Cấu hình DNS thẩm quyền trong VergeOS
Hướng dẫn đầy đủ để thiết lập dịch vụ DNS thẩm quyền trong VergeOS bằng BIND, bao gồm các DNS views, zones, records và cấu hình tường lửa.
Tổng quan
Hướng dẫn này sẽ dẫn bạn qua việc cấu hình dịch vụ DNS có thẩm quyền trong VergeOS bằng máy chủ BIND DNS tích hợp sẵn. Bạn sẽ học cách bật dịch vụ DNS trên một mạng, tạo các view DNS để kiểm soát truy cập, cấu hình các vùng DNS cho tên miền của bạn và quản lý các bản ghi DNS. Đến cuối hướng dẫn này, bạn sẽ có một máy chủ DNS có thẩm quyền hoạt động đầy đủ trong môi trường VergeOS của mình.
DNS có thẩm quyền cho phép hệ thống VergeOS của bạn trở thành nguồn xác định cho các bản ghi DNS trong những tên miền bạn quản lý, cung cấp khả năng quản lý đầy đủ việc phân giải tên miền trong khi vẫn tích hợp với hạ tầng mạng hiện có của bạn.
Những gì bạn sẽ học
Sau khi hoàn thành hướng dẫn này, bạn sẽ có thể:
• Bật dịch vụ BIND DNS trên các mạng VergeOS và hiểu các tùy chọn cấu hình • Tạo và cấu hình các view DNS để kiểm soát truy cập và triển khai DNS split-horizon • Thiết lập các vùng DNS cho những tên miền bạn muốn lưu trữ có thẩm quyền • Quản lý các bản ghi DNS bao gồm A, CNAME, MX và các loại bản ghi khác • Cấu hình quy tắc tường lửa để cho phép lưu lượng DNS trong khi vẫn duy trì bảo mật • Thiết lập chuyển vùng cho cấu hình DNS dự phòng • Xác minh chức năng DNS và khắc phục các sự cố thường gặp
Các câu hỏi thường gặp mà hướng dẫn này giải đáp:
Làm cách nào để bật DNS có thẩm quyền trên mạng VergeOS của tôi?
Sự khác nhau giữa view DNS LAN và WAN là gì và tôi cấu hình chúng như thế nào?
Làm cách nào để tạo một vùng DNS cho tên miền của tôi?
Tôi cần những quy tắc tường lửa nào cho các dịch vụ DNS hướng ra công khai?
Làm cách nào để thêm các loại bản ghi DNS khác nhau?
Làm cách nào để thiết lập chuyển vùng DNS cho tính dự phòng?
Tại sao máy chủ DNS của tôi không cung cấp phân giải Internet cho các máy khách nội bộ?
Yêu cầu
Phiên bản VergeOS: v4.0 hoặc mới hơn Mức truy cập: Quyền Cluster Admin hoặc Tenant Admin Điều kiện tiên quyết về mạng: Mạng được cấu hình đúng với kết nối bên ngoài (cho DNS công khai) Yêu cầu về tên miền: Tên miền đã đăng ký và có khả năng sửa đổi cài đặt máy chủ tên (cho DNS công khai)
Kiến thức nền:
Hiểu biết về các nguyên tắc cơ bản của DNS (vùng, bản ghi, phân giải)
Quen thuộc với cấu hình mạng VergeOS
Hiểu cơ bản về các quy tắc tường lửa
Ước tính thời gian
Thời gian hoàn thành: 20-45 phút Điều kiện tiên quyết để thiết lập: 10-15 phút (quy tắc tường lửa, xác minh mạng)
Tham khảo nhanh
Bật BIND DNS
Mạng > Chỉnh sửa mạng > DNS: Bind
Kích hoạt dịch vụ DNS có thẩm quyền
Tạo view DNS
Mạng > View DNS > Mới
Cấu hình chính sách truy cập của máy khách
Tạo vùng DNS
Mạng > View DNS > [View] > Vùng DNS > Mới
Thêm tên miền để lưu trữ có thẩm quyền
Thêm bản ghi DNS
Mạng > View DNS > [View] > Vùng DNS > [Zone]
Quản lý bản ghi tên miền
Cấu hình tường lửa
Mạng > Quy tắc > Mới
Cho phép lưu lượng DNS (cổng 53 UDP/TCP)
Kiểm tra DNS
Mạng > Chẩn đoán > Tra cứu DNS
Xác minh chức năng DNS
Cấu hình từng bước
Bước 1: Bật BIND DNS trên một mạng
Bước đầu tiên là bật dịch vụ BIND DNS trên mạng sẽ cung cấp DNS có thẩm quyền. Bạn có thể bật DNS trên bất kỳ mạng hiện có nào (nội bộ hoặc bên ngoài), mặc dù các mạng bên ngoài thường được dùng cho dịch vụ DNS hướng ra công khai.
Đi đến mạng mục tiêu của bạn:
Mạng > Danh sách
Chọn mạng mà bạn muốn bật dịch vụ DNS
Nhấp Chỉnh sửa từ menu bên trái
Cấu hình cài đặt DNS:
Tìm tùy chọn DNS trường thả xuống
Chọn Bind từ các tùy chọn có sẵn:
Bind - Bật đầy đủ khả năng của máy chủ DNS có thẩm quyền
Đơn giản - Chuyển tiếp DNS cơ bản (không có thẩm quyền)
Đã tắt - Không có dịch vụ DNS
Mạng khác - Chuyển tiếp đến DNS của mạng khác
Cấu hình các cài đặt mạng bổ sung nếu cần:
Xác minh Loại địa chỉ IP được đặt thành Tĩnh (bắt buộc cho dịch vụ DNS)
Đảm bảo các danh sách máy chủ DNS mục cho phân giải lên trên
Cấu hình DHCP các cài đặt nếu máy khách sẽ nhận cấu hình DNS tự động
Gửi cấu hình:
Nhấp Gửi để lưu cấu hình mạng
Mạng sẽ cần được khởi động lại để áp dụng các thay đổi DNS
Thay đổi hành vi mạng quan trọng
Khi bạn bật BIND trên một mạng, đệ quy là bị tắt theo mặc định. Điều này có nghĩa là các hệ thống nội bộ sẽ sử dụng tuyến mặc định của mạng để phân giải DNS Internet cho đến khi bạn cấu hình các view DNS với đệ quy được bật.
Bước 2: Tạo các view DNS
Các view DNS kiểm soát cách máy chủ DNS phản hồi các loại máy khách khác nhau. Phần này giải thích cách tạo cả view nội bộ (LAN) và bên ngoài (WAN) cho cấu hình DNS split-horizon.
Truy cập View DNS:
Từ bảng điều khiển của mạng đã bật DNS của bạn
Nhấp View DNS từ menu bên trái
Bạn sẽ thấy một danh sách trống sẵn sàng để cấu hình view
Tạo view LAN (nội bộ):
Nhấp Mới từ menu bên trái
Cấu hình các cài đặt của view LAN:
Mạng: Chọn mạng DNS của bạn từ danh sách thả xuống
Tên: Nhập
LAN(hoặc một tên nội bộ mô tả khác)Đệ quy: Đánh dấu vào ô để bật đệ quy
ID thứ tự: Nhập
1(các view được xử lý theo thứ tự)
Cấu hình khớp máy khách cho view LAN:
Trong Khớp máy khách phần, nhấp vào + biểu tượng để thêm các mạng máy khách
Thêm các dải mạng nội bộ của bạn (các máy khách này sẽ nhận DNS đệ quy):
10.0.0.0/8(mạng riêng Class A)192.168.0.0/16(mạng riêng Class C)172.16.0.0/12(mạng riêng Class B)Thêm bất kỳ mạng nội bộ nào khác đang được dùng trong môi trường của bạn
Khớp đích: Để trống cho hầu hết cấu hình
Kích thước bộ nhớ đệm tối đa: Đặt thành
32MB (hoặc điều chỉnh theo nhu cầu của bạn)
Tạo view WAN (bên ngoài):
Nhấp Mới từ lại menu bên trái
Cấu hình các cài đặt của view WAN:
Mạng: Chọn mạng DNS của bạn từ danh sách thả xuống
Tên: Nhập
WAN(hoặc một tên bên ngoài mô tả khác)Đệ quy: Để không được chọn (tắt vì lý do bảo mật)
ID thứ tự: Nhập
2(được xử lý sau view LAN)
Cấu hình khớp máy khách cho view WAN:
Khớp máy khách: Để trống (khớp với tất cả máy khách khác không được view LAN bắt)
Khớp đích: Để trống
Kích thước bộ nhớ đệm tối đa: Đặt thành
32MB hoặc theo mức phù hợp
Gửi cả hai view:
Nhấp Gửi cho từng cấu hình view
Giờ đây cả hai view sẽ xuất hiện trong danh sách View DNS của bạn
Bước 3: Cấu hình các vùng DNS
Các vùng DNS xác định các tên miền mà máy chủ của bạn có thẩm quyền. Phần này bao gồm việc tạo vùng và cấu hình các cài đặt cơ bản của chúng.
Truy cập cấu hình vùng:
Từ View DNS danh sách, nhấp vào view của bạn LAN view
Nhấp Vùng DNS từ menu bên trái
Nhấp Mới để tạo một vùng mới
Cấu hình các cài đặt cơ bản của vùng:
Loại: Chọn Chính (máy chủ này sẽ là máy chủ chính)
Miền: Nhập tên miền của bạn (ví dụ,
company.com)Máy chủ tên: Nhập FQDN của máy chủ tên của bạn
Đối với máy chủ tên bên ngoài:
ns1.example.com.(lưu ý dấu chấm ở cuối)Đối với máy chủ tên trong tên miền:
ns1.company.com.(yêu cầu bản ghi glue)
Email: Nhập email quản trị theo định dạng DNS (ví dụ,
admin.company.com)
Cấu hình cài đặt thời gian của vùng:
TTL mặc định: Đặt thành
1h(3600 giây) cho hầu hết môi trườngTTL bộ nhớ đệm âm: Đặt thành
10m(600 giây)Khoảng thời gian làm mới: Đặt thành
3h(10800 giây) cho chuyển vùngKhoảng thời gian thử lại: Đặt thành
30m(1800 giây) cho các lần chuyển thất bạiThời hạn hết hạn: Đặt thành
3w(1814400 giây) cho việc hết hạn vùng
Cấu hình cài đặt chuyển vùng (để dự phòng):
Notify: Chọn Có để bật thông báo thay đổi
Cũng thông báo: Nhập địa chỉ IP của các máy chủ DNS phụ (phân tách bằng dấu chấm phẩy)
Ví dụ:
192.168.1.100;203.0.113.50
Cho phép chuyển: Nhập địa chỉ IP được phép chuyển vùng
Ví dụ:
192.168.1.100;203.0.113.50
Máy chủ chuyển tiếp: Để trống cho các vùng có thẩm quyền
Gửi cấu hình vùng:
Nhấp Gửi để tạo vùng
Vùng sẽ xuất hiện trong danh sách Vùng DNS của bạn
Tạo vùng trong view WAN (để truy cập công khai):
Quay lại View DNS và chọn view của bạn WAN view
Lặp lại quy trình tạo vùng với các cài đặt giống hệt
Điều này đảm bảo cả máy khách nội bộ và bên ngoài đều có thể phân giải tên miền
Khuyến nghị về máy chủ tên
Đối với tên miền công khai, hãy dùng máy chủ tên bên ngoài tên miền của bạn (ví dụ, ns1.dnsProvider.com) để tránh phụ thuộc vòng tròn. Nếu sử dụng máy chủ tên trong tên miền (ví dụ, ns1.yourDomain.com), bạn phải cấu hình bản ghi glue tại nhà đăng ký tên miền của bạn.
Bước 4: Thêm các bản ghi DNS
Sau khi tạo vùng, giờ bạn có thể thêm các bản ghi DNS cho tên miền của mình. Phần này bao gồm việc tạo các loại bản ghi phổ biến.
Truy cập các bản ghi DNS:
Điều hướng tới View DNS > [View của bạn] > Vùng DNS
Nhấp vào vùng tên miền của bạn để truy cập các bản ghi của nó
Bạn sẽ thấy các bản ghi NS (Name Server) được tạo tự động
Tạo bản ghi A (ánh xạ địa chỉ IPv4):
Nhấp Mới từ menu bên trái
Cấu hình bản ghi A:
Loại: Chọn A
Máy chủ: Nhập tên máy chủ (ví dụ,
wwwcho www.company.com)Giá trị: Nhập địa chỉ IPv4 (ví dụ,
192.168.1.100)TTL: Dùng
0cho mặc định, hoặc chỉ định TTL tùy chỉnhID thứ tự: Sử dụng các số tăng dần (1, 2, 3, v.v.)
Tạo bản ghi CNAME (bí danh):
Nhấp Mới từ menu bên trái
Cấu hình bản ghi CNAME:
Loại: Chọn CNAME
Máy chủ: Nhập tên bí danh (ví dụ,
mail)Giá trị: Nhập FQDN đích với dấu chấm ở cuối (ví dụ,
smtp.company.com.)TTL: Dùng
0cho mặc địnhID thứ tự: Tiếp tục đánh số tuần tự
Tạo bản ghi MX (máy chủ thư):
Nhấp Mới từ menu bên trái
Cấu hình bản ghi MX:
Loại: Chọn MX
Máy chủ: Để trống cho apex tên miền, hoặc nhập tên miền phụ
Giá trị: Nhập mức ưu tiên và máy chủ thư (ví dụ,
10 mail.company.com.)TTL: Dùng
0cho mặc địnhID thứ tự: Tiếp tục đánh số tuần tự
Tạo bản ghi apex tên miền:
Nhấp Mới từ menu bên trái
Cấu hình bản ghi A apex:
Loại: Chọn A
Máy chủ: Nhập tên miền đầy đủ với dấu chấm ở cuối (ví dụ,
company.com.)Giá trị: Nhập địa chỉ IPv4 cho tên miền trần
TTL: Dùng
0cho mặc địnhID thứ tự: Dùng
1(thường là bản ghi đầu tiên)
Lặp lại trong cả hai view:
Thêm các bản ghi giống hệt vào cả view LAN và WAN
Điều này đảm bảo phân giải nhất quán cho máy khách nội bộ và bên ngoài
Cân nhắc các địa chỉ IP khác nhau cho cấu hình split-horizon
Bước 5: Cấu hình quy tắc tường lửa mạng
Dịch vụ DNS yêu cầu các quy tắc tường lửa cụ thể để cho phép truy vấn của máy khách và chuyển vùng. Phần này bao gồm các cấu hình quy tắc cần thiết.
Đi tới các quy tắc mạng:
Từ bảng điều khiển mạng DNS của bạn
Nhấp Quy tắc từ menu bên trái
Xem lại các quy tắc hiện có để tránh xung đột
Tạo quy tắc DNS UDP (cho truy vấn tiêu chuẩn):
Nhấp Mới từ menu bên trái
Cấu hình quy tắc UDP:
Tên:
Cho phép DNS UDPHành động: Chọn Chấp nhận
Hướng: Chọn Vào
Giao thức: Chọn UDP
Cổng/Phạm vi cổng: Nhập
53Nguồn: Giữ nguyên là Bất kỳ cho DNS công khai, hoặc chỉ định các mạng cho DNS riêng
Giao diện: Chọn Bất kỳ hoặc giao diện cụ thể
Tạo quy tắc DNS TCP (cho chuyển vùng và phản hồi lớn):
Nhấp Mới từ menu bên trái
Cấu hình quy tắc TCP:
Tên:
Cho phép DNS TCPHành động: Chọn Chấp nhận
Hướng: Chọn Vào
Giao thức: Chọn TCP
Cổng/Phạm vi cổng: Nhập
53Nguồn: Vì lý do bảo mật, chỉ chỉ định các IP máy chủ DNS phụ được phép
Giao diện: Chọn Bất kỳ hoặc giao diện cụ thể
Áp dụng các quy tắc tường lửa:
Nhấp Gửi cho từng quy tắc
Từ bảng điều khiển mạng, nhấp Áp dụng quy tắc từ menu bên trái
Xác nhận áp dụng quy tắc để kích hoạt các thay đổi
Bảo mật quy tắc TCP
Đối với DNS công khai, chỉ cho phép cổng TCP 53 từ các máy chủ DNS phụ được phép để ngăn các cuộc tấn công chuyển vùng tiềm ẩn. Cổng UDP 53 thường có thể được cho phép từ bất kỳ đâu cho các truy vấn DNS tiêu chuẩn.
Bước 6: Xác minh cấu hình DNS
Sau khi cấu hình, điều quan trọng là kiểm tra các dịch vụ DNS của bạn để đảm bảo chức năng đúng.
Kiểm tra DNS từ mạng:
Đi tới bảng điều khiển mạng DNS của bạn
Nhấp Chẩn đoán từ menu bên trái
Chọn Tra cứu DNS từ menu thả xuống Query
Cấu hình bài kiểm tra:
Máy chủ: Nhập một tên miền bạn đã cấu hình (ví dụ,
www.company.com)Loại truy vấn: Chọn A hoặc loại bản ghi phù hợp
Máy chủ DNS: Để trống để dùng DNS cục bộ, hoặc chỉ định
127.0.0.1
Nhấp Gửi để thực hiện tra cứu
Kiểm tra phân giải đệ quy (máy khách nội bộ):
Sử dụng cùng giao diện Chẩn đoán
Kiểm tra phân giải tên miền bên ngoài (ví dụ,
google.com)Nên hoạt động với máy khách view LAN, thất bại với máy khách view WAN
Kiểm tra từ các máy khách bên ngoài:
Sử dụng các công cụ kiểm tra DNS bên ngoài (ví dụ,
nslookup,dig)Truy vấn địa chỉ IP công khai của máy chủ DNS của bạn
Xác minh các phản hồi có thẩm quyền cho các tên miền của bạn
Xác minh chức năng chuyển vùng (nếu đã cấu hình):
Từ các máy chủ DNS phụ, kiểm tra các yêu cầu chuyển vùng
Kiểm tra nhật ký DNS để tìm các thông báo chuyển thành công
Xác minh đồng bộ bản ghi giữa máy chủ chính và phụ
Mẹo kiểm tra
Sử dụng các trang web kiểm tra DNS bên ngoài như whatsmydns.net để xác minh sự lan truyền DNS toàn cầu. Hãy kiểm tra cả phản hồi có thẩm quyền (cho các miền của bạn) và phân giải đệ quy (cho máy khách nội bộ) để đảm bảo chức năng đầy đủ.
Cấu hình nâng cao
Thiết lập chuyển vùng
Chuyển vùng cung cấp dự phòng bằng cách nhân bản các vùng DNS của bạn sang các máy chủ thứ cấp.
Cấu hình vùng chính để chuyển:
Trong cấu hình vùng của bạn, bật Thông báo: Có
Thêm các IP của máy chủ thứ cấp vào Cũng thông báo trường
Thêm các IP tương tự vào Cho phép chuyển trường
Đảm bảo các quy tắc tường lửa cho cổng TCP 53 cho phép các IP này
Cấu hình máy chủ thứ cấp:
Tạo một vùng mới với Loại: Thứ cấp
Chỉ định địa chỉ IP của máy chủ chính
Không cần tạo bản ghi thủ công (chúng được chuyển tự động)
Triển khai DNS Split-Horizon
Cung cấp câu trả lời khác nhau cho máy khách nội bộ và bên ngoài:
Tạo các bản ghi khác nhau trong các chế độ xem LAN và WAN:
Chế độ xem LAN: Địa chỉ IP nội bộ cho các dịch vụ
Chế độ xem WAN: Địa chỉ IP công khai cho cùng các dịch vụ
Máy khách nhận được địa chỉ phù hợp dựa trên vị trí của họ
Cấu hình ví dụ:
Chế độ xem LAN:
mail.company.com→192.168.1.50(máy chủ thư nội bộ)Chế độ xem WAN:
mail.company.com→203.0.113.50(IP máy chủ thư công khai)
Chỉ mục khắc phục sự cố
Máy khách nội bộ không thể truy cập các trang web internet
Chưa bật phân giải đệ quy trong chế độ xem LAN
Bật phân giải đệ quy trong chế độ xem DNS LAN
Máy khách bên ngoài không nhận được phản hồi DNS
Tường lửa chặn cổng UDP 53
Thêm quy tắc tường lửa cho phép cổng UDP 53
Chuyển vùng thất bại
Cổng TCP 53 bị chặn hoặc IP không được phép
Kiểm tra các quy tắc tường lửa và cài đặt Cho phép chuyển
Truy vấn DNS hết thời gian chờ
Sự cố kết nối mạng
Xác minh định tuyến mạng và quy tắc tường lửa
Bản ghi không phân giải được
Định dạng FQDN không đúng
Đảm bảo có dấu chấm ở cuối FQDN trong các trường Giá trị
Máy chủ thứ cấp không nhận được cập nhật
Cài đặt thông báo không đúng
Xác minh các IP Trong mục Cũng thông báo và cài đặt thông báo
Các sự cố phân giải DNS phổ biến
Vấn đề: Máy khách không thể phân giải các miền bên ngoài
Chọn: Đã bật cài đặt phân giải đệ quy ở chế độ xem LAN
Chọn: Đã cấu hình máy chủ DNS thượng nguồn trên mạng
Chọn: Đã cấu hình cổng mặc định cho truy cập internet
Vấn đề: Truy vấn DNS công khai không hoạt động
Chọn: Tường lửa cho phép cổng UDP 53 từ internet
Chọn: Mạng có địa chỉ IP công khai
Chọn: Nhà đăng ký miền có cài đặt máy chủ tên chính xác
Vấn đề: Chuyển vùng không hoạt động
Chọn: Cổng TCP 53 được phép từ các máy chủ thứ cấp
Chọn: Các IP máy chủ thứ cấp trong danh sách Cho phép chuyển
Chọn: Kết nối mạng giữa máy chủ chính và thứ cấp
Các bước tiếp theo
Sau khi cấu hình DNS có thẩm quyền thành công, hãy xem xét các triển khai bổ sung sau:
Giám sát và bảo trì:
Thiết lập ghi nhật ký và giám sát truy vấn DNS
Triển khai quản lý bản ghi DNS tự động
Lập kế hoạch cập nhật và bảo trì máy chủ DNS
Tính năng nâng cao:
Tìm hiểu triển khai DNSSEC để tăng cường bảo mật
Cân nhắc cân bằng tải DNS để có tính sẵn sàng cao
Nghiên cứu tích hợp với các dịch vụ DNS động
Tài liệu liên quan:
Để được hỗ trợ thêm về cấu hình DNS, hãy liên hệ Hỗ trợ VergeOS với các chi tiết cụ thể về yêu cầu triển khai của bạn và mọi thông báo lỗi gặp phải.
Cập nhật lần cuối
Nội dung này có hữu ích không?