内网DNS搭建是企业网络基础设施中的关键环节，直接影响内部服务的可用性和访问效率。使用BIND（Berkeley Internet Name Domain）搭建内网DNS是常见且成熟的方案。本文将以实操为导向，逐步讲解如何搭建、配置和排查BIND服务，帮助你避免常见陷阱。
为什么选择BIND？
BIND是互联网上使用最广泛的DNS服务器软件，支持所有主流DNS功能，如递归解析、权威解析、动态更新等。它成熟稳定，文档丰富，适合企业内网环境。但BIND配置复杂，错误配置可能导致服务不可用，因此需要谨慎操作。
环境准备与安装
本文基于Linux系统（如Ubuntu 20.04或CentOS 8）进行演示。首先，确保系统时间同步，并关闭防火墙或放行DNS端口（UDP/TCP 53）。然后安装BIND：
# Ubuntu
sudo apt update
sudo apt install bind9
# CentOS
sudo yum install bind
安装完成后，BIND的主配置文件位于/etc/bind/named.conf（Ubuntu）或/etc/named.conf（CentOS）。
配置主区域（Master Zone）
假设你的内部域名为example.internal，主DNS服务器IP为192.168.1.10。首先，在配置文件中添加区域定义：
zone "example.internal" IN {
type master;
file "/etc/bind/db.example.internal";
allow-update { none; };
};
然后创建区域文件/etc/bind/db.example.internal：
$TTL 86400
@ IN SOA ns1.example.internal. admin.example.internal. (
2024032001 ; Serial
3600 ; Refresh
1800 ; Retry
604800 ; Expire
86400 ) ; Minimum TTL
;
@ IN NS ns1.example.internal.
ns1 IN A 192.168.1.10
www IN A 192.168.1.20
注意SOA记录中的序列号，每次修改区域文件后必须递增，否则从服务器不会同步。
配置从区域（Slave Zone）
为了提高可用性，建议配置至少一台从DNS服务器。在主服务器上允许区域传输，在从服务器上定义从区域：
zone "example.internal" IN {
type slave;
file "/var/named/slaves/db.example.internal";
masters { 192.168.1.10; };
};
从服务器会定期从主服务器同步区域数据，但需要确保主服务器的allow-transfer权限正确。
测试与验证
配置完成后，重启BIND服务并检查语法：
sudo named-checkconf
sudo named-checkzone example.internal /etc/bind/db.example.internal
sudo systemctl restart bind9
使用dig或nslookup测试解析：
dig www.example.internal @192.168.1.10
如果返回正确IP，说明配置成功。同时检查系统日志（如/var/log/syslog）以发现潜在错误。
常见问题与故障排查
问题1：解析超时。检查防火墙是否放行53端口，以及named.conf中的监听地址是否正确。使用ss -tuln | grep 53确认服务监听。
问题2：区域文件错误。使用named-checkzone检查语法，常见错误包括末尾缺少点号、括号不匹配、序列号未递增等。
问题3：从服务器不同步。检查主服务器上的allow-transfer是否包含从服务器IP，并查看从服务器的日志。
安全加固建议
内网DNS同样面临安全威胁，建议采取以下措施：
- 限制递归查询：在
named.conf中设置allow-recursion仅允许内网网段。 - 启用DNSSEC：对内部域名进行签名，防止缓存污染。
- 日志记录：启用查询日志和错误日志，便于审计。根据OWASP日志安全速查表，日志应包含时间戳、源IP、事件类型等关键信息，并确保日志不被篡改。
总结
通过本文的步骤，你应该能够成功搭建一个基本的内网DNS服务。记住，DNS配置需要细心和耐心，测试和日志是排查问题的关键。如果遇到复杂问题，可以参考BIND官方文档或社区资源。
参考资料
延伸阅读