> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/run-the-platform/vi/mang/authoritative-dns.md).

# DNS thẩm quyền VergeOS

## Tổng quan

VergeOS bao gồm một dịch vụ DNS có thẩm quyền mạnh mẽ được xây dựng trên BIND (Berkeley Internet Name Domain), một trong những triển khai máy chủ DNS được sử dụng rộng rãi nhất. Dịch vụ này cho phép bạn lưu trữ trực tiếp các vùng DNS có thẩm quyền cho các miền của mình ngay trong hạ tầng VergeOS, cung cấp khả năng kiểm soát hoàn toàn việc phân giải tên miền đồng thời tích hợp liền mạch với cấu hình mạng hiện có của bạn.

Khác với chuyển tiếp DNS đơn giản, DNS có thẩm quyền biến mạng VergeOS của bạn thành nguồn xác định cho các bản ghi DNS trong những miền bạn kiểm soát. Khả năng này rất cần thiết cho các tổ chức cần tự quản lý phân giải tên miền của mình, triển khai cấu hình DNS split-horizon hoặc cung cấp dịch vụ DNS như một phần của hạ tầng của họ.

## Bạn sẽ học được gì

Hướng dẫn này bao gồm các khái niệm cốt lõi và khả năng của VergeOS Authoritative DNS, giúp bạn hiểu khi nào và cách triển khai tính năng mạng mạnh mẽ này. Bạn sẽ nắm được kiến thức về:

• **Kiến trúc dịch vụ DNS**: Cách VergeOS triển khai DNS có thẩm quyền bằng BIND và tích hợp với các dịch vụ mạng • **Quản lý vùng**: Hiểu về các vùng DNS, vai trò của chúng trong phân giải miền và cách chúng được quản lý trong VergeOS • **Khung nhìn DNS**: Triển khai kiểm soát truy cập và cấu hình DNS split-horizon thông qua các chính sách dựa trên khung nhìn • **Đệ quy so với Thẩm quyền**: Những khác biệt quan trọng giữa dịch vụ DNS đệ quy và DNS có thẩm quyền • **Tích hợp mạng**: Cách DNS có thẩm quyền tương tác với định tuyến mạng và quy tắc tường lửa của VergeOS

**Các câu hỏi thường gặp mà hướng dẫn này giải đáp:**

* Khi nào tôi nên dùng DNS có thẩm quyền thay vì chuyển tiếp DNS đơn giản?
* DNS VergeOS tích hợp với các nhà đăng ký tên miền bên ngoài như thế nào?
* Sự khác biệt giữa các khung nhìn DNS là gì và tôi sử dụng chúng hiệu quả như thế nào?
* Tôi triển khai DNS split-horizon cho máy khách nội bộ và bên ngoài như thế nào?
* Các yêu cầu mạng để DNS có thẩm quyền công khai là gì?
* Chuyển vùng DNS hoạt động như thế nào để đảm bảo dự phòng?
* Tôi có thể dùng DNS VergeOS cho cả phân giải miền nội bộ và bên ngoài không?

## Yêu cầu

**Nền tảng VergeOS**: Phiên bản 4.12 trở lên\
**Mức truy cập**: Quyền Cluster Admin hoặc Tenant Admin\
**Yêu cầu mạng**: Kết nối mạng bên ngoài được cấu hình đúng để cung cấp dịch vụ DNS công khai\
**Quản lý miền**: Quyền truy cập vào cài đặt của nhà đăng ký tên miền nếu lưu trữ các miền công khai

**Kiến thức nền tảng được khuyến nghị:**

* Hiểu các nguyên tắc cơ bản của DNS (bản ghi A, bản ghi NS, vùng)
* Các khái niệm quản trị mạng cơ bản
* Quen thuộc với cấu hình mạng VergeOS

## Tài liệu liên quan

Để có hướng dẫn cấu hình từng bước và chỉ dẫn triển khai chi tiết, xem:

* [**Cấu hình DNS có thẩm quyền trong VergeOS**](/knowledge-base/vi/networking/configure-authoritative-dns-vergeos.md) - Hướng dẫn cấu hình đầy đủ với các bước chi tiết để bật BIND DNS, tạo khung nhìn DNS, cấu hình vùng, thêm bản ghi và thiết lập quy tắc tường lửa

## Kiến trúc dịch vụ DNS trong VergeOS

### Tích hợp BIND

VergeOS triển khai DNS có thẩm quyền thông qua BIND, cung cấp các khả năng DNS cấp doanh nghiệp bao gồm:

* **Quản lý vùng đầy đủ**: Kiểm soát hoàn toàn các bản ghi DNS và cấu hình vùng
* **Khung nhìn DNS**: Kiểm soát truy cập nâng cao cho phép phản hồi khác nhau dựa trên vị trí của máy khách
* **Chuyển vùng**: Hỗ trợ tích hợp cho cấu hình DNS chính/phụ
* **Tối ưu hóa hiệu năng**: Bộ nhớ đệm tích hợp và tối ưu hóa truy vấn
* **Tính năng bảo mật**: Khả năng kiểm soát truy cập và lọc truy vấn

### Lựa chọn DNS ở cấp mạng

Các dịch vụ DNS trong VergeOS được cấu hình ở cấp mạng, cho phép bạn kiểm soát chi tiết mạng nào cung cấp dịch vụ DNS. Khi chỉnh sửa một mạng, bạn có thể chọn từ một số tùy chọn DNS:

* **Bind**: Bật đầy đủ khả năng DNS có thẩm quyền trên mạng
* **Đơn giản**: Cung cấp chuyển tiếp DNS mà không có khả năng thẩm quyền
* **Mạng khác**: Chuyển các yêu cầu DNS đến một mạng VergeOS khác
* **Tắt**: Không có dịch vụ DNS nào được cung cấp bởi mạng này

### Hành vi mặc định và đệ quy

Khi bạn bật BIND trên một mạng, nó mặc định trở thành máy chủ DNS có thẩm quyền với **không bật đệ quy**. Điều này có nghĩa là:

* Toàn bộ hệ thống VergeOS (mạng lõi, các mạng nội bộ, VM) sẽ sử dụng tuyến mặc định của mạng cho các truy vấn DNS đệ quy
* Máy chủ DNS có thẩm quyền sẽ chỉ phản hồi các truy vấn cho những miền mà nó lưu trữ
* Đối với phân giải DNS trên Internet, các truy vấn được chuyển tiếp đến các máy chủ DNS upstream thông qua gateway mặc định

Thiết kế này đảm bảo sự tách biệt rõ ràng giữa các chức năng DNS có thẩm quyền và DNS đệ quy trong khi vẫn duy trì kết nối DNS trên toàn hệ thống.

## Khung nhìn DNS: Kiểm soát truy cập nâng cao

### Hiểu về khung nhìn DNS

Khung nhìn DNS là một tính năng mạnh mẽ của BIND cho phép bạn cung cấp các phản hồi DNS khác nhau dựa trên ai là người gửi truy vấn. Trong VergeOS, các khung nhìn đóng vai trò như bộ xử lý lưu lượng thông minh, xác định cách xử lý yêu cầu DNS dựa trên:

* **Địa chỉ IP của máy khách**: Khớp với các mạng hoặc dải IP cụ thể
* **Loại truy vấn**: Xử lý khác nhau cho các loại bản ghi DNS khác nhau
* **Chính sách truy cập**: Bật hoặc tắt đệ quy theo từng khung nhìn

### Các cấu hình khung nhìn phổ biến

**Khung nhìn LAN (Riêng tư/Nội bộ)**:

* Khớp với dải IP mạng nội bộ (10.0.0.0/8, 192.168.0.0/16, v.v.)
* Bật đệ quy cho máy khách nội bộ
* Cung cấp cả câu trả lời có thẩm quyền và phân giải DNS Internet
* Được dùng bởi máy khách VPN và các hệ thống nội bộ

**Khung nhìn WAN (Công khai/Bên ngoài)**:

* Khớp với mọi lưu lượng khác (thường là hướng ra Internet)
* Tắt đệ quy để đảm bảo an toàn
* Chỉ cung cấp câu trả lời có thẩm quyền cho các miền được lưu trữ
* Bảo vệ khỏi các cuộc tấn công khuếch đại DNS

### Thứ tự xử lý khung nhìn

Các khung nhìn DNS được xử lý theo thứ tự, trong đó khung nhìn khớp đầu tiên sẽ xử lý yêu cầu. Điều này cho phép bạn tạo các quy tắc cụ thể cho máy khách nội bộ trong khi vẫn có một quy tắc bắt mọi trường hợp cho lưu lượng bên ngoài.

## Vùng DNS: Quản lý các miền của bạn

### Khái niệm cơ bản về vùng

Một vùng DNS đại diện cho một miền hoặc miền con mà hệ thống VergeOS của bạn có thẩm quyền. Mỗi vùng chứa:

* **Tên miền**: Miền đang được phục vụ (ví dụ: company.com)
* **Bản ghi máy chủ tên**: Xác định máy chủ này là có thẩm quyền cho miền
* **Liên hệ quản trị**: Địa chỉ email để quản trị vùng
* **Các tham số thời gian**: Giá trị TTL, khoảng thời gian làm mới, thời gian thử lại

### Cấu hình máy chủ tên

Khi cấu hình vùng, bạn sẽ chỉ định các máy chủ tên có thẩm quyền cho miền. Bạn có hai cách tiếp cận chính:

**Máy chủ tên bên ngoài**: Máy chủ tên nằm ngoài miền của bạn (khuyến nghị)

* Ví dụ: `ns1.dnsprovider.com` cho miền `company.com`
* Tránh các vấn đề phụ thuộc vòng
* Đơn giản hơn cho việc ủy quyền DNS công khai

**Máy chủ tên trong miền**: Máy chủ tên nằm trong miền đang được phục vụ

* Ví dụ: `ns1.company.com` cho miền `company.com`
* Yêu cầu "bản ghi glue" tại nhà đăng ký tên miền của bạn
* Cung cấp khả năng kiểm soát hoàn toàn nhưng làm tăng độ phức tạp

### Bản ghi Glue và ủy quyền miền

Khi dùng máy chủ tên trong miền, bạn phải cấu hình bản ghi glue tại nhà đăng ký tên miền. Các bản ghi A này cho thế giới biết địa chỉ IP của máy chủ tên của bạn, phá vỡ sự phụ thuộc vòng nơi ai đó cần phân giải `ns1.company.com` để tìm máy chủ có thẩm quyền cho `company.com`.

### Định dạng tên miền

VergeOS tuân theo các quy ước DNS tiêu chuẩn cho tên miền:

* **Tên miền đủ điều kiện hoàn toàn (FQDN)**: Kết thúc bằng dấu chấm (ví dụ, `mail.company.com.`)
* **Tên tương đối**: Tự động được thêm tên vùng vào sau
* **Tính nhất quán**: Sử dụng FQDN xuyên suốt để tránh nhầm lẫn

## Quản lý bản ghi

### Loại bản ghi

VergeOS hỗ trợ tất cả các loại bản ghi DNS tiêu chuẩn:

* **Bản ghi A**: Ánh xạ địa chỉ IPv4
* **Bản ghi AAAA**: Ánh xạ địa chỉ IPv6
* **Bản ghi CNAME**: Bí danh tên chuẩn
* **Bản ghi MX**: Mức ưu tiên của máy chủ thư
* **Bản ghi TXT**: Dữ liệu văn bản để xác minh và chính sách
* **Bản ghi NS**: Ủy quyền máy chủ tên
* **Bản ghi SRV**: Bản ghi vị trí dịch vụ

### Thứ tự và kế thừa bản ghi

Trong các vùng, thứ tự bản ghi có thể ảnh hưởng đến phân giải, đặc biệt khi dùng tên tương đối hoặc ký tự đặc biệt. Các thực hành tốt bao gồm:

* Sử dụng tên miền đủ điều kiện để rõ ràng
* Đặt các bản ghi ở apex của vùng (miền trần) lên đầu
* Duy trì định dạng nhất quán trong toàn bộ vùng

## Chuyển vùng và dự phòng

### Cấu hình chính/phụ

VergeOS hỗ trợ các cơ chế chuyển vùng DNS tiêu chuẩn để đảm bảo dự phòng:

**Cấu hình máy chủ chính**:

* Lưu trữ bản sao chính của dữ liệu vùng
* Được cấu hình thông qua giao diện VergeOS
* Gửi thông báo khi vùng thay đổi

**Cấu hình máy chủ phụ**:

* Nhận dữ liệu vùng qua chuyển vùng
* Có thể là một phiên bản VergeOS khác hoặc máy chủ DNS bên ngoài
* Tự động cập nhật khi được thông báo về thay đổi

### Bảo mật chuyển vùng

Việc chuyển vùng diễn ra qua cổng TCP 53 và nên được giới hạn cho các máy chủ phụ được phép. VergeOS cho phép bạn chỉ định địa chỉ IP nào có thể yêu cầu chuyển vùng, ngăn chặn truy cập trái phép vào dữ liệu DNS của bạn.

### Hệ thống thông báo

Khi các bản ghi thay đổi trên máy chủ chính, VergeOS tự động gửi thông báo đến các máy chủ phụ đã cấu hình, đảm bảo các cập nhật DNS được lan truyền nhanh chóng trên toàn bộ hạ tầng của bạn.

## Yêu cầu mạng

### Yêu cầu về cổng

DNS có thẩm quyền yêu cầu quyền truy cập mạng cụ thể:

**Cổng UDP 53**: Các truy vấn DNS tiêu chuẩn từ máy khách trên toàn thế giới\
**Cổng TCP 53**: Chuyển vùng và các phản hồi DNS lớn

### Cấu hình tường lửa

Đối với DNS có thẩm quyền công khai:

* **Cho phép UDP 53** từ bất kỳ đâu cho các truy vấn DNS thông thường
* **Hạn chế TCP 53** chỉ cho các máy chủ DNS phụ được phép
* Cân nhắc giới hạn tốc độ để ngăn lạm dụng

### Vị trí mạng

DNS có thẩm quyền thường được cấu hình trên các mạng bên ngoài để cung cấp khả năng truy cập công khai. Tuy nhiên, bạn có thể chạy DNS có thẩm quyền trên các mạng nội bộ cho các miền riêng hoặc cấu hình split-horizon.

## Các cân nhắc về bảo mật

### Hạn chế truy vấn

Theo mặc định, DNS có thẩm quyền trong VergeOS:

* Cung cấp câu trả lời có thẩm quyền cho bất kỳ máy khách nào
* Tắt đệ quy cho máy khách bên ngoài
* Chỉ cho phép đệ quy với các mạng nội bộ được chỉ định

### Kiểm soát truy cập

Các khung nhìn DNS cung cấp kiểm soát truy cập chi tiết:

* Máy khách nội bộ nhận đầy đủ dịch vụ DNS (có thẩm quyền + đệ quy)
* Máy khách bên ngoài chỉ nhận câu trả lời có thẩm quyền
* Ngăn máy chủ DNS của bạn bị sử dụng trong các cuộc tấn công khuếch đại

### Bảo mật chuyển vùng DNS

Giới hạn chuyển vùng cho:

* Các máy chủ DNS phụ đã biết
* Các địa chỉ IP hoặc mạng cụ thể
* Các cơ chế chuyển được xác thực khi có thể

## Trường hợp sử dụng và kịch bản triển khai

### Hạ tầng DNS doanh nghiệp

**Kịch bản**: Công ty quản lý các miền nội bộ và hiện diện web công khai\
**Triển khai**:

* Mạng bên ngoài với DNS có thẩm quyền cho các miền công khai
* Khung nhìn nội bộ cung cấp đệ quy cho nhân viên
* Khung nhìn bên ngoài chỉ phục vụ các bản ghi DNS công khai

### DNS nhà cung cấp dịch vụ

**Kịch bản**: Cung cấp dịch vụ DNS cho nhiều miền khách hàng\
**Triển khai**:

* Nhiều vùng cho các miền khách hàng khác nhau
* Hạn chế chuyển vùng đến các máy phụ do khách hàng chỉ định
* Giám sát và ghi nhật ký để đảm bảo chất lượng dịch vụ

### DNS Split-Horizon

**Kịch bản**: Câu trả lời DNS khác nhau cho máy khách nội bộ so với bên ngoài\
**Triển khai**:

* Khung nhìn nội bộ với địa chỉ IP nội bộ cho các dịch vụ
* Khung nhìn bên ngoài với địa chỉ IP công khai cho cùng các dịch vụ
* Trải nghiệm liền mạch cho cả hai loại máy khách

### Phát triển và kiểm thử

**Kịch bản**: Miền riêng cho môi trường phát triển\
**Triển khai**:

* Mạng nội bộ với DNS có thẩm quyền
* Các miền phát triển không công khai trên Internet
* Kiểm soát hoàn toàn việc phân giải miền thử nghiệm

## Tích hợp với các tính năng VergeOS

### Phối hợp dịch vụ mạng

DNS có thẩm quyền tích hợp liền mạch với các dịch vụ mạng VergeOS khác:

* **Tích hợp DHCP**: Tự động tạo bản ghi A cho máy khách DHCP khi được cấu hình
* **Phối hợp tường lửa**: Các truy vấn DNS tuân theo quy tắc tường lửa của mạng

### Tính sẵn sàng cao

Các dịch vụ DNS được hưởng lợi từ các tính năng sẵn sàng cao của VergeOS:

* **Chuyển đổi dự phòng nút**: Dịch vụ DNS tự động di chuyển trong quá trình nút gặp sự cố
* **Điều phối cụm**: Cấu hình DNS được đồng bộ trên các nút của cụm
* **Tích hợp sao lưu**: Dữ liệu vùng được đưa vào các quy trình sao lưu hệ thống

### Giám sát và ghi nhật ký

VergeOS cung cấp giám sát DNS toàn diện:

* **Ghi nhật ký truy vấn**: Theo dõi các yêu cầu và phản hồi DNS
* **Chỉ số hiệu năng**: Giám sát thời gian phản hồi và khối lượng truy vấn
* **Theo dõi lỗi**: Xác định và khắc phục sự cố DNS

## Các phương pháp hay nhất

### Lập kế hoạch kiến trúc DNS của bạn

1. **Tách biệt trách nhiệm**: Sử dụng các mạng chuyên dụng cho dịch vụ DNS công khai và riêng tư
2. **Lên kế hoạch dự phòng**: Triển khai máy chủ DNS phụ ngay từ đầu
3. **Bảo mật là ưu tiên hàng đầu**: Hạn chế hợp lý việc đệ quy và chuyển vùng
4. **Giám sát hiệu năng**: Thiết lập các chỉ số cơ sở cho hiệu năng DNS

### Quản lý vùng

1. **Dùng FQDN**: Luôn sử dụng tên miền đủ điều kiện hoàn toàn trong các bản ghi vùng
2. **Định dạng nhất quán**: Duy trì định dạng và tổ chức bản ghi nhất quán
3. **Ghi lại thay đổi**: Lưu lại các thay đổi DNS và mục đích của chúng
4. **Kiểm thử kỹ lưỡng**: Xác minh các thay đổi DNS từ cả góc nhìn nội bộ và bên ngoài

### Cấu hình mạng

1. **Quy tắc tường lửa**: Triển khai các quy tắc tường lửa phù hợp cho lưu lượng DNS
2. **Giới hạn tốc độ**: Cân nhắc giới hạn tốc độ cho các dịch vụ DNS công khai
3. **Giám sát**: Thiết lập giám sát tính sẵn sàng và hiệu năng của dịch vụ DNS

## Khắc phục sự cố thường gặp

### Sự cố phân giải DNS

**Triệu chứng**: Máy khách không thể phân giải các miền\
**Kiểm tra**: Quy tắc tường lửa mạng, cấu hình khung nhìn DNS, độ chính xác của bản ghi vùng

**Triệu chứng**: Máy khách nội bộ không thể truy cập các trang web Internet\
**Kiểm tra**: Cài đặt đệ quy trong các khung nhìn DNS, cấu hình DNS upstream

### Sự cố chuyển vùng

**Triệu chứng**: Máy chủ phụ không nhận được cập nhật\
**Kiểm tra**: Cấu hình thông báo, quyền truy cập cổng TCP 53, cấu hình máy chủ phụ

**Triệu chứng**: Nỗ lực chuyển vùng trái phép\
**Kiểm tra**: Hạn chế chuyển, quy tắc tường lửa, nhật ký giám sát

### Vấn đề hiệu năng

**Triệu chứng**: Phản hồi DNS chậm\
**Kiểm tra**: Kết nối mạng, cấu hình bộ nhớ đệm, khối lượng truy vấn so với năng lực

## Kết luận

VergeOS Authoritative DNS cung cấp dịch vụ tên miền cấp doanh nghiệp với các tính năng linh hoạt và bảo mật cần thiết cho hạ tầng mạng hiện đại. Bằng cách hiểu mối quan hệ giữa mạng, khung nhìn, vùng và bản ghi, bạn có thể triển khai các giải pháp DNS mạnh mẽ phục vụ cả máy khách nội bộ lẫn bên ngoài trong khi vẫn duy trì bảo mật và hiệu năng.

Việc tích hợp với các tính năng mạng của VergeOS đảm bảo các dịch vụ DNS của bạn được hưởng lợi từ cùng khả năng sẵn sàng cao, giám sát và quản lý như phần còn lại của hạ tầng, mang lại một giải pháp toàn diện cho nhu cầu phân giải tên miền.

Dù bạn đang triển khai hạ tầng DNS doanh nghiệp, cung cấp dịch vụ DNS cho khách hàng hay tạo môi trường phát triển, VergeOS Authoritative DNS đều cung cấp các công cụ và sự linh hoạt để đáp ứng yêu cầu của bạn đồng thời duy trì các tiêu chuẩn độ tin cậy và bảo mật mà tổ chức bạn đòi hỏi.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/run-the-platform/vi/mang/authoritative-dns.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.