會代替客戶端向其他DNS服務器進行查詢。也就是說,DNS客戶端要求它所查詢的那臺DNS服務器給出最終的解析結果。一般由DNS客戶端所提出的查詢請求屬于遞歸查詢方式。很多情況下,遞歸查詢往往需要迭代查詢來完善,遞歸查詢時,DNS客戶端只需要等待最終DNS服務器所回應的最終結果。2.迭代查詢在迭代查詢中,當DNS客戶端送出查詢請求后,若第一臺DNS服務器內沒有所需的記錄,它會向另一臺DNS服務器或根提示服務器進行查詢。也就是說,DNS客戶端要求其查詢的那臺DNS服務器在不轉發(fā)查詢請求的情況下給出最佳的結果。一般由DNS服務器向外發(fā)出的查詢屬于迭代查詢方式。下面以圖6-2所示的DNS客戶端Computer1向本地DNS服務器Server1解析example.microsoft.com的IP地址為例來說明其工作流程。圖6-2

DNS的查詢方式1)DNS客戶端向本地DNS服務器查詢的IP地址(遞歸查詢)。2)若本地DNS服務器沒有所要查詢的記錄,則默認情況下,它會將此查詢請求轉發(fā)到負責root區(qū)域的一臺權威的根名稱DNS服務器(迭代查詢)。3)根名稱服務器從要查詢的主機名稱()得知此主機位于頂級域.com之下,故它會將負責.com區(qū)域的一臺權威DNS服務器的IP地址傳送給本地DNS服務器。4)本地DNS服務器得到.com權威DNS服務器的IP地址后,會直接向.com權威DNS服務器查詢的IP地址(迭代查詢)。5).com的權威DNS服務器從要查詢的主機名稱()得知此主機位于域M之內,故它會將負責M區(qū)域的一臺權威DNS服務器的IP地址傳送給本地DNS服務器。6)本地DNS服務器得到負責M區(qū)域的權威DNS服務器的IP地址后,會直接向其查詢的IP地址(迭代查詢)。7)M的權威DNS服務器將的IP地址傳送給本地DNS服務器。8)本地DNS服務器再將的IP地址傳送給DNS客戶端。DNS客戶端得到的IP地址后,就可以跟服務器通信了。6.4項目實施——DNS服務器的安裝與配置6.4.1DNS服務器的安裝6.4.2正向查找區(qū)域和反向查找區(qū)域6.4.3DNS服務器的資源記錄6.4.4區(qū)域屬性和區(qū)域傳送6.4.5轉發(fā)器承接上一任務,系統(tǒng)工程師小崔需要為公司搭建DNS服務器并提供區(qū)域的解析。并需要將網(wǎng)絡上已有的一些資源添加到這個區(qū)域中,使得它們能夠被客戶端以域名的方式進行訪問,見表6-5,詳細列出了公司內部的網(wǎng)絡資源和其對應的IP地址。表6-5項目需求列表IP地址服務器類型詳細信息主DNS服務器公司的主DNS服務器,主機頭設置為“DNS1.”。輔助DNS服務器公司的輔助DNS服務器,主機頭設置為“DNS2.”。實現(xiàn)與主DNS服務器的區(qū)域傳送。WEB服務器公司產(chǎn)品部WEB服務器,主機頭設置為“”。建立別名記錄“”。OA系統(tǒng)公司內部研發(fā)的OA系統(tǒng),主機頭設置為“”。6.4.1DNS服務器的安裝1)IP地址為的服務器即將安裝DNS服務,因此為服務器配置固定的IP地址和首選DNS的IP地址指向自己。如圖6-3所示。圖6-3

Internet協(xié)議版本4(TCP/IPv4)屬性2)打開服務器管理器,選擇“角色”,選擇“添加角色”,在如圖6-4所示的“選擇服務器角色”頁,勾選“DNS服務器”復選框,單擊“下一步”按鈕。圖6-4選擇服務器角色3)在如圖6-5所示的“DNS服務器”頁,單擊“下一步”按鈕,打開如圖6-6所示的“確認安裝選擇”頁,單擊“安裝”按鈕,開始安裝DNS服務。圖6-5

DNS服務器簡介圖6-6確認安裝選擇4)安裝完成后,回到“服務器管理器”控制臺樹,刷新后如圖6-7所示,將顯示DNS服務器角色添加成功。圖6-7

DNS服務器角色添加成功DNS服務器安裝成功后會自動啟動,并且會在系統(tǒng)目錄%ststemroot%\system32\下生成一個DNS文件夾,如圖6-8所示,其中默認包含了緩存文件、日志文件、模版文件夾、備份文件夾等與dns相關的文件,如果創(chuàng)建了DNS區(qū)域,還會生成相應的區(qū)域數(shù)據(jù)庫文件。圖6-8

dns文件夾DNS查詢的方向可以是正向的和反向的。正向查詢提供了域名到IP地址的解析,反向查詢可以讓DNS客戶端利用IP地址來找到主機名稱,如表6-6所示,DNS客戶端可以查詢IP地址為的主機名稱。不過需要在DNS服務器內建立一個反向查詢區(qū)域,其名稱的最后為。例如,要針對網(wǎng)絡號為192.168.0.的網(wǎng)絡來提供反向查詢功能,則這個反向查詢區(qū)域的區(qū)域名必須是0.168.192.,其網(wǎng)絡號部分為反向書寫。6.4.2正向查找區(qū)域和反向查找區(qū)域名稱空間:正向區(qū)域wyhDNSClient101DNSClient202DNCClient303反向區(qū)域0.168.192.01DNSClient102DNSClient203DNSClient3表6-6正向和反向查詢根據(jù)項目實施中所述,首先為DNS服務器創(chuàng)建正向和反向查找的主要區(qū)域。【項目操作】創(chuàng)建的正向主要區(qū)域。1)以管理員賬戶登錄到DNS服務器上,如圖6-9所示,點擊“開始”→“管理工具”→DNS,打開DNS管理器控制臺。右鍵單擊“正向查找區(qū)域”,在彈出的菜單中選擇“新建區(qū)域”命令,打開“新建區(qū)域向導”對話框,單擊“下一步”按鈕。圖6-9新建正向查找區(qū)域2)如圖6-10所示,在“區(qū)域類型”頁,可以選擇區(qū)域類型為“主要區(qū)域”、“輔助區(qū)域”或“存根區(qū)域”,此處選擇“主要區(qū)域”單選項。如果此DNS服務器同時又是一臺域控制器,則可取消選擇“在ActiveDirectory中存儲區(qū)域(只有DNS服務器是域控制器時才可用)”復選框,這樣DNS數(shù)據(jù)庫就不會與AD集成。單擊“下一步”按鈕。圖6-10選擇區(qū)域類型3)如圖6-11所示,在“區(qū)域名稱”頁,輸入正向主要區(qū)域的名稱,區(qū)域名稱一般以域名表示,指定了DNS名稱空間的部分,此處輸入“”。單擊“下一步”按鈕。圖6-11設置區(qū)域名稱圖6-12創(chuàng)建區(qū)域文件4)如圖6-12所示,在“區(qū)域文件”頁,可以選擇創(chuàng)建新的區(qū)域文件或選擇已存在的區(qū)域文件。此處保持默認選項,單擊“下一步”按鈕。5)如圖6-13所示,在“動態(tài)更新”頁,可以選擇區(qū)域是否支持動態(tài)更新,由于此項目案例為工作組環(huán)境,DNS不與AD集成使用,所以“只允許安全的動態(tài)更新(適合ActiveDirectory使用)”不可選。此處默認選擇“不允許動態(tài)更新”單選項。單擊“下一步”按鈕。圖6-13設置動態(tài)更新6)如圖6-14所示的“正在完成新建區(qū)域向導”頁。單擊“完成”按鈕,正向主要區(qū)域創(chuàng)建完成。查看DNS管理器控制臺,效果如圖6-15所示。剛創(chuàng)建完的區(qū)域中默認只有其實授權機構(SOA)和名稱服務器(NS)的記錄。圖6-14正向查找區(qū)域創(chuàng)建完成圖6-15區(qū)域中默認的資源記錄創(chuàng)建的反向主要區(qū)域1)點擊“開始”→“管理工具”→DNS,打開DNS控制臺。右鍵單擊“反向查找區(qū)域”,在彈出的菜單中選擇“新建區(qū)域”命令,打開“新建區(qū)域向導”對話框,單擊“下一步”按鈕。2)在“區(qū)域類型”頁,選擇區(qū)域類型為“主要區(qū)域”。3)在“反向查找區(qū)域名稱”頁,選擇“IPv4反向查找區(qū)域(4)”選項,單擊“下一步”按鈕,在如圖6-16所示的對話框中輸入反向查找區(qū)域的網(wǎng)絡ID“192.168.0”,再單擊“下一步”按鈕。圖6-16反向查找區(qū)域名稱圖6-17區(qū)域文件4)如圖6-17所示,在“區(qū)域文件”頁,保持默認選擇“創(chuàng)建新文件,文件名為0.168.192..dns”,單擊“下一步”按鈕。5)在“動態(tài)更新”頁,此處默認選擇“不允許動態(tài)更新”單選項,單擊“下一步”按鈕。6)如圖6-18所示,在“正在完成新建區(qū)域向導”頁,單擊“完成”按鈕,反向查找的主要區(qū)域創(chuàng)建完成。圖6-18反向查找區(qū)域創(chuàng)建完成6.4.3

DNS服務器的資源記錄資源記錄是用于答復DNS客戶端請求的DNS數(shù)據(jù)庫記錄,每一臺權威DNS服務器內包含其管理的DNS命名空間的所有資源記錄。資源記錄包含和特定主機有關的信息,如IP地址、提供服務的類型等。常見的資源記錄類型見表6-7。資源記錄類型作用對象解釋起始授權結構(SOA)起始授權機構此記錄指定區(qū)域的起點。它所包含的信息有區(qū)域名、區(qū)域管理員電子郵件地址,以及指示輔DNS服務器如何更新區(qū)域數(shù)據(jù)文件的設置等。名稱服務器(NS)名稱服務器此記錄指定負責此DNS區(qū)域的權威名稱服務器。服務資源記錄(SRV)域中的服務器角色此記錄只存在于同時扮演DNS服務器的域控制器上,它用于指出該域的域控制器及其扮演的角色。主機(A)地址此記錄是名稱解析的重要記錄,它用于將特定的主機名映射到對應主機的IP地址上。你可以在DNS服務器中手動創(chuàng)建或通過DNS客戶端動態(tài)更新來創(chuàng)建。別名(CNAME)標準名稱此記錄用于將某個別名指向到某個主機(A)記錄上,從而無需為某個需要新名字解析的主機額外創(chuàng)建A記錄。資源記錄類型作用對象解釋郵件交換器(MX)郵件交換器此記錄列出了負責接收發(fā)到域中的電子郵件的主機,通常用于郵件的收發(fā)。指針記錄(PTR)標準名稱此記錄只存在于反向區(qū)域中,它用于將特定的IP地址映射到對應的主機名。續(xù)表表6-7資源記錄1)如圖6-19所示,在DNS管理器控制臺,右鍵單擊要創(chuàng)建資源記錄的正向查找區(qū)域“”,在彈出的菜單中選擇“新建主機(A)”命令,打開“新建主機”對話框。根據(jù)項目實施的需求,新建主機記錄圖6-19新建主機記錄在“新建主機”對話框可以創(chuàng)建主機(A)記錄。在該對話框中輸入以下信息?！馎記錄名稱:主機(A)記錄的名稱,一般是指計算機名或指代的服務器角色?！馡P地址:該計算機的IP地址?！駝?chuàng)建相關的指針記錄:在正向區(qū)域中創(chuàng)建主機(A)記錄的同時在已存在的相應反向查找區(qū)域中創(chuàng)建指針(PTR)記錄。圖6-20完成提示2)輸入完畢,單擊“添加主機”按鈕后,出現(xiàn)如圖6-20所示的信息提示框,表示已成功創(chuàng)建主機記錄。單擊“確定”按鈕,再單擊“完成”按鈕即可。3)重復上一步驟,直到將所有主機記錄添加完成后,關閉窗口退出。根據(jù)項目需要添加的其他主機記錄如下:

DNS1.(A)

DNS2.(A)

(A)(CNAME)

(A)4)添加完成后,如圖6-21所示。圖6-21成功添加的(A)記錄根據(jù)需求創(chuàng)建(A)記錄的別名記錄。1)在DNS管理器控制臺,右鍵單擊要創(chuàng)建資源記錄的正向查找區(qū)域“”,在彈出的菜單中選擇“新建別名(CNAME)”命令,打開“新建資源記錄”對話框。2)如圖6-22所示,在“目標主機的安全合格域名(FQDN)”文本框中輸入“”,在“別名(如果為空則使用父域)”文本框中輸入“www”,也可以通過“瀏覽”按鈕找到目標主機,然后單擊“確定”按鈕,即完成別名記錄的創(chuàng)建。圖6-22新建別名記錄3)返回DNS管理器控制臺,如圖6-23所示。區(qū)域中新增了一條別名(CNAME)記錄。圖6-23新增的(CNAME)記錄圖6-24解析成功4)現(xiàn)使用命令“ping”和“ping”來進行測試,結果如圖6-24所示,經(jīng)過DNS服務器的解析,能夠正確解析到IP地址。新建反向查找區(qū)域中的PTR指針記錄。1)如圖6-25所示,在DNS管理器控制臺中右鍵單擊要創(chuàng)建資源記錄的反向查找區(qū)域“0.168.192.”,在彈出的菜單中選擇“新建指針(PTR)”命令,打開“新建資源記錄”對話框。圖6-25新建指針記錄2)在“主機IP地址”文本框的最后一段輸入“5”,在“主機名”文本框中輸入“”,也可以通過“瀏覽”按鈕找到目標主機,然后單擊“確定”按鈕,返回DNS管理器控制臺。如圖6-26,現(xiàn)在0.168.192.區(qū)域中新增加了一條指針(PTR)記錄。圖6-26新增的指針記錄3)現(xiàn)使用命令“ping-a

”來進行測試,結果如圖6-27所示,經(jīng)過DNS服務器的反向解析,能夠正確解析到主機名為。圖6-27反向解析成功6.4.4區(qū)域屬性和區(qū)域傳送1)在DNS控制臺中,右鍵單擊,在彈出的菜單中選擇“屬性”,在“屬性”界面中,選擇“常規(guī)”選項卡,如圖6-28所示,此處可設置的屬性有如下幾個。圖6-28常規(guī)屬性●區(qū)域文件名。●動態(tài)更新:設置是否允許動態(tài)更新,以及更新的方式。當添加、刪除或修改網(wǎng)卡的IP地址、通過DHCP續(xù)訂租約、使用命令“ipconfig/registerdns”手動刷新客戶端名稱注冊,或者當計算機啟動時,都可能觸發(fā)DNS的動態(tài)更新?！瘛案摹卑粹o:更改當前區(qū)域類型。如果域中有多臺域控制器,可以考慮選中“在ActiveDirectory中存儲區(qū)域”復選框,也就是將區(qū)域中的信息集成到AD數(shù)據(jù)庫中?！瘛袄匣卑粹o:設置老化/清理屬性。2)選擇“起始授權機構”選項卡,如圖6-29所示,此處可設置的屬性有如下幾個。圖6-29起始授權機構●序列號:表示區(qū)域的新舊程度,如果更改了該區(qū)域,則序列號增加。當兩臺DNS服務器要進行同步時,它會比較哪個DNS服務器的數(shù)據(jù)庫較新?！袼⑿麻g隔:在DNS服務器需要同步時,定義每隔多少時間自動同步一次?！襁^期時間:如果一直不能同步成功,則過了“過期時間”后,該區(qū)域被標識為“過期”的,它將不能被查詢使用。3)配置區(qū)域傳送選擇“區(qū)域傳送”選項卡,如圖6-30所示,選中“允許區(qū)域傳送”復選框,有如下3種選擇。圖6-30配置區(qū)域傳送●“只允許到下列服務器”:在“IP地址”文本框中輸入要復制的輔助DNS服務器的IP地址列表?！瘛爸挥性凇Q服務器’選項卡中列出的服務器”:選擇“名稱服務器”選項卡,將要復制到的輔助DNS服務器的IP地址添加到“名稱服務器”列表中。●“到所有服務器”:將把當前區(qū)域的信息復制到其他所有的輔助DNS服務器上。6.4.5轉發(fā)器若公司內部的DNS客戶端要訪問公網(wǎng),有兩種方法:在本地DNS服務器上使用默認的根提示,或為它設置轉發(fā)器。轉發(fā)器可以管理對網(wǎng)絡外的名稱(如Internet上的名稱)的解析,并改善網(wǎng)絡中計算機的名稱解析效率。圖6-31顯示了如何使用DNS轉發(fā)器向外部DNS服務器進行名稱查詢。圖6-31使用轉發(fā)器設置DNS轉發(fā)器需要在網(wǎng)絡中增加一臺DNS服務器(負責轉發(fā))。主機名為DNSforward,IP地址是.以轉發(fā)DNS客戶端的名稱解析請求。1)在DNSforward計算機上安裝DNS服務。2)在DNSforward計算機上設置轉發(fā)功能。在DNS控制臺中,右鍵單擊DNS服務器,在彈出的菜單中選擇“屬性”命令,在DNS服務器屬性對話框中選擇“轉發(fā)器”選項卡,單擊“編輯”按鈕,在如圖6-32所示的“編輯轉發(fā)器”對話框中,輸入IP地址“”,單擊“確定”按鈕。圖6-32編輯轉發(fā)器此時回到DNS服務器屬性對話框,發(fā)現(xiàn)這臺DNS服務器已成功添加到轉發(fā)器列表中。請注意下面的復選框“如果沒有轉發(fā)器可用,請使用根提示”,默認是選中的。最后單擊“確定”即可完成設置。3)測試DNS轉發(fā)服務器功能客戶端設定首選DNS服務器后,可以解析相關域名,相關查詢會被轉發(fā)到上,使用nslookup命令解析過程如圖6-33所示,DNSforward計算機把查詢轉發(fā)給負責區(qū)域的dns服務器,最后完成解析。圖6-33轉發(fā)器測試在WindowsServer2008中支持“條件轉發(fā)”功能,即為不同的DNS區(qū)域分別設置轉發(fā)器,它們將代替服務器級別的轉發(fā)器。例如,把客戶端對區(qū)域的查詢請求都轉交給地址為5的那臺DNS服務器,那么可以在5上新建一個名稱為“”的DNS區(qū)域,然后在dnsforward計算機的DNS控制臺下右擊“條件轉發(fā)器”選項,在彈出的菜單中選擇“新建條件轉發(fā)器”命令,在如圖6-34所示的“新建條件轉發(fā)器”對話框中,指定DNS域名為“”,并輸入相應的DNS服務器的IP地址為5。而對所有其他的DNS區(qū)域的查詢請求,都會發(fā)送到前面設置的DNS服務器上。圖6-34設置條件轉發(fā)器6.5項目實施——DNS客戶端6.5.1DNS客戶端的設置6.5.2DNS客戶端的測試6.5.3管理DNS客戶端緩存凡是需要將域名解析為IP地址的場景就是DNS的應用場景。例如,在把計算機加入域時,需要輸入域名,若客戶端通過DNS服務成功解析到此域中的域控制器,則會出現(xiàn)一個“計算機名更改”對話框,提示輸入有加入該域權限的賬戶的憑據(jù)。在計算機瀏覽網(wǎng)頁、收發(fā)電子郵件的時候也需要名稱解析服務,因此,無論在Internet上還是在公司的內部網(wǎng)絡(基于域的)中,DNS服務都是必要的。DNS客戶端的配置方法有如下幾種：1.手工指定2.DHCP自動獲取6.5.1DNS

客戶端的設置1.手工指定打開客戶端Internet協(xié)議版本4(TCP/IPv4)屬性對話框,在“首選DNS服務器”處輸入第一臺DNS服務器的IP地址,在“備用DNS服務器”處可以輸入第二臺可提供服務的DNS服務器的IP地址。單擊“高級”按鈕還可以繼續(xù)添加,DNS客戶端會依次查詢這些DNS服務器。打開客戶端Internet協(xié)議版本4(TCP/IPv4)屬性對話框,選中“自動獲得IP地址”和“自動獲得DNS服務器地址”?？蛻舳司蜁木W(wǎng)絡中的一臺DHCP服務器獲得一個預先指定的DNS服務器的IP地址。2.DHCP自動獲取6.5.2

DNS客戶端的測試可以使用nslookup命令測試DNS服務器記錄,nslookup命令的特點是不會留下緩存,而ping命令會留下錯誤的緩存,影響客戶端的正常解析。Nslookup命令有非交互式和交互式兩種,以下說明了他們的使用方法。1.非交互式nslookup命令在DNS客戶端上輸入以下命令測試DNS服務器上的資源記錄能否解析。

C:\>nslookup

#能正確解析A記錄

C:\