SaltStack 自动化运维技术文档-配置BIND域名服务.docxVIP

 PAGE \* MERGEFORMAT 14 SaltStack 自动化运维技术文档 刘西洋 配置BIND域名服务 刘西洋 前言 针对公司域名对不同网段的解析，在DMZ区域设置了BIND域名服务。通过ACL和view选项使得不同区域解析到不同的内外网地址。 BIND服务属于一次性配置的服务。在完成配置后，运行过程中，基本上无需修改配置。比较适合以saltstack统一管理。 理论描述 使用saltstack管理bind运行，主要涉及到软件包的安装、主配置文件管理、zone定义文件管理和服务状态管理等。是属于比较经典的配置流程。由于此项服务是将原有的服务通过saltstack改写，所以很多特征都是基于现有服务配置的。 通过saltstack部署bind服务大致为如下流程： 安装bind相关软件包，创建配置文件使用相关目录 执行rndc-config命令，创建rndc配置文件 准备主配置文件所依赖项，例如acl文件 创建主配置文件和zone配置文件。 运行服务，修改防火墙允许udp/53端口通过 操作步骤 管理RNDC配置脚本 CentOS系统中，bind服务默认使用rndc进行管理。在运行named服务时，需要先生成rndc控制用的key。在部署中，通过执行make-rndc-conf.sh脚本，将上述操作批量执行。make-rndc-conf.sh脚本内容如下： [root@SSHGateway ~]# cat /srv/salt/conf/named/make-rndc-conf.sh #!/bin/bash if [ ! -f /etc/rndc.conf ] then rndc-confgen /etc/rndc.conf tail -n 10 /etc/rndc.conf | sed s/^.//g | sed $d /etc/named/named.conf.rndc fi 上述脚本中，首先判断/etc/rndc.conf文件是否存在，若存在则跳过配置过程。以防止多次同步状态产生垃圾配置文件。 管理ACL访问列表文件 在具有多个运营商提供的公网出口的情况下，可以设置DMZ服务的多线服务。使得不同网络运行商的用户都能以最快的路径访问DMZ区域的资源。在WEB服务中会涉及到此类服务。若使用自建域名服务器对公网提供权威域解析服务。则可通过acl来标识远端用户。根据其网络运行商的归属，对其提供对应域名记录。主要涉及到的运营商包含中国移动、中国电信。由于公司默认使用联通网络，所以不用提取联通网络的IP地址。将其中国移动、中国电信和内网的IP地址汇总如下： [root@SSHGateway ~]# cat /srv/salt/conf/named/named.acl.xfer #系统默认acl，在无备用域名服务器时，禁止区域传送 acl xfer { none; // Allow no transfers. If we have other // name servers, place them here. }; [root@SSHGateway ~]# cat /srv/salt/conf/named/named.acl.isp-dianxin acl ctc { // address get from apnic // of China Telecommunications Corporation // by xiyang-liu /13; /13; /14; /24; /14; /15; /16; /16; /17; /17; /20; /20; /22; /11; /11; /12; /12; /12; /13; /13; /13; /14; /14; /14; /14; /14; /14; /14; /14; /14; /14; /14; /14; /14; /14; /15; /15; /15; /15; /15; /15; /15; /15; /15; /15; /15; /15; /15; /15; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /16; /17; /17; /17; /17; /17; /17; /17; /17; /17; /17; /17; /17; /18; /18; /18; /18; /18; /1