OpenBSD下DNS策略解析系统的实现-国家科技图书文献中心.doc

OpenBSD下DNS策略解析系统的实现 郑 鹏 （太原科技大学教育信息技术中心，山西太原，030024） 摘要：DNS服务在网络站点访问中起着重要的作用。本文结合网站实体介绍了在OpenBSD系统下配置支持策略解析功能的DNS服务器的过程，并简述了BIND9的VIEW功能。 关键词：服务器；OpenBSD；DNS；参数配置；VIEW 引言 近年来，我国高校的校园网发展迅速，很多学校都建立起了自己大带宽校园网。有些学校为了提高网络访问速度，减少CERNET(中国教育与科研计算机网)与CHINANET(中国公用INTERNET骨干网)之间存在的互联带宽瓶颈问题，相继采用了双出口加策略路由的方式，即教育网出口和本地互联网服务提供商(ISP)提供的出口。该方式最明显的优势在于校内用户访问教育网和公众网的速度都明显加快。但是却仍然无法解决校外的公众网用户访问校内的教育网资源速度慢的问题；另外传统的域名解析技术也无法适应多出口智能解析校园网域名的需要。 本文拟就此问题结合我校校园网应用的背景，探讨如何利用OpenBSD架设安全的策略域名（DNS）解析系统来解决公众网用户访问校园网速度慢的问题。 DNS和服务器选择 域名系统(Domain Name System )是提供名称解析服务的设施。该服务包括两个不同的事务：实际的主机-IP地址间的转换过程，以及基本转换数据的分发机制。从机构上说，DNS是一个分布式的数据库，其内容分布在整个互联网中，其中单独的DNS服务器永久的保存所负责的一部分数据。之所以能够对如此分布的数据库进行查询，是因为DNS能够以非常成熟的方式，自动把转换请求转发给合适的服务器。所有DNS数据也叫做DNS命名空间。[1] 在UNIX系统中，DNS的软件实现就是BIND(Berkeley Internet Name Domain)。BIND是一个客户/服务器(client/server)软件系统。目前使用中的BIND共有三个版本：BIND4、BIND8和BIND9。本文中使用的是BIND9，他支持VIEW特性，将用来实现我们的策略解析。本实例中BIND选择安装在OpenBSD这个以安全著称的优秀UNIX发行版上。优秀的安全性能可以保证DNS系统的稳定运行。[2] DNS服务器配置的主要过程 本例中，DNS服务器安装OpenBSD3.9 sparc64，假定授权的domain为，域名服务器地址为，web服务器的地址为和，view的分界按中国教育科研网公布的中国教育科研网地址和非教育科研网地址。 2.1编译与安装 OpenBSD默认会安装BIND，并自动建立uid为53的“bind”用户和gid为53的“bind”群组，以供Bind服务使用，配置文件放在/var/named/etc/目录中。/var/named/目录下会有/dev、/etc、/master、/slave、/standard几个目录，分别用于存放日志、配置文件、主域名服务器配置文件、从域名服务器配置文件、标准区域配置文件。 2.2创建named.conf文件 拷贝/etc目录下样例配置文件named-simple.conf生成初始的named.conf文件： #cd /var/named/etc #cp named-simple.conf named.conf 编辑named.conf，添加代码实现DNS策略解析，代码中除增加匹配教育科研网的地址外，如果本地校园网中有内部私有地址，需要同时增加内部私有地址，否则可能导致这部分用户无法解析域名：[3] #ee named.conf acl edu { //本地网络中私有地址 /8; … … … //教育网地址 /15; … … … /15; }; 修改options属性块，增加forwarders选项，以便本地域名服务器无法解析域名时可以转发用户请求，顺利解析域名： options { directory /; //OpenBSD下，BIND运行在chroot模式下，/代表目录/var/named version ; // 删除或注释掉此行将允许查询BIND版本 listen-on { any; }; listen-on-v6 { any; }; //如果没有ipv6地址，可以注释掉此行 allow-recursion { clients; }; forwarders { ; //本地ISP或者教育网提供的上级域名服务器地址 ; }; }; 修改master属性块，增加view选项，匹配开始增加的策略，以实现我们需要的DNS策略解析： // Master zones //匹配教育网地址的view view view_edu { match-clients { edu; };