bind中的基础安全相关配置

• (一)ACL定义:把一个或多个主机归并为一个集合,并通过一个统一的名称调用

  acl acl_name{ ip; ip; net/prelen;} ;

• 实例:
  
  acl mynet{机 172.25.0.0/46;};

• bind 由四个内置的aclnone:    没有一个主机any:     任意主机local:   本机localnet:本机的IP同掩码运算后得到的网络地址

  注意:    acl,先定义后使用,一般定义在配置文件中的option前面

访问控制的指令:

allow-query {};                  #允许查询的主机 (白名单)allow-transfer {};               #允许区域传送的主机 (白名单)allow-recursion {};              #允许递归的主机(通常全局option)allow-upadte {};                 #允许更新区域数据库中内容

(二)视图( view)

1. 一旦启用view,所有zone都只能定义在view中

2. 仅有必要在匹配到允许递归请求(本地dns)的客户端所在view中定义根区域

3. 客户端请求到达时,是自上而下匹配每个view所服务的客户端列表

4. 一个bind服务器可以定义多个view,每个view中可定义一个或多个zone

5. 每个view用来匹配一组客户端请求

6. 多个view可能对同一个区域进行解析,但使用不同的区域解析文件

7. 实例

8. view VIEW_NAME {    match-clients { };          #指定不同主机(客户端),看到不同视图           match-destinations { };     #指定不同IP,看到不同视图    match-recursive-only { };   #用来针对递归和非递归,查询不同的视图};

9. 注意

下面我们来看一组ACL和view结合使用的实例~~

定义我的acl

[root@server named]# vim /etc/named.confacl mynet{        172.25.254.11;        172.25.254.10;        127.0.0.0/8;};

注意:    acl要定义在bind之外,因为无法在视图中使用acl

定义视图

[root@server named]# vim /etc/named.rfc1912.zonesview internal {        match-clients { mynet; };   #匹配的客户端列表        allow-recursion { mynet; }; #允许递归的列表

zone "." IN {        type hint;        file "named.ca";};

zone "lalala.com" IN {        type master;        file "lalala.com.zone";        allow-update { none; };        also-notify {172.25.254.10;};    };};

在acl中的主机,就可以成功解析  ^-^

[root@server named]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -t A www.lalala.com @172.25.254.11;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 65311;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:; EDNS: version: 0, flags:; udp: 4096;; QUESTION SECTION:;www.lalala.com.            IN    A

;; ANSWER SECTION:www.lalala.com.        86400    IN    A    172.25.254.11

不在acl中主机就不能访问  =-=

[root@foundation88 ~]# ip addr show br04: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP     link/ether 34:17:eb:76:53:97 brd ff:ff:ff:ff:ff:ff    inet 172.25.254.88/24 brd 172.25.254.255 scope global br0[root@foundation88 ~]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7 <<>> -t A www.lalala.com @172.25.254.11;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 49304;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:; EDNS: version: 0, flags:; udp: 4096;; QUESTION SECTION:;www.lalala.com.            IN    A

不同客户端解析同一个域名结果不一样

[root@server named]# vim /etc/named.rfc1912.zones ....view external {        match-clients {any;};          #因为view按照视图定义顺序匹配主机,所以这里的any为剩下的主机        zone "lala la.com" IN {                type master;                file "lalala.com.external";                allow-update {none;};        };};

[root@server named]# vim lalala.com.external $TTL 1D@       IN SOA   ns1.lalala.com. admin.lalala.com (                                        2016060905; serial                                        1D      ; refresh                                        1H      ; retry                                        1W      ; expire                                        3H )    ; minimum        NS      ns1.lalala.com.        NS      ns2.lalala.com.        MX  10  mx1.lalala.com.        MX  20  mx2.lalala.com.ns1     A       172.25.254.11ns2     A       172.25.254.18www    A       2.2.2.2*      A       2.2.2.2

使用同一个DNS服务器,acl列表中解析的是172.25.254.11  ^-^

[root@server named]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -t A www.lalala.com @172.25.254.11;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10150;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:; EDNS: version: 0, flags:; udp: 4096;; QUESTION SECTION:;www.lalala.com.            IN    A

;; ANSWER SECTION:www.lalala.com.        86400    IN    A    172.25.254.11

使用同一个DNS服务器,其他主机解析的是2.2.2.2   ^-^

[root@foundation88 ~]# dig -t A www.lalala.com @172.25.254.11

; <<>> DiG 9.9.4-RedHat-9.9.4-29.el7 <<>> -t A www.lalala.com @172.25.254.11;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51279;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:; EDNS: version: 0, flags:; udp: 4096;; QUESTION SECTION:;www.lalala.com.            IN    A

;; ANSWER SECTION:www.lalala.com.        86400    IN    A    2.2.2.2